Detalhes da iniciativa integrada de conformidade regulatória NIST SP 800-171 R2

O artigo a seguir detalha como a definição de iniciativa interna de Conformidade Regulatória da Política do Azure mapeia para domínios e controles de conformidade no NIST SP 800-171 R2. Para obter mais informações sobre esse padrão de conformidade, consulte NIST SP 800-171 R2. Para compreender a Propriedade, reveja o tipo de política e a Responsabilidade partilhada na nuvem.

Os mapeamentos a seguir são para os controles NIST SP 800-171 R2 . Muitos dos controles são implementados com uma definição de iniciativa de Política do Azure. Para rever a definição completa da iniciativa, abra Política no portal do Azure e selecione a página Definições . Em seguida, localize e selecione a definição de iniciativa interna de conformidade regulatória do NIST SP 800-171 Rev. 2 .

Controlo de Acesso

Limitar o acesso ao sistema a utilizadores autorizados, processos que atuam em nome de utilizadores autorizados e dispositivos (incluindo outros sistemas).

ID: NIST SP 800-171 R2 3.1.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
Um máximo de 3 proprietários devem ser designados para a sua subscrição	Recomenda-se designar até 3 proprietários de assinatura para reduzir o potencial de violação por um proprietário comprometido.	AuditIfNotExists, desativado	3.0.0
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Auditar máquinas Linux que permitem conexões remotas de contas sem senhas	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que permitem conexões remotas de contas sem senhas	AuditIfNotExists, desativado	3.1.0
Auditar máquinas Linux que têm contas sem senhas	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que têm contas sem senhas	AuditIfNotExists, desativado	3.1.0
Auditar o uso de funções RBAC personalizadas	Audite funções internas, como 'Proprietário, Contribuinte, Leitor' em vez de funções RBAC personalizadas, que são propensas a erros. O uso de funções personalizadas é tratado como uma exceção e requer uma revisão rigorosa e modelagem de ameaças	Auditoria, Desativado	1.0.1
A autenticação em máquinas Linux deve exigir chaves SSH	Embora o próprio SSH forneça uma conexão criptografada, o uso de senhas com SSH ainda deixa a VM vulnerável a ataques de força bruta. A opção mais segura para autenticação em uma máquina virtual Linux do Azure sobre SSH é com um par de chaves público-privado, também conhecido como chaves SSH. Saiba mais: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, desativado	3.2.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Azure Spring Cloud deve usar injeção de rede	As instâncias do Azure Spring Cloud devem usar a injeção de rede virtual para as seguintes finalidades: 1. Isole o Azure Spring Cloud da Internet. 2. Habilite o Azure Spring Cloud para interagir com sistemas em data centers locais ou com o serviço do Azure em outras redes virtuais. 3. Capacite os clientes para controlar as comunicações de rede de entrada e saída para o Azure Spring Cloud.	Auditar, Desabilitar, Negar	1.2.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Contas bloqueadas com permissões de proprietário em recursos do Azure devem ser removidas	Contas preteridas com permissões de proprietário devem ser removidas da sua assinatura. Contas preteridas são contas que foram bloqueadas para entrar.	AuditIfNotExists, desativado	1.0.0
Contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas	As contas preteridas devem ser removidas das suas subscrições. Contas preteridas são contas que foram bloqueadas para entrar.	AuditIfNotExists, desativado	1.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Definir tipos de conta do sistema de informação	CMA_0121 - Definir tipos de conta do sistema de informação	Manual, Desativado	1.1.0
Implante a extensão Configuração de Convidado do Linux para habilitar atribuições de Configuração de Convidado em VMs Linux	Esta política implanta a extensão de Configuração de Convidado do Linux em máquinas virtuais Linux hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Linux é um pré-requisito para todas as atribuições de Configuração de Convidado do Linux e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Linux. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
Os aplicativos de função devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas	As contas externas com permissões de proprietário devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
Contas de convidado com permissões de leitura em recursos do Azure devem ser removidas	As contas externas com privilégios de leitura devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
Contas de convidado com permissões de gravação em recursos do Azure devem ser removidas	As contas externas com privilégios de escrita devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0
As contas de armazenamento devem ser migradas para novos recursos do Azure Resource Manager	Use o novo Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança	Auditoria, Negar, Desativado	1.0.0
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
As máquinas virtuais devem ser migradas para novos recursos do Azure Resource Manager	Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança	Auditoria, Negar, Desativado	1.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0

Encerrar (automaticamente) uma sessão de usuário após uma condição definida.

ID: NIST SP 800-171 R2 3.1.11 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Encerrar sessão de usuário automaticamente	CMA_C1054 - Encerrar sessão de usuário automaticamente	Manual, Desativado	1.1.0

Monitorize e controle sessões de acesso remoto.

ID: NIST SP 800-171 R2 3.1.12 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Auditar máquinas Linux que permitem conexões remotas de contas sem senhas	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que permitem conexões remotas de contas sem senhas	AuditIfNotExists, desativado	3.1.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Azure Spring Cloud deve usar injeção de rede	As instâncias do Azure Spring Cloud devem usar a injeção de rede virtual para as seguintes finalidades: 1. Isole o Azure Spring Cloud da Internet. 2. Habilite o Azure Spring Cloud para interagir com sistemas em data centers locais ou com o serviço do Azure em outras redes virtuais. 3. Capacite os clientes para controlar as comunicações de rede de entrada e saída para o Azure Spring Cloud.	Auditar, Desabilitar, Negar	1.2.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Implante a extensão Configuração de Convidado do Linux para habilitar atribuições de Configuração de Convidado em VMs Linux	Esta política implanta a extensão de Configuração de Convidado do Linux em máquinas virtuais Linux hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Linux é um pré-requisito para todas as atribuições de Configuração de Convidado do Linux e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Linux. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
Os aplicativos de função devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
Monitore o acesso em toda a organização	CMA_0376 - Monitorar o acesso em toda a organização	Manual, Desativado	1.1.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0

Utilize mecanismos criptográficos para proteger a confidencialidade das sessões de acesso remoto.

ID: NIST SP 800-171 R2 3.1.13 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Azure Spring Cloud deve usar injeção de rede	As instâncias do Azure Spring Cloud devem usar a injeção de rede virtual para as seguintes finalidades: 1. Isole o Azure Spring Cloud da Internet. 2. Habilite o Azure Spring Cloud para interagir com sistemas em data centers locais ou com o serviço do Azure em outras redes virtuais. 3. Capacite os clientes para controlar as comunicações de rede de entrada e saída para o Azure Spring Cloud.	Auditar, Desabilitar, Negar	1.2.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
Notificar os usuários sobre o logon ou acesso ao sistema	CMA_0382 - Notificar os usuários sobre o logon ou acesso ao sistema	Manual, Desativado	1.1.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Proteja os dados em trânsito usando criptografia	CMA_0403 - Proteja os dados em trânsito usando criptografia	Manual, Desativado	1.1.0
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0

Encaminhe o acesso remoto através de pontos de controle de acesso gerenciados.

ID: NIST SP 800-171 R2 3.1.14 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Azure Spring Cloud deve usar injeção de rede	As instâncias do Azure Spring Cloud devem usar a injeção de rede virtual para as seguintes finalidades: 1. Isole o Azure Spring Cloud da Internet. 2. Habilite o Azure Spring Cloud para interagir com sistemas em data centers locais ou com o serviço do Azure em outras redes virtuais. 3. Capacite os clientes para controlar as comunicações de rede de entrada e saída para o Azure Spring Cloud.	Auditar, Desabilitar, Negar	1.2.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Encaminhar o tráfego através de pontos de acesso de rede gerenciados	CMA_0484 - Encaminhe o tráfego através de pontos de acesso de rede gerenciados	Manual, Desativado	1.1.0
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0

Autorize a execução remota de comandos privilegiados e o acesso remoto a informações relevantes para a segurança.

ID: NIST SP 800-171 R2 3.1.15 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Autorizar acesso remoto	CMA_0024 - Autorizar acesso remoto	Manual, Desativado	1.1.0
Autorizar o acesso remoto a comandos privilegiados	CMA_C1064 - Autorizar o acesso remoto a comandos privilegiados	Manual, Desativado	1.1.0
Documentar diretrizes de acesso remoto	CMA_0196 - Documentar diretrizes de acesso remoto	Manual, Desativado	1.1.0
Implementar controles para proteger locais de trabalho alternativos	CMA_0315 - Implementar controles para proteger locais de trabalho alternativos	Manual, Desativado	1.1.0
Fornecer treinamento de privacidade	CMA_0415 - Fornecer treinamento de privacidade	Manual, Desativado	1.1.0

Autorizar o acesso sem fio antes de permitir tais conexões

ID: NIST SP 800-171 R2 3.1.16 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Documentar e implementar diretrizes de acesso sem fio	CMA_0190 - Documentar e implementar diretrizes de acesso sem fio	Manual, Desativado	1.1.0
Proteja o acesso sem fio	CMA_0411 - Proteja o acesso sem fio	Manual, Desativado	1.1.0

Proteja o acesso sem fio usando autenticação e criptografia

ID: NIST SP 800-171 R2 3.1.17 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Documentar e implementar diretrizes de acesso sem fio	CMA_0190 - Documentar e implementar diretrizes de acesso sem fio	Manual, Desativado	1.1.0
Identificar e autenticar dispositivos de rede	CMA_0296 - Identificar e autenticar dispositivos de rede	Manual, Desativado	1.1.0
Proteja o acesso sem fio	CMA_0411 - Proteja o acesso sem fio	Manual, Desativado	1.1.0

Controle a conexão de dispositivos móveis.

ID: NIST SP 800-171 R2 3.1.18 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Definir requisitos de dispositivos móveis	CMA_0122 - Definir requisitos de dispositivos móveis	Manual, Desativado	1.1.0

Criptografe CUI em dispositivos móveis e plataformas de computação móvel

ID: NIST SP 800-171 R2 3.1.19 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Definir requisitos de dispositivos móveis	CMA_0122 - Definir requisitos de dispositivos móveis	Manual, Desativado	1.1.0
Proteja os dados em trânsito usando criptografia	CMA_0403 - Proteja os dados em trânsito usando criptografia	Manual, Desativado	1.1.0

Limite o acesso ao sistema aos tipos de transações e funções que os usuários autorizados têm permissão para executar.

ID: NIST SP 800-171 R2 3.1.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Funções privilegiadas de auditoria	CMA_0019 - Funções privilegiadas de auditoria	Manual, Desativado	1.1.0
Auditar o uso de funções RBAC personalizadas	Audite funções internas, como 'Proprietário, Contribuinte, Leitor' em vez de funções RBAC personalizadas, que são propensas a erros. O uso de funções personalizadas é tratado como uma exceção e requer uma revisão rigorosa e modelagem de ameaças	Auditoria, Desativado	1.0.1
Autorizar o acesso a funções e informações de segurança	CMA_0022 - Autorizar o acesso a funções e informações de segurança	Manual, Desativado	1.1.0
Autorizar e gerenciar o acesso	CMA_0023 - Autorizar e gerir o acesso	Manual, Desativado	1.1.0
Autorizar acesso remoto	CMA_0024 - Autorizar acesso remoto	Manual, Desativado	1.1.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
Contas bloqueadas com permissões de proprietário em recursos do Azure devem ser removidas	Contas preteridas com permissões de proprietário devem ser removidas da sua assinatura. Contas preteridas são contas que foram bloqueadas para entrar.	AuditIfNotExists, desativado	1.0.0
Contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas	As contas preteridas devem ser removidas das suas subscrições. Contas preteridas são contas que foram bloqueadas para entrar.	AuditIfNotExists, desativado	1.0.0
Impor o uso apropriado de todas as contas	CMA_C1023 - Impor o uso apropriado de todas as contas	Manual, Desativado	1.1.0
Impor acesso lógico	CMA_0245 - Impor acesso lógico	Manual, Desativado	1.1.0
Aplicar políticas de controle de acesso obrigatórias e discricionárias	CMA_0246 - Aplicar políticas de controle de acesso obrigatórias e discricionárias	Manual, Desativado	1.1.0
Os aplicativos de função devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas	As contas externas com permissões de proprietário devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
Contas de convidado com permissões de leitura em recursos do Azure devem ser removidas	As contas externas com privilégios de leitura devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
Contas de convidado com permissões de gravação em recursos do Azure devem ser removidas	As contas externas com privilégios de escrita devem ser removidas da sua subscrição para evitar o acesso não monitorizado.	AuditIfNotExists, desativado	1.0.0
Monitorar atribuição de função privilegiada	CMA_0378 - Monitorar atribuição de função privilegiada	Manual, Desativado	1.1.0
Exigir aprovação para a criação de conta	CMA_0431 - Requer aprovação para a criação de conta	Manual, Desativado	1.1.0
Restringir o acesso a contas privilegiadas	CMA_0446 - Restringir o acesso a contas privilegiadas	Manual, Desativado	1.1.0
Revisar grupos de usuários e aplicativos com acesso a dados confidenciais	CMA_0481 - Revisar grupos de usuários e aplicativos com acesso a dados confidenciais	Manual, Desativado	1.1.0
Revogar funções privilegiadas conforme apropriado	CMA_0483 - Revogar funções privilegiadas conforme apropriado	Manual, Desativado	1.1.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0
As contas de armazenamento devem ser migradas para novos recursos do Azure Resource Manager	Use o novo Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança	Auditoria, Negar, Desativado	1.0.0
Usar o gerenciamento privilegiado de identidades	CMA_0533 - Use o gerenciamento privilegiado de identidades	Manual, Desativado	1.1.0
As máquinas virtuais devem ser migradas para novos recursos do Azure Resource Manager	Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança	Auditoria, Negar, Desativado	1.0.0

Verificar e controlar/limitar conexões e uso de sistemas externos.

ID: NIST SP 800-171 R2 3.1.20 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Estabelecer termos e condições de acesso aos recursos	CMA_C1076 - Estabelecer termos e condições de acesso aos recursos	Manual, Desativado	1.1.0
Estabelecer termos e condições para o processamento de recursos	CMA_C1077 - Estabelecer termos e condições para o processamento de recursos	Manual, Desativado	1.1.0

Limitar o uso de dispositivos de armazenamento portáteis em sistemas externos.

ID: NIST SP 800-171 R2 3.1.21 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	CMA_0050 - Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	Manual, Desativado	1.1.0
Controlar a utilização de dispositivos de armazenamento portáteis	CMA_0083 - Controlar a utilização de dispositivos de armazenamento portáteis	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0

Controle CUI publicado ou processado em sistemas acessíveis ao público.

ID: NIST SP 800-171 R2 3.1.22 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Designar pessoal autorizado para publicar informações acessíveis ao público	CMA_C1083 - Designar pessoal autorizado para publicar informações acessíveis ao público	Manual, Desativado	1.1.0
Rever o conteúdo antes de publicar informações acessíveis ao público	CMA_C1085 - Revise o conteúdo antes de publicar informações acessíveis publicamente	Manual, Desativado	1.1.0
Rever conteúdo acessível ao público para obter informações não públicas	CMA_C1086 - Rever conteúdo acessível ao público para informação não pública	Manual, Desativado	1.1.0
Formar o pessoal em matéria de divulgação de informações confidenciais	CMA_C1084 - Formar o pessoal em matéria de divulgação de informações não públicas	Manual, Desativado	1.1.0

Controlar o fluxo de CUI de acordo com as autorizações aprovadas.

ID: NIST SP 800-171 R2 3.1.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: O acesso público à conta de armazenamento não deve ser permitido	O acesso público de leitura anônimo a contêineres e blobs no Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário exija.	auditoria, auditoria, negar, negar, desativado, desativado	3.1.0-Pré-visualização
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual	A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos.	AuditIfNotExists, desativado	3.0.0
Os serviços de gerenciamento de API devem usar uma rede virtual	A implantação da Rede Virtual do Azure fornece segurança aprimorada, isolamento e permite que você coloque seu serviço de Gerenciamento de API em uma rede roteável que não seja da Internet à qual você controla o acesso. Essas redes podem ser conectadas às suas redes locais usando várias tecnologias VPN, o que permite o acesso aos seus serviços de back-end dentro da rede e/ou no local. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessíveis a partir da Internet ou apenas dentro da rede virtual.	Auditoria, Negar, Desativado	1.0.2
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os aplicativos do Serviço de Aplicativo não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos	O Compartilhamento de Recursos entre Origens (CORS) não deve permitir que todos os domínios acessem seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo.	AuditIfNotExists, desativado	2.0.0
Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Recomenda-se limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicativos de redes permitidas possam acessar o cluster.	Auditoria, Desativado	2.0.1
Os recursos dos Serviços de IA do Azure devem restringir o acesso à rede	Ao restringir o acesso à rede, você pode garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço Azure AI.	Auditoria, Negar, Desativado	3.2.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
Os serviços da Pesquisa Cognitiva do Azure devem desativar o acesso à rede pública	Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa Cognitiva do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do seu serviço de Pesquisa. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall	As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra IP definida com o filtro de rede virtual ativado são consideradas compatíveis. As contas que desativam o acesso público também são consideradas compatíveis.	Auditoria, Negar, Desativado	2.1.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
O Azure Key Vault deve ter firewall ativado	Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IPs público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security	Auditoria, Negar, Desativado	3.2.1
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores não devem permitir o acesso irrestrito à rede	Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger os seus registos de potenciais ameaças, permita o acesso apenas a partir de terminais privados específicos, endereços IP públicos ou intervalos de endereços. Se o seu registro não tiver regras de rede configuradas, ele aparecerá nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Auditoria, Negar, Desativado	2.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
Controlar o fluxo de informações	CMA_0079 - Controlar o fluxo de informações	Manual, Desativado	1.1.0
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Empregar mecanismos de controle de fluxo de informações criptografadas	CMA_0211 - Empregar mecanismos de controle de fluxo de informações criptografadas	Manual, Desativado	1.1.0
Estabeleça padrões de configuração de firewall e roteador	CMA_0272 - Estabelecer padrões de configuração de firewall e roteador	Manual, Desativado	1.1.0
Estabelecer segmentação de rede para o ambiente de dados do titular do cartão	CMA_0273 - Estabelecer segmentação de rede para o ambiente de dados do titular do cartão	Manual, Desativado	1.1.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
Identificar e gerir os intercâmbios de informações a jusante	CMA_0298 - Identificar e gerir os intercâmbios de informações a jusante	Manual, Desativado	1.1.0
Controle de fluxo de informações usando filtros de política de segurança	CMA_C1029 - Controle do fluxo de informações usando filtros de política de segurança	Manual, Desativado	1.1.0
As máquinas virtuais voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais contra ameaças potenciais restringindo o acesso a elas com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
O encaminhamento de IP em sua máquina virtual deve ser desabilitado	Habilitar o encaminhamento de IP na NIC de uma máquina virtual permite que a máquina receba tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como um dispositivo virtual de rede) e, portanto, isso deve ser revisado pela equipe de segurança de rede.	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time	O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento devem ser fechadas em suas máquinas virtuais	As portas de gerenciamento remoto abertas estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam obter credenciais de força bruta para obter acesso de administrador à máquina.	AuditIfNotExists, desativado	3.0.0
As máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais não voltadas para a Internet contra ameaças potenciais restringindo o acesso com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado	A desativação da propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração nega todos os logins que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	1.1.0
O acesso à rede pública deve ser desativado para servidores MariaDB	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desativado para servidores MySQL	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MySQL só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL	Desabilite a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para PostgreSQL só possa ser acessado a partir de um ponto de extremidade privado. Esta configuração desativa o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os inícios de sessão que correspondam a regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.1
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual	Proteja suas contas de armazenamento contra ameaças potenciais usando regras de rede virtual como um método preferencial em vez da filtragem baseada em IP. A desativação da filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento.	Auditoria, Negar, Desativado	1.0.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
As sub-redes devem estar associadas a um Grupo de Segurança de Rede	Proteja sua sub-rede contra ameaças potenciais restringindo o acesso a ela com um NSG (Network Security Group). Os NSGs contêm uma lista de regras de ACL (Lista de Controle de Acesso) que permitem ou negam tráfego de rede para sua sub-rede.	AuditIfNotExists, desativado	3.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0

Separar os deveres dos indivíduos para reduzir o risco de atividade malévola sem conluio.

ID: NIST SP 800-171 R2 3.1.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Auditar máquinas Windows sem qualquer um dos membros especificados no grupo Administradores	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se o grupo Administradores local não contiver um ou mais membros listados no parâmetro de política.	auditIfNotExists	2.0.0
Auditar máquinas Windows que tenham os membros especificados no grupo Administradores	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se o grupo Administradores local contiver um ou mais dos membros listados no parâmetro de política.	auditIfNotExists	2.0.0
Definir autorizações de acesso para suportar a separação de funções	CMA_0116 - Definir autorizações de acesso para suportar a separação de funções	Manual, Desativado	1.1.0
Documento de separação de funções	CMA_0204 - Documento de separação de funções	Manual, Desativado	1.1.0
Deveres distintos dos indivíduos	CMA_0492 - Deveres distintos dos indivíduos	Manual, Desativado	1.1.0
Deve haver mais de um proprietário atribuído à sua assinatura	É recomendável designar mais de um proprietário de assinatura para ter redundância de acesso de administrador.	AuditIfNotExists, desativado	3.0.0

Utilize o princípio do menor privilégio, inclusive para funções de segurança específicas e contas privilegiadas.

ID: NIST SP 800-171 R2 3.1.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Um máximo de 3 proprietários devem ser designados para a sua subscrição	Recomenda-se designar até 3 proprietários de assinatura para reduzir o potencial de violação por um proprietário comprometido.	AuditIfNotExists, desativado	3.0.0
Auditar o uso de funções RBAC personalizadas	Audite funções internas, como 'Proprietário, Contribuinte, Leitor' em vez de funções RBAC personalizadas, que são propensas a erros. O uso de funções personalizadas é tratado como uma exceção e requer uma revisão rigorosa e modelagem de ameaças	Auditoria, Desativado	1.0.1
Autorizar o acesso a funções e informações de segurança	CMA_0022 - Autorizar o acesso a funções e informações de segurança	Manual, Desativado	1.1.0
Autorizar e gerenciar o acesso	CMA_0023 - Autorizar e gerir o acesso	Manual, Desativado	1.1.0
Projetar um modelo de controle de acesso	CMA_0129 - Projetar um modelo de controle de acesso	Manual, Desativado	1.1.0
Empregar acesso com privilégios mínimos	CMA_0212 - Empregar acesso com privilégios mínimos	Manual, Desativado	1.1.0
Aplicar políticas de controle de acesso obrigatórias e discricionárias	CMA_0246 - Aplicar políticas de controle de acesso obrigatórias e discricionárias	Manual, Desativado	1.1.0
Restringir o acesso a contas privilegiadas	CMA_0446 - Restringir o acesso a contas privilegiadas	Manual, Desativado	1.1.0

Impeça que usuários não privilegiados executem funções privilegiadas e capture a execução dessas funções em logs de auditoria.

ID: NIST SP 800-171 R2 3.1.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Funções privilegiadas de auditoria	CMA_0019 - Funções privilegiadas de auditoria	Manual, Desativado	1.1.0
Conduzir uma análise de texto completo de comandos privilegiados registrados	CMA_0056 - Realizar uma análise de texto completo de comandos privilegiados registrados	Manual, Desativado	1.1.0
Monitorar atribuição de função privilegiada	CMA_0378 - Monitorar atribuição de função privilegiada	Manual, Desativado	1.1.0
Restringir o acesso a contas privilegiadas	CMA_0446 - Restringir o acesso a contas privilegiadas	Manual, Desativado	1.1.0
Revogar funções privilegiadas conforme apropriado	CMA_0483 - Revogar funções privilegiadas conforme apropriado	Manual, Desativado	1.1.0
Usar o gerenciamento privilegiado de identidades	CMA_0533 - Use o gerenciamento privilegiado de identidades	Manual, Desativado	1.1.0

Limite as tentativas de logon malsucedidas.

ID: NIST SP 800-171 R2 3.1.8 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Impor um limite de tentativas consecutivas de login com falha	CMA_C1044 - Impor um limite de tentativas de login falhadas consecutivas	Manual, Desativado	1.1.0

Proteção física

Limitar o acesso físico a sistemas organizacionais, equipamentos e respetivos ambientes operacionais a indivíduos autorizados.

ID: NIST SP 800-171 R2 3.10.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar o acesso físico	CMA_0081 - Controle o acesso físico	Manual, Desativado	1.1.0

Proteger e monitorar as instalações físicas e a infraestrutura de suporte para sistemas organizacionais.

ID: NIST SP 800-171 R2 3.10.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Instalar um sistema de alarme	CMA_0338 - Instalar um sistema de alarme	Manual, Desativado	1.1.0
Gerencie um sistema de câmera de vigilância seguro	CMA_0354 - Gerencie um sistema de câmera de vigilância seguro	Manual, Desativado	1.1.0

Acompanhe os visitantes e monitore a atividade dos visitantes.

ID: NIST SP 800-171 R2 3.10.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar o acesso físico	CMA_0081 - Controle o acesso físico	Manual, Desativado	1.1.0
Implementar segurança física para escritórios, áreas de trabalho e áreas seguras	CMA_0323 - Implementar segurança física para escritórios, áreas de trabalho e áreas seguras	Manual, Desativado	1.1.0

Manter logs de auditoria de acesso físico.

ID: NIST SP 800-171 R2 3.10.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar o acesso físico	CMA_0081 - Controle o acesso físico	Manual, Desativado	1.1.0

Controle e gerencie dispositivos de acesso físico.

ID: NIST SP 800-171 R2 3.10.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar o acesso físico	CMA_0081 - Controle o acesso físico	Manual, Desativado	1.1.0
Definir um processo de gerenciamento de chaves físicas	CMA_0115 - Definir um processo de gestão de chaves físicas	Manual, Desativado	1.1.0
Estabelecer e manter um inventário de ativos	CMA_0266 - Estabelecer e manter um inventário de ativos	Manual, Desativado	1.1.0
Implementar segurança física para escritórios, áreas de trabalho e áreas seguras	CMA_0323 - Implementar segurança física para escritórios, áreas de trabalho e áreas seguras	Manual, Desativado	1.1.0

Aplicar medidas de salvaguarda para CUI em locais de trabalho alternativos.

ID: NIST SP 800-171 R2 3.10.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Implementar controles para proteger locais de trabalho alternativos	CMA_0315 - Implementar controles para proteger locais de trabalho alternativos	Manual, Desativado	1.1.0

Avaliação de Riscos

Avaliar periodicamente o risco para as operações organizacionais, ativos organizacionais e indivíduos, resultante da operação de sistemas organizacionais e do processamento, armazenamento ou transmissão de CUI associados

ID: NIST SP 800-171 R2 3.11.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Avaliar o risco em relações com terceiros	CMA_0014 - Avaliar o risco nas relações com terceiros	Manual, Desativado	1.1.0
Realizar uma avaliação de risco	CMA_0388 - Realizar uma avaliação de risco	Manual, Desativado	1.1.0

Analise vulnerabilidades em sistemas e aplicativos organizacionais periodicamente e quando novas vulnerabilidades que afetem esses sistemas e aplicativos forem identificadas.

ID: NIST SP 800-171 R2 3.11.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais	Audita máquinas virtuais para detetar se elas estão executando uma solução de avaliação de vulnerabilidade suportada. Um componente central de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O nível de preços padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo extra. Além disso, a Central de Segurança pode implantar automaticamente essa ferramenta para você.	AuditIfNotExists, desativado	3.0.0
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Implementar acesso privilegiado para executar atividades de verificação de vulnerabilidades	CMA_C1555 - Implementar acesso privilegiado para executar atividades de verificação de vulnerabilidades	Manual, Desativado	1.1.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
Executar verificações de vulnerabilidade	CMA_0393 - Executar verificações de vulnerabilidade	Manual, Desativado	1.1.0
Remediar falhas no sistema de informação	CMA_0427 - Remediar falhas no sistema de informação	Manual, Desativado	1.1.0
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas	Monitore a avaliação de vulnerabilidades, os resultados da verificação e as recomendações sobre como corrigir vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	4.1.0
Servidores SQL em máquinas devem ter descobertas de vulnerabilidade resolvidas	A avaliação de vulnerabilidade do SQL verifica seu banco de dados em busca de vulnerabilidades de segurança e expõe quaisquer desvios das práticas recomendadas, como configurações incorretas, permissões excessivas e dados confidenciais desprotegidos. Resolver as vulnerabilidades encontradas pode melhorar muito a postura de segurança do seu banco de dados.	AuditIfNotExists, desativado	1.0.0
As vulnerabilidades na configuração de segurança em suas máquinas devem ser corrigidas	Os servidores que não satisfizerem a linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.1.0
A avaliação de vulnerabilidade deve ser habilitada na Instância Gerenciada SQL	Audite cada Instância Gerenciada do SQL que não tenha verificações recorrentes de avaliação de vulnerabilidades habilitadas. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	1.0.1
A avaliação de vulnerabilidade deve ser habilitada em seus servidores SQL	Audite os servidores SQL do Azure que não têm a avaliação de vulnerabilidades configurada corretamente. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	3.0.0
A avaliação de vulnerabilidades deve ser ativada em seus espaços de trabalho Synapse	Descubra, rastreie e corrija possíveis vulnerabilidades configurando verificações recorrentes de avaliação de vulnerabilidades SQL em seus espaços de trabalho Synapse.	AuditIfNotExists, desativado	1.0.0

Corrigir vulnerabilidades de acordo com as avaliações de risco.

ID: NIST SP 800-171 R2 3.11.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais	Audita máquinas virtuais para detetar se elas estão executando uma solução de avaliação de vulnerabilidade suportada. Um componente central de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O nível de preços padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo extra. Além disso, a Central de Segurança pode implantar automaticamente essa ferramenta para você.	AuditIfNotExists, desativado	3.0.0
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
Executar verificações de vulnerabilidade	CMA_0393 - Executar verificações de vulnerabilidade	Manual, Desativado	1.1.0
Remediar falhas no sistema de informação	CMA_0427 - Remediar falhas no sistema de informação	Manual, Desativado	1.1.0
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas	Monitore a avaliação de vulnerabilidades, os resultados da verificação e as recomendações sobre como corrigir vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	4.1.0
Servidores SQL em máquinas devem ter descobertas de vulnerabilidade resolvidas	A avaliação de vulnerabilidade do SQL verifica seu banco de dados em busca de vulnerabilidades de segurança e expõe quaisquer desvios das práticas recomendadas, como configurações incorretas, permissões excessivas e dados confidenciais desprotegidos. Resolver as vulnerabilidades encontradas pode melhorar muito a postura de segurança do seu banco de dados.	AuditIfNotExists, desativado	1.0.0
As vulnerabilidades na configuração de segurança em suas máquinas devem ser corrigidas	Os servidores que não satisfizerem a linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.1.0
A avaliação de vulnerabilidade deve ser habilitada na Instância Gerenciada SQL	Audite cada Instância Gerenciada do SQL que não tenha verificações recorrentes de avaliação de vulnerabilidades habilitadas. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	1.0.1
A avaliação de vulnerabilidade deve ser habilitada em seus servidores SQL	Audite os servidores SQL do Azure que não têm a avaliação de vulnerabilidades configurada corretamente. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	3.0.0
A avaliação de vulnerabilidades deve ser ativada em seus espaços de trabalho Synapse	Descubra, rastreie e corrija possíveis vulnerabilidades configurando verificações recorrentes de avaliação de vulnerabilidades SQL em seus espaços de trabalho Synapse.	AuditIfNotExists, desativado	1.0.0

Avaliação de Segurança

Avaliar periodicamente os controles de segurança em sistemas organizacionais para determinar se os controles são eficazes em sua aplicação.

ID: NIST SP 800-171 R2 3.12.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Avaliar os controlos de segurança	CMA_C1145 - Avaliar os Controlos de Segurança	Manual, Desativado	1.1.0
Forneça resultados de avaliação de segurança	CMA_C1147 - Fornecer resultados de avaliação de segurança	Manual, Desativado	1.1.0
Desenvolver um plano de avaliação de segurança	CMA_C1144 - Desenvolver plano de avaliação de segurança	Manual, Desativado	1.1.0
Produzir relatório de avaliação de segurança	CMA_C1146 - Produzir relatório de avaliação de segurança	Manual, Desativado	1.1.0

Desenvolver e implementar planos de ação destinados a corrigir deficiências e reduzir ou eliminar vulnerabilidades nos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.12.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Desenvolver POA&M	CMA_C1156 - Desenvolver POA&M	Manual, Desativado	1.1.0
Estabelecer uma estratégia de gestão de riscos	CMA_0258 - Estabelecer uma estratégia de gestão de riscos	Manual, Desativado	1.1.0
Implementar planos de ação e marcos para o processo do programa de segurança	CMA_C1737 - Implementar planos de ação e marcos para o processo do programa de segurança	Manual, Desativado	1.1.0
Atualizar itens POA&M	CMA_C1157 - Atualizar itens POA&M	Manual, Desativado	1.1.0

Monitorizar os controlos de segurança numa base contínua para garantir a eficácia contínua dos controlos.

ID: NIST SP 800-171 R2 3.12.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Configurar a lista de permissões de deteção	CMA_0068 - Configurar a lista branca de deteção	Manual, Desativado	1.1.0
Ligue sensores para solução de segurança de endpoint	CMA_0514 - Ligue sensores para solução de segurança de endpoint	Manual, Desativado	1.1.0
Passar por uma revisão de segurança independente	CMA_0515 - Passar por uma revisão de segurança independente	Manual, Desativado	1.1.0

Desenvolver, documentar e atualizar periodicamente planos de segurança do sistema que descrevam os limites do sistema, os ambientes de operação do sistema, como os requisitos de segurança são implementados e as relações ou conexões com outros sistemas.

ID: NIST SP 800-171 R2 3.12.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Desenvolver e estabelecer um plano de segurança do sistema	CMA_0151 - Desenvolver e estabelecer um plano de segurança do sistema	Manual, Desativado	1.1.0
Desenvolver políticas e procedimentos de segurança da informação	CMA_0158 - Desenvolver políticas e procedimentos de segurança da informação	Manual, Desativado	1.1.0
Desenvolver SSP que atenda aos critérios	CMA_C1492 - Desenvolver SSP que atenda aos critérios	Manual, Desativado	1.1.0
Estabeleça um programa de privacidade	CMA_0257 - Estabelecer um programa de privacidade	Manual, Desativado	1.1.0
Estabeleça um programa de segurança da informação	CMA_0263 - Estabelecer um programa de segurança da informação	Manual, Desativado	1.1.0
Estabelecer requisitos de segurança para a fabricação de dispositivos conectados	CMA_0279 - Estabelecer requisitos de segurança para a fabricação de dispositivos conectados	Manual, Desativado	1.1.0
Implementar princípios de engenharia de segurança de sistemas de informação	CMA_0325 - Implementar princípios de engenharia de segurança de sistemas de informação	Manual, Desativado	1.1.0
Atualizar políticas de segurança da informação	CMA_0518 - Atualizar as políticas de segurança da informação	Manual, Desativado	1.1.0

Proteção de Sistemas e Comunicações

Monitorar, controlar e proteger as comunicações (ou seja, informações transmitidas ou recebidas pelos sistemas organizacionais) nos limites externos e nos principais limites internos dos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.13.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: O acesso público à conta de armazenamento não deve ser permitido	O acesso público de leitura anônimo a contêineres e blobs no Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário exija.	auditoria, auditoria, negar, negar, desativado, desativado	3.1.0-Pré-visualização
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual	A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos.	AuditIfNotExists, desativado	3.0.0
Os serviços de gerenciamento de API devem usar uma rede virtual	A implantação da Rede Virtual do Azure fornece segurança aprimorada, isolamento e permite que você coloque seu serviço de Gerenciamento de API em uma rede roteável que não seja da Internet à qual você controla o acesso. Essas redes podem ser conectadas às suas redes locais usando várias tecnologias VPN, o que permite o acesso aos seus serviços de back-end dentro da rede e/ou no local. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessíveis a partir da Internet ou apenas dentro da rede virtual.	Auditoria, Negar, Desativado	1.0.2
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Recomenda-se limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicativos de redes permitidas possam acessar o cluster.	Auditoria, Desativado	2.0.1
Os recursos dos Serviços de IA do Azure devem restringir o acesso à rede	Ao restringir o acesso à rede, você pode garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço Azure AI.	Auditoria, Negar, Desativado	3.2.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
Os serviços da Pesquisa Cognitiva do Azure devem desativar o acesso à rede pública	Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa Cognitiva do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do seu serviço de Pesquisa. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall	As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra IP definida com o filtro de rede virtual ativado são consideradas compatíveis. As contas que desativam o acesso público também são consideradas compatíveis.	Auditoria, Negar, Desativado	2.1.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
O Azure Key Vault deve ter firewall ativado	Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IPs público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security	Auditoria, Negar, Desativado	3.2.1
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Firewall de Aplicativo Web do Azure deve ser habilitado para pontos de entrada do Azure Front Door	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	1.0.2
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores não devem permitir o acesso irrestrito à rede	Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger os seus registos de potenciais ameaças, permita o acesso apenas a partir de terminais privados específicos, endereços IP públicos ou intervalos de endereços. Se o seu registro não tiver regras de rede configuradas, ele aparecerá nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Auditoria, Negar, Desativado	2.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
As máquinas virtuais voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais contra ameaças potenciais restringindo o acesso a elas com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
O encaminhamento de IP em sua máquina virtual deve ser desabilitado	Habilitar o encaminhamento de IP na NIC de uma máquina virtual permite que a máquina receba tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como um dispositivo virtual de rede) e, portanto, isso deve ser revisado pela equipe de segurança de rede.	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time	O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento devem ser fechadas em suas máquinas virtuais	As portas de gerenciamento remoto abertas estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam obter credenciais de força bruta para obter acesso de administrador à máquina.	AuditIfNotExists, desativado	3.0.0
As máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais não voltadas para a Internet contra ameaças potenciais restringindo o acesso com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado	A desativação da propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração nega todos os logins que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	1.1.0
O acesso à rede pública deve ser desativado para servidores MariaDB	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desativado para servidores MySQL	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MySQL só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL	Desabilite a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para PostgreSQL só possa ser acessado a partir de um ponto de extremidade privado. Esta configuração desativa o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os inícios de sessão que correspondam a regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.1
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual	Proteja suas contas de armazenamento contra ameaças potenciais usando regras de rede virtual como um método preferencial em vez da filtragem baseada em IP. A desativação da filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento.	Auditoria, Negar, Desativado	1.0.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
As sub-redes devem estar associadas a um Grupo de Segurança de Rede	Proteja sua sub-rede contra ameaças potenciais restringindo o acesso a ela com um NSG (Network Security Group). Os NSGs contêm uma lista de regras de ACL (Lista de Controle de Acesso) que permitem ou negam tráfego de rede para sua sub-rede.	AuditIfNotExists, desativado	3.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0
O Web Application Firewall (WAF) deve ser habilitado para o Application Gateway	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	2.0.0

Estabelecer e gerenciar chaves criptográficas para criptografia empregadas em sistemas organizacionais.

ID: NIST SP 800-171 R2 3.13.10 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Os cofres dos Serviços de Recuperação do Azure devem utilizar chaves geridas pelo cliente para encriptar dados de cópia de segurança	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos dados de backup. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/AB-CmkEncryption.	Auditoria, Negar, Desativado	1.0.0-pré-visualização
[Visualização]: os dados do serviço de provisionamento de dispositivos do Hub IoT devem ser criptografados usando chaves gerenciadas pelo cliente (CMK)	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do serviço de provisionamento de dispositivos do Hub IoT. Os dados são automaticamente criptografados em repouso com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente (CMK) geralmente são necessárias para atender aos padrões de conformidade regulamentar. As CMKs permitem que os dados sejam criptografados com uma chave do Cofre da Chave do Azure criada e de sua propriedade. Saiba mais sobre a criptografia CMK em https://aka.ms/dps/CMK.	Auditoria, Negar, Desativado	1.0.0-pré-visualização
Os recursos dos Serviços de IA do Azure devem criptografar dados em repouso com uma chave gerenciada pelo cliente (CMK)	O uso de chaves gerenciadas pelo cliente para criptografar dados em repouso fornece mais controle sobre o ciclo de vida da chave, incluindo rotação e gerenciamento. Isso é particularmente relevante para organizações com requisitos de conformidade relacionados. Isso não é avaliado por padrão e só deve ser aplicado quando exigido por requisitos de conformidade ou de política restritiva. Se não estiverem habilitados, os dados serão criptografados usando chaves gerenciadas pela plataforma. Para implementar isso, atualize o parâmetro 'Effect' na Política de Segurança para o escopo aplicável.	Auditoria, Negar, Desativado	2.2.0
A API do Azure para FHIR deve usar uma chave gerenciada pelo cliente para criptografar dados em repouso	Use uma chave gerenciada pelo cliente para controlar a criptografia em repouso dos dados armazenados na API do Azure para FHIR quando isso for um requisito regulatório ou de conformidade. As chaves gerenciadas pelo cliente também oferecem criptografia dupla, adicionando uma segunda camada de criptografia à padrão feita com chaves gerenciadas por serviço.	auditoria, Auditoria, desativado, Desativado	1.1.0
As contas de Automação do Azure devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de suas Contas de Automação do Azure. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/automation-cmk.	Auditoria, Negar, Desativado	1.0.0
A conta do Lote do Azure deve usar chaves gerenciadas pelo cliente para criptografar dados	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos dados da sua conta Batch. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/Batch-CMK.	Auditoria, Negar, Desativado	1.0.1
O grupo de contêineres da Instância de Contêiner do Azure deve usar a chave gerenciada pelo cliente para criptografia	Proteja seus contêineres com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando especifica uma chave gerida pelo cliente, essa chave é utilizada para proteger e controlar o acesso à chave que encripta os seus dados. O uso de chaves gerenciadas pelo cliente fornece recursos adicionais para controlar a rotação da chave de criptografia de chave ou apagar dados criptograficamente.	Auditar, Desabilitar, Negar	1.0.0
As contas do Azure Cosmos DB devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do seu Azure Cosmos DB. Por padrão, os dados são criptografados em repouso com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/cosmosdb-cmk.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os trabalhos do Azure Data Box devem usar uma chave gerenciada pelo cliente para criptografar a senha de desbloqueio do dispositivo	Use uma chave gerenciada pelo cliente para controlar a criptografia da senha de desbloqueio do dispositivo para o Azure Data Box. As chaves gerenciadas pelo cliente também ajudam a gerenciar o acesso à senha de desbloqueio do dispositivo pelo serviço Data Box, a fim de preparar o dispositivo e copiar dados de forma automatizada. Os dados no próprio dispositivo já estão criptografados em repouso com criptografia de 256 bits Advanced Encryption Standard e a senha de desbloqueio do dispositivo é criptografada por padrão com uma chave gerenciada pela Microsoft.	Auditoria, Negar, Desativado	1.0.0
A criptografia do Azure Data Explorer em repouso deve usar uma chave gerenciada pelo cliente	Habilitar a criptografia em repouso usando uma chave gerenciada pelo cliente em seu cluster do Azure Data Explorer fornece controle adicional sobre a chave que está sendo usada pela criptografia em repouso. Esse recurso geralmente é aplicável a clientes com requisitos especiais de conformidade e requer um Cofre de Chaves para gerenciar as chaves.	Auditoria, Negar, Desativado	1.0.0
As fábricas de dados do Azure devem ser criptografadas com uma chave gerenciada pelo cliente	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do Azure Data Factory. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/adf-cmk.	Auditoria, Negar, Desativado	1.0.1
Os clusters do Azure HDInsight devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus clusters do Azure HDInsight. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/hdi.cmk.	Auditoria, Negar, Desativado	1.0.1
Os clusters do Azure HDInsight devem usar criptografia no host para criptografar dados em repouso	Habilitar a criptografia no host ajuda a proteger e proteger seus dados para atender aos seus compromissos organizacionais de segurança e conformidade. Quando você habilita a criptografia no host, os dados armazenados no host da VM são criptografados em repouso e fluem criptografados para o serviço de armazenamento.	Auditoria, Negar, Desativado	1.0.0
Os espaços de trabalho do Azure Machine Learning devem ser criptografados com uma chave gerenciada pelo cliente	Gerencie a criptografia no restante dos dados do espaço de trabalho do Azure Machine Learning com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/azureml-workspaces-cmk.	Auditoria, Negar, Desativado	1.1.0
Os clusters do Azure Monitor Logs devem ser criptografados com chave gerenciada pelo cliente	Crie o cluster de logs do Azure Monitor com criptografia de chaves gerenciadas pelo cliente. Por padrão, os dados de log são criptografados com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender à conformidade regulamentar. A chave gerida pelo cliente no Azure Monitor dá-lhe mais controlo sobre o acesso aos seus dados, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os trabalhos do Azure Stream Analytics devem usar chaves gerenciadas pelo cliente para criptografar dados	Use chaves gerenciadas pelo cliente quando quiser armazenar com segurança quaisquer metadados e ativos de dados privados de seus trabalhos do Stream Analytics em sua conta de armazenamento. Isso lhe dá controle total sobre como seus dados do Stream Analytics são criptografados.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os espaços de trabalho do Azure Synapse devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para controlar a criptografia em repouso dos dados armazenados nos espaços de trabalho do Azure Synapse. As chaves gerenciadas pelo cliente oferecem criptografia dupla adicionando uma segunda camada de criptografia sobre a criptografia padrão com chaves gerenciadas por serviço.	Auditoria, Negar, Desativado	1.0.0
O Serviço de Bot deve ser criptografado com uma chave gerenciada pelo cliente	O Serviço de Bot do Azure criptografa automaticamente seu recurso para proteger seus dados e cumprir os compromissos organizacionais de segurança e conformidade. Por padrão, as chaves de criptografia gerenciadas pela Microsoft são usadas. Para maior flexibilidade na gestão de chaves ou no controlo do acesso à sua subscrição, selecione chaves geridas pelo cliente, também conhecidas como traga a sua própria chave (BYOK). Saiba mais sobre a criptografia do Serviço de Bot do Azure: https://docs.microsoft.com/azure/bot-service/bot-service-encryption.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os sistemas operacionais e os discos de dados nos clusters do Serviço Kubernetes do Azure devem ser criptografados por chaves gerenciadas pelo cliente	A encriptação do SO e dos discos de dados utilizando chaves geridas pelo cliente proporciona mais controlo e maior flexibilidade na gestão de chaves. Este é um requisito comum em muitas normas regulatórias e de conformidade do setor.	Auditoria, Negar, Desativado	1.0.1
Os registros de contêiner devem ser criptografados com uma chave gerenciada pelo cliente	Use chaves gerenciadas pelo cliente para gerenciar a criptografia no restante do conteúdo de seus registros. Por padrão, os dados são criptografados em repouso com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/acr/CMK.	Auditoria, Negar, Desativado	1.1.2
Definir um processo de gerenciamento de chaves físicas	CMA_0115 - Definir um processo de gestão de chaves físicas	Manual, Desativado	1.1.0
Definir cryptographic use	CMA_0120 - Definir uso criptográfico	Manual, Desativado	1.1.0
Definir requisitos organizacionais para gerenciamento de chaves criptográficas	CMA_0123 - Definir requisitos organizacionais para o gerenciamento de chaves criptográficas	Manual, Desativado	1.1.0
Determinar requisitos de asserção	CMA_0136 - Determinar os requisitos de asserção	Manual, Desativado	1.1.0
Os namespaces do Hub de Eventos devem usar uma chave gerenciada pelo cliente para criptografia	Os Hubs de Eventos do Azure dão suporte à opção de criptografar dados em repouso com chaves gerenciadas pela Microsoft (padrão) ou chaves gerenciadas pelo cliente. Optar por criptografar dados usando chaves gerenciadas pelo cliente permite atribuir, girar, desabilitar e revogar o acesso às chaves que o Hub de Eventos usará para criptografar dados em seu namespace. Observe que o Hub de Eventos só oferece suporte à criptografia com chaves gerenciadas pelo cliente para namespaces em clusters dedicados.	Auditoria, Desativado	1.0.0
As contas de cache HPC devem usar a chave gerenciada pelo cliente para criptografia	Gerencie a criptografia em repouso do Cache HPC do Azure com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento.	Auditar, Desabilitar, Negar	2.0.0
Emitir certificados de chave pública	CMA_0347 - Emitir certificados de chave pública	Manual, Desativado	1.1.0
O Ambiente do Serviço de Integração de Aplicativos Lógicos deve ser criptografado com chaves gerenciadas pelo cliente	Implante no Integration Service Environment para gerenciar a criptografia no restante dos dados dos Aplicativos Lógicos usando chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento.	Auditoria, Negar, Desativado	1.0.0
Gerenciar chaves criptográficas simétricas	CMA_0367 - Gerenciar chaves criptográficas simétricas	Manual, Desativado	1.1.0
Os discos gerenciados devem ser duplamente criptografados com chaves gerenciadas pela plataforma e gerenciadas pelo cliente	Os clientes sensíveis à alta segurança que estão preocupados com o risco associado a qualquer algoritmo de criptografia específico, implementação ou chave comprometida podem optar por uma camada adicional de criptografia usando um algoritmo/modo de criptografia diferente na camada de infraestrutura usando chaves de criptografia gerenciadas pela plataforma. Os conjuntos de criptografia de disco são necessários para usar criptografia dupla. Saiba mais em https://aka.ms/disks-doubleEncryption.	Auditoria, Negar, Desativado	1.0.0
Os servidores MySQL devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores MySQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento.	AuditIfNotExists, desativado	1.0.4
OS e discos de dados devem ser criptografados com uma chave gerenciada pelo cliente	Use chaves gerenciadas pelo cliente para gerenciar a criptografia no restante do conteúdo de seus discos gerenciados. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pela plataforma, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/disks-cmk.	Auditoria, Negar, Desativado	3.0.0
Os servidores PostgreSQL devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores PostgreSQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas por serviço, mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulamentar. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do Cofre de Chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento.	AuditIfNotExists, desativado	1.0.4
Restringir o acesso a chaves privadas	CMA_0445 - Restringir o acesso a chaves privadas	Manual, Desativado	1.1.0
As consultas salvas no Azure Monitor devem ser salvas na conta de armazenamento do cliente para criptografia de logs	Vincule a conta de armazenamento ao espaço de trabalho do Log Analytics para proteger consultas salvas com criptografia de conta de armazenamento. As chaves gerenciadas pelo cliente geralmente são necessárias para atender à conformidade regulatória e para ter mais controle sobre o acesso às suas consultas salvas no Azure Monitor. Para obter mais detalhes sobre o acima, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os namespaces Premium do Service Bus devem usar uma chave gerenciada pelo cliente para criptografia	O Barramento de Serviço do Azure dá suporte à opção de criptografar dados em repouso com chaves gerenciadas pela Microsoft (padrão) ou chaves gerenciadas pelo cliente. Optar por criptografar dados usando chaves gerenciadas pelo cliente permite atribuir, girar, desabilitar e revogar o acesso às chaves que o Service Bus usará para criptografar dados em seu namespace. Observe que o Service Bus só oferece suporte à criptografia com chaves gerenciadas pelo cliente para namespaces premium.	Auditoria, Desativado	1.0.0
As instâncias gerenciadas pelo SQL devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	A implementação da Criptografia de Dados Transparente (TDE) com sua própria chave proporciona maior transparência e controle sobre o Protetor TDE, maior segurança com um serviço externo apoiado por HSM e promoção da separação de tarefas. Esta recomendação aplica-se a organizações com um requisito de conformidade relacionado.	Auditoria, Negar, Desativado	2.0.0
Os servidores SQL devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	A implementação da Criptografia de Dados Transparente (TDE) com sua própria chave proporciona maior transparência e controle sobre o Protetor TDE, maior segurança com um serviço externo apoiado por HSM e promoção da separação de tarefas. Esta recomendação aplica-se a organizações com um requisito de conformidade relacionado.	Auditoria, Negar, Desativado	2.0.1
Os escopos de criptografia de conta de armazenamento devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso	Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos escopos de criptografia da conta de armazenamento. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do cofre de chaves do Azure criada e de sua propriedade. Você tem total controle e responsabilidade pelo ciclo de vida da chave, incluindo rotação e gerenciamento. Saiba mais sobre os escopos de criptografia de conta de armazenamento em https://aka.ms/encryption-scopes-overview.	Auditoria, Negar, Desativado	1.0.0
As contas de armazenamento devem usar a chave gerenciada pelo cliente para criptografia	Proteja sua conta de armazenamento de arquivos e blob com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando especifica uma chave gerida pelo cliente, essa chave é utilizada para proteger e controlar o acesso à chave que encripta os seus dados. O uso de chaves gerenciadas pelo cliente fornece recursos adicionais para controlar a rotação da chave de criptografia de chave ou apagar dados criptograficamente.	Auditoria, Desativado	1.0.3

Utilize criptografia validada pelo FIPS quando usada para proteger a confidencialidade do CUI.

ID: NIST SP 800-171 R2 3.13.11 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Definir cryptographic use	CMA_0120 - Definir uso criptográfico	Manual, Desativado	1.1.0

Proibir a ativação remota de dispositivos de computação colaborativa e fornecer indicação de dispositivos em uso aos usuários presentes no dispositivo

ID: NIST SP 800-171 R2 3.13.12 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Notificar explicitamente o uso de dispositivos de computação colaborativa	CMA_C1649 - Notificar explicitamente o uso de dispositivos de computação colaborativa	Manual, Desativado	1.1.1
Proibir a ativação remota de dispositivos de computação colaborativa	CMA_C1648 - Proibir a ativação remota de dispositivos de computação colaborativa	Manual, Desativado	1.1.0

Controlar e monitorizar a utilização de código móvel.

ID: NIST SP 800-171 R2 3.13.13 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Autorizar, monitorar e controlar o uso de tecnologias de código móvel	CMA_C1653 - Autorizar, monitorar e controlar o uso de tecnologias de código móvel	Manual, Desativado	1.1.0
Definir tecnologias de código móvel aceitáveis e inaceitáveis	CMA_C1651 - Definir tecnologias de código móvel aceitáveis e inaceitáveis	Manual, Desativado	1.1.0
Estabelecer restrições de uso para tecnologias de código móvel	CMA_C1652 - Estabelecer restrições de uso para tecnologias de código móvel	Manual, Desativado	1.1.0

Controlar e monitorizar a utilização de tecnologias de Voz sobre Protocolo Internet (VoIP).

ID: NIST SP 800-171 R2 3.13.14 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Autorizar, monitorar e controlar voip	CMA_0025 - Autorizar, monitorar e controlar voip	Manual, Desativado	1.1.0
Estabelecer restrições de uso de voip	CMA_0280 - Estabelecer restrições de uso de voip	Manual, Desativado	1.1.0

Proteja a autenticidade das sessões de comunicações.

ID: NIST SP 800-171 R2 3.13.15 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Configurar estações de trabalho para verificar certificados digitais	CMA_0073 - Configurar estações de trabalho para verificar certificados digitais	Manual, Desativado	1.1.0
Impor identificadores de sessão exclusivos aleatórios	CMA_0247 - Impor identificadores de sessão únicos aleatórios	Manual, Desativado	1.1.0

Proteja a confidencialidade do CUI em repouso.

ID: NIST SP 800-171 R2 3.13.16 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Ambiente do Serviço de Aplicativo deve ter a criptografia interna habilitada	Definir InternalEncryption como true criptografa o arquivo de paginação, os discos de trabalho e o tráfego de rede interna entre os front-ends e os trabalhadores em um Ambiente do Serviço de Aplicativo. Para saber mais, consulte https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption.	Auditoria, Desativado	1.0.1
As variáveis de conta de automação devem ser criptografadas	É importante habilitar a criptografia de ativos variáveis de conta de automação ao armazenar dados confidenciais	Auditoria, Negar, Desativado	1.1.0
Os trabalhos do Azure Data Box devem habilitar a criptografia dupla para dados em repouso no dispositivo	Habilite uma segunda camada de criptografia baseada em software para dados em repouso no dispositivo. O dispositivo já está protegido através da encriptação Advanced Encryption Standard de 256 bits para dados em repouso. Esta opção adiciona uma segunda camada de encriptação de dados.	Auditoria, Negar, Desativado	1.0.0
Os clusters de Logs do Azure Monitor devem ser criados com criptografia de infraestrutura habilitada (criptografia dupla)	Para garantir que a criptografia de dados segura seja habilitada no nível de serviço e no nível de infraestrutura com dois algoritmos de criptografia diferentes e duas chaves diferentes, use um cluster dedicado do Azure Monitor. Esta opção é ativada por padrão quando suportada na região, consulte https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
Os dispositivos do Azure Stack Edge devem usar criptografia dupla	Para proteger os dados em repouso no dispositivo, certifique-se de que está duplamente encriptado, que o acesso aos dados é controlado e, uma vez que o dispositivo é desativado, os dados são apagados com segurança dos discos de dados. A criptografia dupla é o uso de duas camadas de criptografia: criptografia BitLocker XTS-AES de 256 bits nos volumes de dados e criptografia interna dos discos rígidos. Saiba mais na documentação de visão geral de segurança para o dispositivo Stack Edge específico.	auditoria, auditoria, negar, negar, desativado, desativado	1.1.0
A criptografia de disco deve ser habilitada no Azure Data Explorer	Habilitar a criptografia de disco ajuda a proteger e proteger seus dados para atender aos seus compromissos organizacionais de segurança e conformidade.	Auditoria, Negar, Desativado	2.0.0
A criptografia dupla deve ser habilitada no Azure Data Explorer	Habilitar a criptografia dupla ajuda a proteger e proteger seus dados para atender aos seus compromissos organizacionais de segurança e conformidade. Quando a criptografia dupla é habilitada, os dados na conta de armazenamento são criptografados duas vezes, uma no nível de serviço e outra no nível de infraestrutura, usando dois algoritmos de criptografia diferentes e duas chaves diferentes.	Auditoria, Negar, Desativado	2.0.0
Estabelecer um procedimento de gestão de fugas de dados	CMA_0255 - Estabelecer um procedimento de gestão de fugas de dados	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
A criptografia de infraestrutura deve ser habilitada para o Banco de Dados do Azure para servidores MySQL	Habilite a criptografia de infraestrutura para o Banco de Dados do Azure para servidores MySQL para ter um nível mais alto de garantia de que os dados estão seguros. Quando a criptografia de infraestrutura está habilitada, os dados em repouso são criptografados duas vezes usando chaves gerenciadas pela Microsoft compatíveis com FIPS 140-2.	Auditoria, Negar, Desativado	1.0.0
A criptografia de infraestrutura deve ser habilitada para o Banco de Dados do Azure para servidores PostgreSQL	Habilite a criptografia de infraestrutura para o Banco de Dados do Azure para servidores PostgreSQL para ter um nível mais alto de garantia de que os dados estão seguros. Quando a criptografia de infraestrutura está habilitada, os dados em repouso são criptografados duas vezes usando chaves gerenciadas pela Microsoft compatíveis com FIPS 140-2	Auditoria, Negar, Desativado	1.0.0
Proteja os dados em trânsito usando criptografia	CMA_0403 - Proteja os dados em trânsito usando criptografia	Manual, Desativado	1.1.0
Proteja informações especiais	CMA_0409 - Proteja informações especiais	Manual, Desativado	1.1.0
Os clusters do Service Fabric devem ter a propriedade ClusterProtectionLevel definida como EncryptAndSign	O Service Fabric fornece três níveis de proteção (Nenhum, Assinar e EncryptAndSign) para comunicação nó a nó usando um certificado de cluster primário. Defina o nível de proteção para garantir que todas as mensagens nó a nó sejam criptografadas e assinadas digitalmente	Auditoria, Negar, Desativado	1.1.0
As contas de armazenamento devem ter criptografia de infraestrutura	Habilite a criptografia de infraestrutura para obter um nível mais alto de garantia de que os dados estão seguros. Quando a criptografia de infraestrutura está habilitada, os dados em uma conta de armazenamento são criptografados duas vezes.	Auditoria, Negar, Desativado	1.0.0
Os discos temporários e o cache para pools de nós de agente nos clusters do Serviço Kubernetes do Azure devem ser criptografados no host	Para melhorar a segurança dos dados, os dados armazenados no host da máquina virtual (VM) das VMs dos nós do Serviço Kubernetes do Azure devem ser criptografados em repouso. Este é um requisito comum em muitas normas regulatórias e de conformidade do setor.	Auditoria, Negar, Desativado	1.0.1
A criptografia de dados transparente em bancos de dados SQL deve ser habilitada	A criptografia de dados transparente deve ser habilitada para proteger os dados em repouso e atender aos requisitos de conformidade	AuditIfNotExists, desativado	2.0.0
Máquinas virtuais e conjuntos de dimensionamento de máquinas virtuais devem ter a criptografia no host habilitada	Use a criptografia no host para obter criptografia de ponta a ponta para sua máquina virtual e dados do conjunto de dimensionamento da máquina virtual. A criptografia no host permite a criptografia em repouso para seus caches de disco temporário e SO/disco de dados. Os discos temporários e efêmeros do sistema operacional são criptografados com chaves gerenciadas pela plataforma quando a criptografia no host está ativada. Os caches de disco de SO/dados são criptografados em repouso com chave gerenciada pelo cliente ou gerenciada pela plataforma, dependendo do tipo de criptografia selecionado no disco. Saiba mais em https://aka.ms/vm-hbe.	Auditoria, Negar, Desativado	1.0.0

Empregar projetos arquitetônicos, técnicas de desenvolvimento de software e princípios de engenharia de sistemas que promovam a segurança eficaz da informação nos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.13.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: O acesso público à conta de armazenamento não deve ser permitido	O acesso público de leitura anônimo a contêineres e blobs no Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário exija.	auditoria, auditoria, negar, negar, desativado, desativado	3.1.0-Pré-visualização
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual	A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos.	AuditIfNotExists, desativado	3.0.0
Os serviços de gerenciamento de API devem usar uma rede virtual	A implantação da Rede Virtual do Azure fornece segurança aprimorada, isolamento e permite que você coloque seu serviço de Gerenciamento de API em uma rede roteável que não seja da Internet à qual você controla o acesso. Essas redes podem ser conectadas às suas redes locais usando várias tecnologias VPN, o que permite o acesso aos seus serviços de back-end dentro da rede e/ou no local. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessíveis a partir da Internet ou apenas dentro da rede virtual.	Auditoria, Negar, Desativado	1.0.2
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Recomenda-se limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicativos de redes permitidas possam acessar o cluster.	Auditoria, Desativado	2.0.1
Os recursos dos Serviços de IA do Azure devem restringir o acesso à rede	Ao restringir o acesso à rede, você pode garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço Azure AI.	Auditoria, Negar, Desativado	3.2.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
Os serviços da Pesquisa Cognitiva do Azure devem desativar o acesso à rede pública	Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa Cognitiva do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do seu serviço de Pesquisa. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall	As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra IP definida com o filtro de rede virtual ativado são consideradas compatíveis. As contas que desativam o acesso público também são consideradas compatíveis.	Auditoria, Negar, Desativado	2.1.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
O Azure Key Vault deve ter firewall ativado	Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IPs público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security	Auditoria, Negar, Desativado	3.2.1
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Firewall de Aplicativo Web do Azure deve ser habilitado para pontos de entrada do Azure Front Door	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	1.0.2
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores não devem permitir o acesso irrestrito à rede	Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger os seus registos de potenciais ameaças, permita o acesso apenas a partir de terminais privados específicos, endereços IP públicos ou intervalos de endereços. Se o seu registro não tiver regras de rede configuradas, ele aparecerá nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Auditoria, Negar, Desativado	2.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
As máquinas virtuais voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais contra ameaças potenciais restringindo o acesso a elas com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
O encaminhamento de IP em sua máquina virtual deve ser desabilitado	Habilitar o encaminhamento de IP na NIC de uma máquina virtual permite que a máquina receba tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como um dispositivo virtual de rede) e, portanto, isso deve ser revisado pela equipe de segurança de rede.	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time	O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento devem ser fechadas em suas máquinas virtuais	As portas de gerenciamento remoto abertas estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam obter credenciais de força bruta para obter acesso de administrador à máquina.	AuditIfNotExists, desativado	3.0.0
As máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais não voltadas para a Internet contra ameaças potenciais restringindo o acesso com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado	A desativação da propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração nega todos os logins que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	1.1.0
O acesso à rede pública deve ser desativado para servidores MariaDB	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desativado para servidores MySQL	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MySQL só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL	Desabilite a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para PostgreSQL só possa ser acessado a partir de um ponto de extremidade privado. Esta configuração desativa o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os inícios de sessão que correspondam a regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.1
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual	Proteja suas contas de armazenamento contra ameaças potenciais usando regras de rede virtual como um método preferencial em vez da filtragem baseada em IP. A desativação da filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento.	Auditoria, Negar, Desativado	1.0.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
As sub-redes devem estar associadas a um Grupo de Segurança de Rede	Proteja sua sub-rede contra ameaças potenciais restringindo o acesso a ela com um NSG (Network Security Group). Os NSGs contêm uma lista de regras de ACL (Lista de Controle de Acesso) que permitem ou negam tráfego de rede para sua sub-rede.	AuditIfNotExists, desativado	3.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0
O Web Application Firewall (WAF) deve ser habilitado para o Application Gateway	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	2.0.0

Separe a funcionalidade do usuário da funcionalidade de gerenciamento do sistema.

ID: NIST SP 800-171 R2 3.13.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Autorizar acesso remoto	CMA_0024 - Autorizar acesso remoto	Manual, Desativado	1.1.0
Funcionalidade separada de gerenciamento de usuários e sistemas de informação	CMA_0493 - Separe a funcionalidade de gestão do utilizador e do sistema de informação	Manual, Desativado	1.1.0
Usar máquinas dedicadas para tarefas administrativas	CMA_0527 - Use máquinas dedicadas para tarefas administrativas	Manual, Desativado	1.1.0

Implementar sub-redes para componentes do sistema acessíveis publicamente que estejam física ou logicamente separados das redes internas.

ID: NIST SP 800-171 R2 3.13.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: os serviços de Pesquisa Cognitiva do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para a Pesquisa Cognitiva do Azure, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Desativado	1.0.1-preterido
[Preterido]: Serviços Cognitivos devem usar link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para Serviços Cognitivos, você reduzirá o potencial de vazamento de dados. Saiba mais sobre links privados em: https://go.microsoft.com/fwlink/?linkid=2129800.	Auditoria, Desativado	3.0.1-preterido
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: O acesso público à conta de armazenamento não deve ser permitido	O acesso público de leitura anônimo a contêineres e blobs no Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário exija.	auditoria, auditoria, negar, negar, desativado, desativado	3.1.0-Pré-visualização
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual	A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos.	AuditIfNotExists, desativado	3.0.0
Os serviços de gerenciamento de API devem usar uma rede virtual	A implantação da Rede Virtual do Azure fornece segurança aprimorada, isolamento e permite que você coloque seu serviço de Gerenciamento de API em uma rede roteável que não seja da Internet à qual você controla o acesso. Essas redes podem ser conectadas às suas redes locais usando várias tecnologias VPN, o que permite o acesso aos seus serviços de back-end dentro da rede e/ou no local. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessíveis a partir da Internet ou apenas dentro da rede virtual.	Auditoria, Negar, Desativado	1.0.2
A configuração do aplicativo deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para as instâncias de configuração do seu aplicativo em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, desativado	1.0.2
Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Recomenda-se limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicativos de redes permitidas possam acessar o cluster.	Auditoria, Desativado	2.0.1
Os recursos dos Serviços de IA do Azure devem restringir o acesso à rede	Ao restringir o acesso à rede, você pode garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço Azure AI.	Auditoria, Negar, Desativado	3.2.0
A API do Azure para FHIR deve usar o link privado	A API do Azure para FHIR deve ter pelo menos uma conexão de ponto de extremidade privada aprovada. Os clientes em uma rede virtual podem acessar com segurança recursos que têm conexões de ponto de extremidade privadas por meio de links privados. Para mais informações, visite: https://aka.ms/fhir-privatelink.	Auditoria, Desativado	1.0.0
O Cache Redis do Azure deve usar o link privado	Os pontos de extremidade privados permitem conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para seu Cache do Azure para instâncias Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, desativado	1.0.0
O serviço de Pesquisa Cognitiva do Azure deve usar uma SKU que ofereça suporte ao link privado	Com SKUs suportadas da Pesquisa Cognitiva do Azure, o Azure Private Link permite-lhe ligar a sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para o seu serviço de pesquisa, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
Os serviços da Pesquisa Cognitiva do Azure devem desativar o acesso à rede pública	Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa Cognitiva do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do seu serviço de Pesquisa. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall	As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra IP definida com o filtro de rede virtual ativado são consideradas compatíveis. As contas que desativam o acesso público também são consideradas compatíveis.	Auditoria, Negar, Desativado	2.1.0
O Azure Data Factory deve usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, desativado	1.0.0
Os domínios da Grade de Eventos do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
Os tópicos da Grade de Eventos do Azure devem usar o link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o tópico da Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/privateendpoints.	Auditoria, Desativado	1.0.2
O Azure File Sync deve usar o link privado	A criação de um ponto de extremidade privado para o recurso do Serviço de Sincronização de Armazenamento indicado permite que você aborde o recurso do Serviço de Sincronização de Armazenamento a partir do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público.	AuditIfNotExists, desativado	1.0.0
O Azure Key Vault deve ter firewall ativado	Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IPs público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security	Auditoria, Negar, Desativado	3.2.1
Os Cofres de Chaves do Azure devem usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o cofre de chaves, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/akvprivatelink.	[parâmetros(«audit_effect»)]	1.2.1
Os espaços de trabalho do Azure Machine Learning devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para espaços de trabalho do Azure Machine Learning, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Auditoria, Desativado	1.0.0
Os namespaces do Barramento de Serviço do Azure devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Service Bus, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, desativado	1.0.0
O Serviço Azure SignalR deve usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu recurso do Serviço Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/asrs/privatelink.	Auditoria, Desativado	1.0.0
Os espaços de trabalho do Azure Synapse devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o espaço de trabalho do Azure Synapse, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Auditoria, Desativado	1.0.1
O Firewall de Aplicativo Web do Azure deve ser habilitado para pontos de entrada do Azure Front Door	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	1.0.2
O Serviço Azure Web PubSub deve usar o link privado	O Azure Private Link permite conectar suas redes virtuais aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seu Serviço Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: https://aka.ms/awps/privatelink.	Auditoria, Desativado	1.0.0
Os registos de contentores não devem permitir o acesso irrestrito à rede	Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger os seus registos de potenciais ameaças, permita o acesso apenas a partir de terminais privados específicos, endereços IP públicos ou intervalos de endereços. Se o seu registro não tiver regras de rede configuradas, ele aparecerá nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Auditoria, Negar, Desativado	2.0.0
Os registos de contentores devem utilizar a ligação privada	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: https://aka.ms/acr/private-link.	Auditoria, Desativado	1.0.1
As contas do CosmosDB devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Auditoria, Desativado	1.0.0
Os recursos de acesso ao disco devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, desativado	1.0.0
Os namespaces do Hub de Eventos devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, desativado	1.0.0
As máquinas virtuais voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais contra ameaças potenciais restringindo o acesso a elas com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As instâncias de serviço de provisionamento de dispositivos do Hub IoT devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos do Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://aka.ms/iotdpsvnet.	Auditoria, Desativado	1.0.0
O encaminhamento de IP em sua máquina virtual deve ser desabilitado	Habilitar o encaminhamento de IP na NIC de uma máquina virtual permite que a máquina receba tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como um dispositivo virtual de rede) e, portanto, isso deve ser revisado pela equipe de segurança de rede.	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time	O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento devem ser fechadas em suas máquinas virtuais	As portas de gerenciamento remoto abertas estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam obter credenciais de força bruta para obter acesso de administrador à máquina.	AuditIfNotExists, desativado	3.0.0
As máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais não voltadas para a Internet contra ameaças potenciais restringindo o acesso com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As conexões de ponto de extremidade privado no Banco de Dados SQL do Azure devem ser habilitadas	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados SQL do Azure.	Auditoria, Desativado	1.1.0
Ponto de extremidade privado deve ser habilitado para servidores MariaDB	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores MySQL	As conexões de ponto de extremidade privado impõem comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
Ponto de extremidade privado deve ser habilitado para servidores PostgreSQL	As conexões de ponto de extremidade privado impõem uma comunicação segura habilitando a conectividade privada com o Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privada para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive no Azure.	AuditIfNotExists, desativado	1.0.2
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado	A desativação da propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração nega todos os logins que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	1.1.0
O acesso à rede pública deve ser desativado para servidores MariaDB	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desativado para servidores MySQL	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MySQL só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL	Desabilite a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para PostgreSQL só possa ser acessado a partir de um ponto de extremidade privado. Esta configuração desativa o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os inícios de sessão que correspondam a regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.1
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual	Proteja suas contas de armazenamento contra ameaças potenciais usando regras de rede virtual como um método preferencial em vez da filtragem baseada em IP. A desativação da filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento.	Auditoria, Negar, Desativado	1.0.1
As contas de armazenamento devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear endpoints privados para sua conta de armazenamento, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, desativado	2.0.0
As sub-redes devem estar associadas a um Grupo de Segurança de Rede	Proteja sua sub-rede contra ameaças potenciais restringindo o acesso a ela com um NSG (Network Security Group). Os NSGs contêm uma lista de regras de ACL (Lista de Controle de Acesso) que permitem ou negam tráfego de rede para sua sub-rede.	AuditIfNotExists, desativado	3.0.0
Os modelos do Construtor de Imagens de VM devem usar link privado	O Azure Private Link permite conectar sua rede virtual aos serviços do Azure sem um endereço IP público na origem ou no destino. A plataforma Private Link lida com a conectividade entre o consumidor e os serviços através da rede de backbone do Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do VM Image Builder, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Auditar, Desabilitar, Negar	1.1.0
O Web Application Firewall (WAF) deve ser habilitado para o Application Gateway	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	2.0.0

Negar tráfego de comunicações de rede por padrão e permitir tráfego de comunicações de rede por exceção (ou seja, negar tudo, permitir por exceção).

ID: NIST SP 800-171 R2 3.13.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: O acesso público à conta de armazenamento não deve ser permitido	O acesso público de leitura anônimo a contêineres e blobs no Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos de segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, a Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário exija.	auditoria, auditoria, negar, negar, desativado, desativado	3.1.0-Pré-visualização
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual	A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos.	AuditIfNotExists, desativado	3.0.0
Os intervalos de IP autorizados devem ser definidos nos Serviços Kubernetes	Restrinja o acesso à API de Gerenciamento de Serviços do Kubernetes concedendo acesso à API apenas a endereços IP em intervalos específicos. Recomenda-se limitar o acesso a intervalos de IP autorizados para garantir que apenas aplicativos de redes permitidas possam acessar o cluster.	Auditoria, Desativado	2.0.1
Os recursos dos Serviços de IA do Azure devem restringir o acesso à rede	Ao restringir o acesso à rede, você pode garantir que apenas as redes permitidas possam acessar o serviço. Isso pode ser alcançado configurando regras de rede para que apenas aplicativos de redes permitidas possam acessar o serviço Azure AI.	Auditoria, Negar, Desativado	3.2.0
Os serviços da Pesquisa Cognitiva do Azure devem desativar o acesso à rede pública	Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa Cognitiva do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do seu serviço de Pesquisa. Saiba mais em: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Auditoria, Negar, Desativado	1.0.0
As contas do Azure Cosmos DB devem ter regras de firewall	As regras de firewall devem ser definidas em suas contas do Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. As contas que têm pelo menos uma regra IP definida com o filtro de rede virtual ativado são consideradas compatíveis. As contas que desativam o acesso público também são consideradas compatíveis.	Auditoria, Negar, Desativado	2.1.0
O Azure Key Vault deve ter firewall ativado	Habilite o firewall do cofre de chaves para que o cofre de chaves não seja acessível por padrão a nenhum IPs público. Opcionalmente, você pode configurar intervalos de IP específicos para limitar o acesso a essas redes. Saiba mais em: https://docs.microsoft.com/azure/key-vault/general/network-security	Auditoria, Negar, Desativado	3.2.1
O Firewall de Aplicativo Web do Azure deve ser habilitado para pontos de entrada do Azure Front Door	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	1.0.2
Os registos de contentores não devem permitir o acesso irrestrito à rede	Por padrão, os registros de contêiner do Azure aceitam conexões pela Internet de hosts em qualquer rede. Para proteger os seus registos de potenciais ameaças, permita o acesso apenas a partir de terminais privados específicos, endereços IP públicos ou intervalos de endereços. Se o seu registro não tiver regras de rede configuradas, ele aparecerá nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: https://aka.ms/acr/privatelink, https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Auditoria, Negar, Desativado	2.0.0
As máquinas virtuais voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais contra ameaças potenciais restringindo o acesso a elas com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time	O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.0.0
As portas de gerenciamento devem ser fechadas em suas máquinas virtuais	As portas de gerenciamento remoto abertas estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam obter credenciais de força bruta para obter acesso de administrador à máquina.	AuditIfNotExists, desativado	3.0.0
As máquinas virtuais não voltadas para a Internet devem ser protegidas com grupos de segurança de rede	Proteja suas máquinas virtuais não voltadas para a Internet contra ameaças potenciais restringindo o acesso com grupos de segurança de rede (NSG). Saiba mais sobre como controlar o tráfego com NSGs em https://aka.ms/nsg-doc	AuditIfNotExists, desativado	3.0.0
O acesso à rede pública no Banco de Dados SQL do Azure deve ser desabilitado	A desativação da propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração nega todos os logins que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	1.1.0
O acesso à rede pública deve ser desativado para servidores MariaDB	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MariaDB só possa ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desativado para servidores MySQL	Desative a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para MySQL só possa ser acessado a partir de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.0
O acesso à rede pública deve ser desabilitado para servidores PostgreSQL	Desabilite a propriedade de acesso à rede pública para melhorar a segurança e garantir que seu Banco de Dados do Azure para PostgreSQL só possa ser acessado a partir de um ponto de extremidade privado. Esta configuração desativa o acesso de qualquer espaço de endereço público fora do intervalo de IP do Azure e nega todos os inícios de sessão que correspondam a regras de firewall baseadas em IP ou rede virtual.	Auditoria, Negar, Desativado	2.0.1
As contas de armazenamento devem restringir o acesso à rede	O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública	Auditoria, Negar, Desativado	1.1.1
As contas de armazenamento devem restringir o acesso à rede usando regras de rede virtual	Proteja suas contas de armazenamento contra ameaças potenciais usando regras de rede virtual como um método preferencial em vez da filtragem baseada em IP. A desativação da filtragem baseada em IP impede que IPs públicos acessem suas contas de armazenamento.	Auditoria, Negar, Desativado	1.0.1
As sub-redes devem estar associadas a um Grupo de Segurança de Rede	Proteja sua sub-rede contra ameaças potenciais restringindo o acesso a ela com um NSG (Network Security Group). Os NSGs contêm uma lista de regras de ACL (Lista de Controle de Acesso) que permitem ou negam tráfego de rede para sua sub-rede.	AuditIfNotExists, desativado	3.0.0
O Web Application Firewall (WAF) deve ser habilitado para o Application Gateway	Implante o Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. O Web Application Firewall (WAF) fornece proteção centralizada de seus aplicativos Web contra exploits e vulnerabilidades comuns, como injeções de SQL, scripts entre sites e execuções de arquivos locais e remotos. Você também pode restringir o acesso aos seus aplicativos da Web por países, intervalos de endereços IP e outros parâmetros http(s) por meio de regras personalizadas.	Auditoria, Negar, Desativado	2.0.0

Impeça que dispositivos remotos estabeleçam simultaneamente conexões não remotas com sistemas organizacionais e se comuniquem por meio de alguma outra conexão com recursos em redes externas (ou seja, tunelamento dividido).

ID: NIST SP 800-171 R2 3.13.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Impedir o túnel dividido para dispositivos remotos	CMA_C1632 - Evitar tunelamento dividido para dispositivos remotos	Manual, Desativado	1.1.0

Implementar mecanismos criptográficos para impedir a divulgação não autorizada de CUI durante a transmissão, a menos que protegido de outra forma por salvaguardas físicas alternativas.

ID: NIST SP 800-171 R2 3.13.8 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Os aplicativos do Serviço de Aplicativo só devem ser acessíveis por HTTPS	O uso de HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito contra ataques de espionagem da camada de rede.	Auditar, Desabilitar, Negar	4.0.0
Os aplicativos do Serviço de Aplicativo devem exigir apenas FTPS	Habilite a imposição de FTPS para maior segurança.	AuditIfNotExists, desativado	3.0.0
Os aplicativos do Serviço de Aplicativo devem usar a versão TLS mais recente	Periodicamente, versões mais recentes são lançadas para TLS devido a falhas de segurança, incluem funcionalidades adicionais e aumentam a velocidade. Atualize para a versão TLS mais recente para aplicativos do Serviço de Aplicativo para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente.	AuditIfNotExists, desativado	2.0.1
Os clusters do Azure HDInsight devem usar criptografia em trânsito para criptografar a comunicação entre nós de cluster do Azure HDInsight	Os dados podem ser adulterados durante a transmissão entre nós de cluster do Azure HDInsight. Habilitar a criptografia em trânsito resolve problemas de uso indevido e adulteração durante essa transmissão.	Auditoria, Negar, Desativado	1.0.0
Configurar estações de trabalho para verificar certificados digitais	CMA_0073 - Configurar estações de trabalho para verificar certificados digitais	Manual, Desativado	1.1.0
Impor conexão SSL deve ser habilitado para servidores de banco de dados MySQL	O Banco de Dados do Azure para MySQL dá suporte à conexão do seu Banco de Dados do Azure para servidor MySQL a aplicativos cliente usando SSL (Secure Sockets Layer). A imposição de conexões SSL entre o servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques "man in the middle", criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL esteja sempre habilitado para acessar o servidor de banco de dados.	Auditoria, Desativado	1.0.1
Impor conexão SSL deve ser habilitado para servidores de banco de dados PostgreSQL	O Banco de Dados do Azure para PostgreSQL dá suporte à conexão do seu Banco de Dados do Azure para servidor PostgreSQL a aplicativos cliente usando SSL (Secure Sockets Layer). A imposição de conexões SSL entre o servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques "man in the middle", criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL esteja sempre habilitado para acessar o servidor de banco de dados.	Auditoria, Desativado	1.0.1
Os aplicativos de função só devem ser acessíveis por HTTPS	O uso de HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito contra ataques de espionagem da camada de rede.	Auditar, Desabilitar, Negar	5.0.0
Os aplicativos de função devem exigir apenas FTPS	Habilite a imposição de FTPS para maior segurança.	AuditIfNotExists, desativado	3.0.0
Os aplicativos de função devem usar a versão TLS mais recente	Periodicamente, versões mais recentes são lançadas para TLS devido a falhas de segurança, incluem funcionalidades adicionais e aumentam a velocidade. Atualize para a versão TLS mais recente para aplicativos Function para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente.	AuditIfNotExists, desativado	2.0.1
Os clusters Kubernetes devem ser acessíveis somente por HTTPS	O uso de HTTPS garante a autenticação e protege os dados em trânsito contra ataques de espionagem da camada de rede. Esse recurso está atualmente disponível para o Serviço Kubernetes (AKS) e em visualização para o Kubernetes habilitado para Azure Arc. Para mais informações, visite https://aka.ms/kubepolicydoc	auditoria, auditoria, negar, negar, desativado, desativado	8.2.0
Somente conexões seguras com seu Cache Redis do Azure devem ser habilitadas	Ativação de auditoria apenas de conexões via SSL para o Cache do Azure para Redis. O uso de conexões seguras garante a autenticação entre o servidor e o serviço e protege os dados em trânsito contra ataques da camada de rede, como man-in-the-middle, escutas e sequestro de sessão	Auditoria, Negar, Desativado	1.0.0
Proteja os dados em trânsito usando criptografia	CMA_0403 - Proteja os dados em trânsito usando criptografia	Manual, Desativado	1.1.0
Proteja senhas com criptografia	CMA_0408 - Proteja senhas com criptografia	Manual, Desativado	1.1.0
A transferência segura para contas de armazenamento deve ser ativada	Requisito de auditoria de transferência segura em sua conta de armazenamento. A transferência segura é uma opção que força sua conta de armazenamento a aceitar solicitações somente de conexões seguras (HTTPS). O uso de HTTPS garante a autenticação entre o servidor e o serviço e protege os dados em trânsito contra ataques da camada de rede, como man-in-the-middle, escutas e sequestro de sessão	Auditoria, Negar, Desativado	2.0.0
As máquinas Windows devem ser configuradas para usar protocolos de comunicação seguros	Para proteger a privacidade das informações comunicadas pela Internet, suas máquinas devem usar a versão mais recente do protocolo criptográfico padrão do setor, Transport Layer Security (TLS). O TLS protege as comunicações através de uma rede encriptando uma ligação entre máquinas.	AuditIfNotExists, desativado	4.1.1

Encerrar conexões de rede associadas a sessões de comunicação no final das sessões ou após um período definido de inatividade.

ID: NIST SP 800-171 R2 3.13.9 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Reautenticar ou encerrar uma sessão de usuário	CMA_0421 - Reautenticar ou encerrar uma sessão de usuário	Manual, Desativado	1.1.0

Integridade do Sistema e da Informação

Identifique, relate e corrija falhas do sistema em tempo hábil.

ID: NIST SP 800-171 R2 3.14.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais	Audita máquinas virtuais para detetar se elas estão executando uma solução de avaliação de vulnerabilidade suportada. Um componente central de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O nível de preços padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo extra. Além disso, a Central de Segurança pode implantar automaticamente essa ferramenta para você.	AuditIfNotExists, desativado	3.0.0
Os aplicativos do Serviço de Aplicativo devem usar a 'Versão HTTP' mais recente	Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usando a versão HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente.	AuditIfNotExists, desativado	4.0.0
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
Os aplicativos de função devem usar a 'Versão HTTP' mais recente	Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usando a versão HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente.	AuditIfNotExists, desativado	4.0.0
Incorporar a correção de falhas no gerenciamento de configuração	CMA_C1671 - Incorporar a correção de falhas no gerenciamento de configuração	Manual, Desativado	1.1.0
Os Serviços do Kubernetes devem ser atualizados para uma versão não vulnerável do Kubernetes	Atualize seu cluster de serviço do Kubernetes para uma versão posterior do Kubernetes para proteger contra vulnerabilidades conhecidas na sua versão atual do Kubernetes. A vulnerabilidade CVE-2019-9946 foi corrigida nas versões 1.11.9+, 1.12.7+, 1.13.5+ e 1.14.0+ do Kubernetes	Auditoria, Desativado	1.0.2
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
Executar verificações de vulnerabilidade	CMA_0393 - Executar verificações de vulnerabilidade	Manual, Desativado	1.1.0
Remediar falhas no sistema de informação	CMA_0427 - Remediar falhas no sistema de informação	Manual, Desativado	1.1.0
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas	Monitore a avaliação de vulnerabilidades, os resultados da verificação e as recomendações sobre como corrigir vulnerabilidades do banco de dados.	AuditIfNotExists, desativado	4.1.0
As vulnerabilidades na configuração de segurança em suas máquinas devem ser corrigidas	Os servidores que não satisfizerem a linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações	AuditIfNotExists, desativado	3.1.0
O Windows Defender Exploit Guard deve ser ativado nas suas máquinas	O Windows Defender Exploit Guard usa o agente de Configuração de Convidado de Política do Azure. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e bloquear comportamentos comumente usados em ataques de malware, permitindo que as empresas equilibrem seus requisitos de segurança, risco e produtividade (somente Windows).	AuditIfNotExists, desativado	2.0.0

Forneça proteção contra códigos maliciosos em locais designados dentro dos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.14.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	CMA_0050 - Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	Manual, Desativado	1.1.0
Gerenciar gateways	CMA_0363 - Gerenciar gateways	Manual, Desativado	1.1.0
O Microsoft Antimalware para Azure deve ser configurado para atualizar automaticamente as assinaturas de proteção	Esta política audita qualquer máquina virtual do Windows não configurada com a atualização automática das assinaturas de proteção antimalware da Microsoft.	AuditIfNotExists, desativado	1.0.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
A extensão Microsoft IaaSAntimalware deve ser implantada em servidores Windows	Esta política audita qualquer VM de servidor Windows sem a extensão Microsoft IaaSAntimalware implantada.	AuditIfNotExists, desativado	1.1.0
Realizar uma análise de tendência sobre ameaças	CMA_0389 - Realizar uma análise de tendência sobre ameaças	Manual, Desativado	1.1.0
Executar verificações de vulnerabilidade	CMA_0393 - Executar verificações de vulnerabilidade	Manual, Desativado	1.1.0
Revise o relatório de deteções de malware semanalmente	CMA_0475 - Revise o relatório de deteções de malware semanalmente	Manual, Desativado	1.1.0
Revise o status de proteção contra ameaças semanalmente	CMA_0479 - Revise o status de proteção contra ameaças semanalmente	Manual, Desativado	1.1.0
Atualizar definições de antivírus	CMA_0517 - Atualizar definições de antivírus	Manual, Desativado	1.1.0
O Windows Defender Exploit Guard deve ser ativado nas suas máquinas	O Windows Defender Exploit Guard usa o agente de Configuração de Convidado de Política do Azure. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e bloquear comportamentos comumente usados em ataques de malware, permitindo que as empresas equilibrem seus requisitos de segurança, risco e produtividade (somente Windows).	AuditIfNotExists, desativado	2.0.0

Monitore alertas e avisos de segurança do sistema e tome medidas em resposta.

ID: NIST SP 800-171 R2 3.14.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
Disseminar alertas de segurança para o pessoal	CMA_C1705 - Divulgar alertas de segurança ao pessoal	Manual, Desativado	1.1.0
A notificação por e-mail para alertas de alta gravidade deve ser ativada	Para garantir que as pessoas relevantes em sua organização sejam notificadas quando houver uma possível violação de segurança em uma de suas assinaturas, habilite as notificações por e-mail para alertas de alta gravidade na Central de Segurança.	AuditIfNotExists, desativado	1.2.0
A notificação por e-mail ao proprietário da assinatura para alertas de alta gravidade deve ser habilitada	Para garantir que os proprietários da sua subscrição são notificados quando existe uma potencial violação de segurança na respetiva subscrição, defina notificações por e-mail aos proprietários da subscrição para alertas de elevada gravidade no Centro de Segurança.	AuditIfNotExists, desativado	2.1.0
Estabeleça um programa de inteligência contra ameaças	CMA_0260 - Estabelecer um programa de inteligência de ameaças	Manual, Desativado	1.1.0
Implementar diretivas de segurança	CMA_C1706 - Implementar diretivas de segurança	Manual, Desativado	1.1.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
As subscrições devem ter um endereço de e-mail de contacto para questões de segurança	Para garantir que as pessoas relevantes na sua organização sejam notificadas quando houver uma potencial violação de segurança numa das suas subscrições, defina um contacto de segurança para receber notificações por correio eletrónico do Centro de Segurança.	AuditIfNotExists, desativado	1.0.1

Atualize os mecanismos de proteção contra códigos maliciosos quando novas versões estiverem disponíveis.

ID: NIST SP 800-171 R2 3.14.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	CMA_0050 - Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	Manual, Desativado	1.1.0
Gerenciar gateways	CMA_0363 - Gerenciar gateways	Manual, Desativado	1.1.0
O Microsoft Antimalware para Azure deve ser configurado para atualizar automaticamente as assinaturas de proteção	Esta política audita qualquer máquina virtual do Windows não configurada com a atualização automática das assinaturas de proteção antimalware da Microsoft.	AuditIfNotExists, desativado	1.0.0
A extensão Microsoft IaaSAntimalware deve ser implantada em servidores Windows	Esta política audita qualquer VM de servidor Windows sem a extensão Microsoft IaaSAntimalware implantada.	AuditIfNotExists, desativado	1.1.0
Realizar uma análise de tendência sobre ameaças	CMA_0389 - Realizar uma análise de tendência sobre ameaças	Manual, Desativado	1.1.0
Executar verificações de vulnerabilidade	CMA_0393 - Executar verificações de vulnerabilidade	Manual, Desativado	1.1.0
Revise o relatório de deteções de malware semanalmente	CMA_0475 - Revise o relatório de deteções de malware semanalmente	Manual, Desativado	1.1.0
Atualizar definições de antivírus	CMA_0517 - Atualizar definições de antivírus	Manual, Desativado	1.1.0
O Windows Defender Exploit Guard deve ser ativado nas suas máquinas	O Windows Defender Exploit Guard usa o agente de Configuração de Convidado de Política do Azure. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e bloquear comportamentos comumente usados em ataques de malware, permitindo que as empresas equilibrem seus requisitos de segurança, risco e produtividade (somente Windows).	AuditIfNotExists, desativado	2.0.0

Execute verificações periódicas de sistemas organizacionais e verificações em tempo real de arquivos de fontes externas à medida que os arquivos são baixados, abertos ou executados.

ID: NIST SP 800-171 R2 3.14.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
O Microsoft Antimalware para Azure deve ser configurado para atualizar automaticamente as assinaturas de proteção	Esta política audita qualquer máquina virtual do Windows não configurada com a atualização automática das assinaturas de proteção antimalware da Microsoft.	AuditIfNotExists, desativado	1.0.0
A extensão Microsoft IaaSAntimalware deve ser implantada em servidores Windows	Esta política audita qualquer VM de servidor Windows sem a extensão Microsoft IaaSAntimalware implantada.	AuditIfNotExists, desativado	1.1.0
O Windows Defender Exploit Guard deve ser ativado nas suas máquinas	O Windows Defender Exploit Guard usa o agente de Configuração de Convidado de Política do Azure. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e bloquear comportamentos comumente usados em ataques de malware, permitindo que as empresas equilibrem seus requisitos de segurança, risco e produtividade (somente Windows).	AuditIfNotExists, desativado	2.0.0

Monitore os sistemas organizacionais, incluindo o tráfego de comunicações de entrada e saída, para detetar ataques e indicadores de ataques potenciais.

ID: NIST SP 800-171 R2 3.14.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: Os clusters Kubernetes ativados para Azure Arc devem ter a extensão Microsoft Defender for Cloud instalada	A extensão do Microsoft Defender for Cloud para Azure Arc fornece proteção contra ameaças para seus clusters Kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o back-end do Azure Defender for Kubernetes na nuvem para análise posterior. Saiba mais em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, desativado	6.0.0-pré-visualização
[Pré-visualização]: A extensão do Log Analytics deve ser instalada nas suas máquinas Linux Azure Arc	Esta política audita máquinas Linux Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: A extensão do Log Analytics deve ser instalada em suas máquinas Windows Azure Arc	Esta política audita máquinas Windows Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: O agente de coleta de dados de tráfego de rede deve ser instalado em máquinas virtuais Linux	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
[Pré-visualização]: O agente de recolha de dados de tráfego de rede deve ser instalado em máquinas virtuais Windows	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Detetar serviços de rede que não foram autorizados ou aprovados	CMA_C1700 - Detetar serviços de rede que não foram autorizados ou aprovados	Manual, Desativado	1.1.0
Descubra quaisquer indicadores de compromisso	CMA_C1702 - Descubra quaisquer indicadores de compromisso	Manual, Desativado	1.1.0
Operações de segurança de documentos	CMA_0202 - Operações de segurança documental	Manual, Desativado	1.1.0
A notificação por e-mail para alertas de alta gravidade deve ser ativada	Para garantir que as pessoas relevantes em sua organização sejam notificadas quando houver uma possível violação de segurança em uma de suas assinaturas, habilite as notificações por e-mail para alertas de alta gravidade na Central de Segurança.	AuditIfNotExists, desativado	1.2.0
A notificação por e-mail ao proprietário da assinatura para alertas de alta gravidade deve ser habilitada	Para garantir que os proprietários da sua subscrição são notificados quando existe uma potencial violação de segurança na respetiva subscrição, defina notificações por e-mail aos proprietários da subscrição para alertas de elevada gravidade no Centro de Segurança.	AuditIfNotExists, desativado	2.1.0
A extensão Configuração do Convidado deve ser instalada em suas máquinas	Para garantir configurações seguras das configurações de convidado da sua máquina, instale a extensão Configuração de convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou presença do aplicativo e as configurações do ambiente. Uma vez instaladas, as políticas de convidado estarão disponíveis, como 'O Windows Exploit guard deve ser ativado'. Saiba mais em https://aka.ms/gcpol.	AuditIfNotExists, desativado	1.0.3
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
O Inspetor de Rede deve estar ativado	O Inspetor de Rede é um serviço regional que permite monitorar e diagnosticar condições em um nível de cenário de rede no, para e do Azure. O monitoramento no nível do cenário permite diagnosticar problemas em uma visualização de nível de rede de ponta a ponta. É necessário ter um grupo de recursos de observador de rede a ser criado em cada região onde uma rede virtual está presente. Um alerta será ativado se um grupo de recursos do inspetor de rede não estiver disponível em uma região específica.	AuditIfNotExists, desativado	3.0.0
Realizar uma análise de tendência sobre ameaças	CMA_0389 - Realizar uma análise de tendência sobre ameaças	Manual, Desativado	1.1.0
As subscrições devem ter um endereço de e-mail de contacto para questões de segurança	Para garantir que as pessoas relevantes na sua organização sejam notificadas quando houver uma potencial violação de segurança numa das suas subscrições, defina um contacto de segurança para receber notificações por correio eletrónico do Centro de Segurança.	AuditIfNotExists, desativado	1.0.1
Ligue sensores para solução de segurança de endpoint	CMA_0514 - Ligue sensores para solução de segurança de endpoint	Manual, Desativado	1.1.0
A extensão Configuração de Convidado das máquinas virtuais deve ser implantada com identidade gerenciada atribuída ao sistema	A extensão Configuração de Convidado requer uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no âmbito desta política não serão compatíveis quando tiverem a extensão Configuração de Convidado instalada, mas não tiverem uma identidade gerida atribuída ao sistema. Saiba mais em https://aka.ms/gcpol	AuditIfNotExists, desativado	1.0.1

Identificar o uso não autorizado de sistemas organizacionais.

ID: NIST SP 800-171 R2 3.14.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Todo o tráfego da Internet deve ser encaminhado através da Firewall do Azure implementada	A Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra ameaças potenciais restringindo o acesso a elas com o Firewall do Azure ou um firewall de próxima geração com suporte	AuditIfNotExists, desativado	3.0.0-Pré-visualização
[Pré-visualização]: Os clusters Kubernetes ativados para Azure Arc devem ter a extensão Microsoft Defender for Cloud instalada	A extensão do Microsoft Defender for Cloud para Azure Arc fornece proteção contra ameaças para seus clusters Kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o back-end do Azure Defender for Kubernetes na nuvem para análise posterior. Saiba mais em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, desativado	6.0.0-pré-visualização
[Pré-visualização]: A extensão do Log Analytics deve ser instalada nas suas máquinas Linux Azure Arc	Esta política audita máquinas Linux Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: A extensão do Log Analytics deve ser instalada em suas máquinas Windows Azure Arc	Esta política audita máquinas Windows Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: O agente de coleta de dados de tráfego de rede deve ser instalado em máquinas virtuais Linux	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
[Pré-visualização]: O agente de recolha de dados de tráfego de rede deve ser instalado em máquinas virtuais Windows	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
A extensão Configuração do Convidado deve ser instalada em suas máquinas	Para garantir configurações seguras das configurações de convidado da sua máquina, instale a extensão Configuração de convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou presença do aplicativo e as configurações do ambiente. Uma vez instaladas, as políticas de convidado estarão disponíveis, como 'O Windows Exploit guard deve ser ativado'. Saiba mais em https://aka.ms/gcpol.	AuditIfNotExists, desativado	1.0.3
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
O Inspetor de Rede deve estar ativado	O Inspetor de Rede é um serviço regional que permite monitorar e diagnosticar condições em um nível de cenário de rede no, para e do Azure. O monitoramento no nível do cenário permite diagnosticar problemas em uma visualização de nível de rede de ponta a ponta. É necessário ter um grupo de recursos de observador de rede a ser criado em cada região onde uma rede virtual está presente. Um alerta será ativado se um grupo de recursos do inspetor de rede não estiver disponível em uma região específica.	AuditIfNotExists, desativado	3.0.0
Realizar uma análise de tendência sobre ameaças	CMA_0389 - Realizar uma análise de tendência sobre ameaças	Manual, Desativado	1.1.0
A extensão Configuração de Convidado das máquinas virtuais deve ser implantada com identidade gerenciada atribuída ao sistema	A extensão Configuração de Convidado requer uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no âmbito desta política não serão compatíveis quando tiverem a extensão Configuração de Convidado instalada, mas não tiverem uma identidade gerida atribuída ao sistema. Saiba mais em https://aka.ms/gcpol	AuditIfNotExists, desativado	1.0.1

Sensibilização e Formação

Assegurar que os gestores, administradores de sistemas e utilizadores de sistemas organizacionais estão cientes dos riscos de segurança associados às suas atividades e das políticas, normas, procedimentos e procedimentos aplicáveis relacionados com a segurança desses sistemas.

ID: NIST SP 800-171 R2 3.2.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Fornecer treinamento periódico de conscientização sobre segurança	CMA_C1091 - Fornecer treinamento periódico de conscientização sobre segurança	Manual, Desativado	1.1.0
Fornecer treinamento de segurança para novos usuários	CMA_0419 - Fornecer treinamento de segurança para novos usuários	Manual, Desativado	1.1.0

Garantir que o pessoal seja treinado para executar as tarefas e responsabilidades atribuídas relacionadas à segurança da informação.

ID: NIST SP 800-171 R2 3.2.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Fornecer treinamento periódico de segurança baseado em funções	CMA_C1095 - Fornecer treinamento periódico de segurança baseado em funções	Manual, Desativado	1.1.0
Fornecer treinamento de segurança antes de fornecer acesso	CMA_0418 - Fornecer treinamento de segurança antes de fornecer acesso	Manual, Desativado	1.1.0

Fornecer treinamento de conscientização de segurança sobre como reconhecer e relatar potenciais indicadores de ameaça interna.

ID: NIST SP 800-171 R2 3.2.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Implementar um programa de ameaças internas	CMA_C1751 - Implementar um programa de ameaças internas	Manual, Desativado	1.1.0
Fornecer treinamento de conscientização de segurança para ameaças internas	CMA_0417 - Fornecer treinamento de conscientização de segurança para ameaças internas	Manual, Desativado	1.1.0

Auditoria e Prestação de Contas

Criar e reter logs e registros de auditoria do sistema na medida necessária para permitir o monitoramento, análise, investigação e relatório de atividades ilegais ou não autorizadas do sistema

ID: NIST SP 800-171 R2 3.3.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Os clusters Kubernetes ativados para Azure Arc devem ter a extensão Microsoft Defender for Cloud instalada	A extensão do Microsoft Defender for Cloud para Azure Arc fornece proteção contra ameaças para seus clusters Kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o back-end do Azure Defender for Kubernetes na nuvem para análise posterior. Saiba mais em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, desativado	6.0.0-pré-visualização
[Pré-visualização]: A extensão do Log Analytics deve ser instalada nas suas máquinas Linux Azure Arc	Esta política audita máquinas Linux Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: A extensão do Log Analytics deve ser instalada em suas máquinas Windows Azure Arc	Esta política audita máquinas Windows Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: O agente de coleta de dados de tráfego de rede deve ser instalado em máquinas virtuais Linux	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
[Pré-visualização]: O agente de recolha de dados de tráfego de rede deve ser instalado em máquinas virtuais Windows	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
Aderir aos períodos de retenção definidos	CMA_0004 - Respeitar os períodos de retenção definidos	Manual, Desativado	1.1.0
Os aplicativos do Serviço de Aplicativo devem ter logs de recursos habilitados	Ativação de auditoria de logs de recursos no aplicativo. Isso permite que você recrie trilhas de atividade para fins de investigação se ocorrer um incidente de segurança ou se sua rede for comprometida.	AuditIfNotExists, desativado	2.0.1
A auditoria no SQL Server deve ser habilitada	A auditoria no SQL Server deve ser habilitada para controlar as atividades do banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria.	AuditIfNotExists, desativado	2.0.0
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Configurar recursos de Auditoria do Azure	CMA_C1108 - Configurar os recursos de Auditoria do Azure	Manual, Desativado	1.1.1
Correlacione registros de auditoria	CMA_0087 - Correlacionar registos de auditoria	Manual, Desativado	1.1.0
Determinar eventos auditáveis	CMA_0137 - Determinar eventos auditáveis	Manual, Desativado	1.1.0
Estabelecer requisitos para revisão de auditoria e relatórios	CMA_0277 - Estabelecer requisitos para revisão de auditoria e relatórios	Manual, Desativado	1.1.0
A extensão Configuração do Convidado deve ser instalada em suas máquinas	Para garantir configurações seguras das configurações de convidado da sua máquina, instale a extensão Configuração de convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou presença do aplicativo e as configurações do ambiente. Uma vez instaladas, as políticas de convidado estarão disponíveis, como 'O Windows Exploit guard deve ser ativado'. Saiba mais em https://aka.ms/gcpol.	AuditIfNotExists, desativado	1.0.3
Integre a revisão, análise e emissão de relatórios de auditoria	CMA_0339 - Integre a revisão, análise e relatórios de auditoria	Manual, Desativado	1.1.0
Integre a segurança de aplicativos na nuvem com um siem	CMA_0340 - Integre a segurança de aplicativos na nuvem com um siem	Manual, Desativado	1.1.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
O Inspetor de Rede deve estar ativado	O Inspetor de Rede é um serviço regional que permite monitorar e diagnosticar condições em um nível de cenário de rede no, para e do Azure. O monitoramento no nível do cenário permite diagnosticar problemas em uma visualização de nível de rede de ponta a ponta. É necessário ter um grupo de recursos de observador de rede a ser criado em cada região onde uma rede virtual está presente. Um alerta será ativado se um grupo de recursos do inspetor de rede não estiver disponível em uma região específica.	AuditIfNotExists, desativado	3.0.0
Os logs de recursos no Repositório Azure Data Lake devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Azure Stream Analytics devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos em contas em lote devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Data Lake Analytics devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Hub de Eventos devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Hub IoT devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	3.1.0
Os logs de recursos no Cofre da Chave devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividade para usar para fins de investigação quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos em aplicativos lógicos devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.1.0
Os logs de recursos nos serviços de Pesquisa devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Service Bus devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Manter políticas e procedimentos de segurança	CMA_0454 - Reter políticas e procedimentos de segurança	Manual, Desativado	1.1.0
Reter dados de usuários encerrados	CMA_0455 - Reter dados de usuários encerrados	Manual, Desativado	1.1.0
Revisar logs de provisionamento de conta	CMA_0460 - Revisar logs de provisionamento de conta	Manual, Desativado	1.1.0
Revise as atribuições do administrador semanalmente	CMA_0461 - Revisar as atribuições do administrador semanalmente	Manual, Desativado	1.1.0
Rever os dados de auditoria	CMA_0466 - Rever os dados de auditoria	Manual, Desativado	1.1.0
Revise a visão geral do relatório de identidade na nuvem	CMA_0468 - Revisar a visão geral do relatório de identidade na nuvem	Manual, Desativado	1.1.0
Rever eventos de acesso controlado a pastas	CMA_0471 - Revisar eventos de acesso controlado a pastas	Manual, Desativado	1.1.0
Rever a atividade de ficheiros e pastas	CMA_0473 - Revisar a atividade de arquivos e pastas	Manual, Desativado	1.1.0
Revisar as alterações do grupo de funções semanalmente	CMA_0476 - Revisar as mudanças do grupo de funções semanalmente	Manual, Desativado	1.1.0
Os servidores SQL com auditoria para o destino da conta de armazenamento devem ser configurados com retenção de 90 dias ou superior	Para fins de investigação de incidentes, recomendamos definir a retenção de dados para a auditoria do SQL Server para o destino da conta de armazenamento para pelo menos 90 dias. Confirme se você está cumprindo as regras de retenção necessárias para as regiões em que está operando. Isso às vezes é necessário para a conformidade com as normas regulamentares.	AuditIfNotExists, desativado	3.0.0
A extensão do Log Analytics deve ser instalada em Conjuntos de Dimensionamento de Máquina Virtual	Esta política audita qualquer Conjunto de Dimensionamento de Máquina Virtual Windows/Linux se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1
As máquinas virtuais devem ser conectadas a um espaço de trabalho especificado	Relata máquinas virtuais como não compatíveis se elas não estiverem registrando no espaço de trabalho do Log Analytics especificado na atribuição de política/iniciativa.	AuditIfNotExists, desativado	1.1.0
As máquinas virtuais devem ter a extensão do Log Analytics instalada	Esta política audita quaisquer máquinas virtuais Windows/Linux se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1
A extensão Configuração de Convidado das máquinas virtuais deve ser implantada com identidade gerenciada atribuída ao sistema	A extensão Configuração de Convidado requer uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no âmbito desta política não serão compatíveis quando tiverem a extensão Configuração de Convidado instalada, mas não tiverem uma identidade gerida atribuída ao sistema. Saiba mais em https://aka.ms/gcpol	AuditIfNotExists, desativado	1.0.1

Garantir que as ações de usuários individuais do sistema possam ser rastreadas exclusivamente para esses usuários, para que eles possam ser responsabilizados por suas ações.

ID: NIST SP 800-171 R2 3.3.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Pré-visualização]: Os clusters Kubernetes ativados para Azure Arc devem ter a extensão Microsoft Defender for Cloud instalada	A extensão do Microsoft Defender for Cloud para Azure Arc fornece proteção contra ameaças para seus clusters Kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o back-end do Azure Defender for Kubernetes na nuvem para análise posterior. Saiba mais em https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, desativado	6.0.0-pré-visualização
[Pré-visualização]: A extensão do Log Analytics deve ser instalada nas suas máquinas Linux Azure Arc	Esta política audita máquinas Linux Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: A extensão do Log Analytics deve ser instalada em suas máquinas Windows Azure Arc	Esta política audita máquinas Windows Azure Arc se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1-Pré-visualização
[Preview]: O agente de coleta de dados de tráfego de rede deve ser instalado em máquinas virtuais Linux	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
[Pré-visualização]: O agente de recolha de dados de tráfego de rede deve ser instalado em máquinas virtuais Windows	A Central de Segurança usa o agente de dependência da Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais do Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas.	AuditIfNotExists, desativado	1.0.2-Pré-visualização
Os aplicativos do Serviço de Aplicativo devem ter logs de recursos habilitados	Ativação de auditoria de logs de recursos no aplicativo. Isso permite que você recrie trilhas de atividade para fins de investigação se ocorrer um incidente de segurança ou se sua rede for comprometida.	AuditIfNotExists, desativado	2.0.1
A auditoria no SQL Server deve ser habilitada	A auditoria no SQL Server deve ser habilitada para controlar as atividades do banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria.	AuditIfNotExists, desativado	2.0.0
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Determinar eventos auditáveis	CMA_0137 - Determinar eventos auditáveis	Manual, Desativado	1.1.0
Estabelecer requisitos de assinatura eletrônica e certificado	CMA_0271 - Estabelecer requisitos de assinatura eletrônica e certificado	Manual, Desativado	1.1.0
A extensão Configuração do Convidado deve ser instalada em suas máquinas	Para garantir configurações seguras das configurações de convidado da sua máquina, instale a extensão Configuração de convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou presença do aplicativo e as configurações do ambiente. Uma vez instaladas, as políticas de convidado estarão disponíveis, como 'O Windows Exploit guard deve ser ativado'. Saiba mais em https://aka.ms/gcpol.	AuditIfNotExists, desativado	1.0.3
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
O Inspetor de Rede deve estar ativado	O Inspetor de Rede é um serviço regional que permite monitorar e diagnosticar condições em um nível de cenário de rede no, para e do Azure. O monitoramento no nível do cenário permite diagnosticar problemas em uma visualização de nível de rede de ponta a ponta. É necessário ter um grupo de recursos de observador de rede a ser criado em cada região onde uma rede virtual está presente. Um alerta será ativado se um grupo de recursos do inspetor de rede não estiver disponível em uma região específica.	AuditIfNotExists, desativado	3.0.0
Os logs de recursos no Repositório Azure Data Lake devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Azure Stream Analytics devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos em contas em lote devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Data Lake Analytics devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Hub de Eventos devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Hub IoT devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	3.1.0
Os logs de recursos no Cofre da Chave devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividade para usar para fins de investigação quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos em aplicativos lógicos devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.1.0
Os logs de recursos nos serviços de Pesquisa devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os logs de recursos no Service Bus devem ser habilitados	Ativação de auditoria de logs de recursos. Isso permite que você recrie trilhas de atividades para usar para fins de investigação; quando ocorre um incidente de segurança ou quando a sua rede está comprometida	AuditIfNotExists, desativado	5.0.0
Os servidores SQL com auditoria para o destino da conta de armazenamento devem ser configurados com retenção de 90 dias ou superior	Para fins de investigação de incidentes, recomendamos definir a retenção de dados para a auditoria do SQL Server para o destino da conta de armazenamento para pelo menos 90 dias. Confirme se você está cumprindo as regras de retenção necessárias para as regiões em que está operando. Isso às vezes é necessário para a conformidade com as normas regulamentares.	AuditIfNotExists, desativado	3.0.0
A extensão do Log Analytics deve ser instalada em Conjuntos de Dimensionamento de Máquina Virtual	Esta política audita qualquer Conjunto de Dimensionamento de Máquina Virtual Windows/Linux se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1
As máquinas virtuais devem ser conectadas a um espaço de trabalho especificado	Relata máquinas virtuais como não compatíveis se elas não estiverem registrando no espaço de trabalho do Log Analytics especificado na atribuição de política/iniciativa.	AuditIfNotExists, desativado	1.1.0
As máquinas virtuais devem ter a extensão do Log Analytics instalada	Esta política audita quaisquer máquinas virtuais Windows/Linux se a extensão do Log Analytics não estiver instalada.	AuditIfNotExists, desativado	1.0.1
A extensão Configuração de Convidado das máquinas virtuais deve ser implantada com identidade gerenciada atribuída ao sistema	A extensão Configuração de Convidado requer uma identidade gerenciada atribuída ao sistema. As máquinas virtuais do Azure no âmbito desta política não serão compatíveis quando tiverem a extensão Configuração de Convidado instalada, mas não tiverem uma identidade gerida atribuída ao sistema. Saiba mais em https://aka.ms/gcpol	AuditIfNotExists, desativado	1.0.1

Revise e atualize eventos registrados.

ID: NIST SP 800-171 R2 3.3.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Rever e atualizar os eventos definidos em AU-02	CMA_C1106 - Rever e atualizar os eventos definidos em AU-02	Manual, Desativado	1.1.0

Alerta em caso de falha no processo de log de auditoria.

ID: NIST SP 800-171 R2 3.3.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Governar e monitorar as atividades de processamento de auditoria	CMA_0289 - Governar e monitorar as atividades de processamento de auditoria	Manual, Desativado	1.1.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0
Fornecer alertas em tempo real para falhas de eventos de auditoria	CMA_C1114 - Fornecer alertas em tempo real para falhas de eventos de auditoria	Manual, Desativado	1.1.0

Correlacione os processos de revisão, análise e relatório de registros de auditoria para investigação e resposta a indícios de atividade ilegal, não autorizada, suspeita ou incomum.

ID: NIST SP 800-171 R2 3.3.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender for App Service deve estar habilitado	O Azure Defender for App Service aproveita a escala da nuvem e a visibilidade que o Azure tem como um provedor de nuvem para monitorar ataques comuns a aplicativos Web.	AuditIfNotExists, desativado	1.0.3
Os servidores do Banco de Dados SQL do Azure Defender for Azure devem ser habilitados	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for Key Vault deve ser habilitado	O Azure Defender for Key Vault fornece uma camada adicional de proteção e inteligência de segurança ao detetar tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas de cofre de chaves.	AuditIfNotExists, desativado	1.0.3
O Azure Defender for Resource Manager deve estar habilitado	O Azure Defender for Resource Manager monitoriza automaticamente as operações de gestão de recursos na sua organização. O Azure Defender deteta ameaças e alerta-o sobre atividades suspeitas. Saiba mais sobre os recursos do Azure Defender for Resource Manager em https://aka.ms/defender-for-resource-manager . Habilitar este plano do Azure Defender resulta em cobranças. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: https://aka.ms/pricing-security-center .	AuditIfNotExists, desativado	1.0.0
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3
Azure Defender para SQL servidores em máquinas deve ser habilitado	O Azure Defender para SQL fornece funcionalidade para revelar e mitigar possíveis vulnerabilidades de banco de dados, detetar atividades anômalas que podem indicar ameaças a bancos de dados SQL e descobrir e classificar dados confidenciais.	AuditIfNotExists, desativado	1.0.2
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos	Audite servidores SQL sem Segurança de Dados Avançada	AuditIfNotExists, desativado	2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas	Audite cada instância gerenciada SQL sem segurança de dados avançada.	AuditIfNotExists, desativado	1.0.2
Correlacione registros de auditoria	CMA_0087 - Correlacionar registos de auditoria	Manual, Desativado	1.1.0
Integre a análise de registros de auditoria	CMA_C1120 - Integrar a análise de registos de auditoria	Manual, Desativado	1.1.0
Integre a segurança de aplicativos na nuvem com um siem	CMA_0340 - Integre a segurança de aplicativos na nuvem com um siem	Manual, Desativado	1.1.0
Microsoft Defender for Containers deve estar habilitado	O Microsoft Defender for Containers fornece proteção, avaliação de vulnerabilidades e proteções em tempo de execução para seus ambientes Kubernetes Azure, híbridos e multinuvem.	AuditIfNotExists, desativado	1.0.0
O Microsoft Defender for Storage deve estar habilitado	O Microsoft Defender for Storage deteta ameaças potenciais às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e corrupção de dados. O novo plano do Defender for Storage inclui verificação de malware e deteção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta de armazenamento) para controle sobre a cobertura e os custos.	AuditIfNotExists, desativado	1.0.0

Forneça redução de registros de auditoria e geração de relatórios para dar suporte à análise e emissão de relatórios sob demanda.

ID: NIST SP 800-171 R2 3.3.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Funções privilegiadas de auditoria	CMA_0019 - Funções privilegiadas de auditoria	Manual, Desativado	1.1.0
Auditar o status da conta de usuário	CMA_0020 - Auditar o status da conta de usuário	Manual, Desativado	1.1.0
Compilar registros de auditoria em auditoria em todo o sistema	CMA_C1140 - Compilar registros de auditoria em auditoria em todo o sistema	Manual, Desativado	1.1.0
Determinar eventos auditáveis	CMA_0137 - Determinar eventos auditáveis	Manual, Desativado	1.1.0
Fornecer recursos de revisão, análise e emissão de relatórios de auditoria	CMA_C1124 - Fornecer recursos de revisão, análise e emissão de relatórios de auditoria	Manual, Desativado	1.1.0
Fornecer capacidade para processar registros de auditoria controlados pelo cliente	CMA_C1126 - Fornecer capacidade para processar registros de auditoria controlados pelo cliente	Manual, Desativado	1.1.0
Rever os dados de auditoria	CMA_0466 - Rever os dados de auditoria	Manual, Desativado	1.1.0

Fornecer um recurso do sistema que compara e sincroniza relógios internos do sistema com uma fonte autorizada para gerar carimbos de data/hora para registros de auditoria

ID: NIST SP 800-171 R2 3.3.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Usar relógios do sistema para registros de auditoria	CMA_0535 - Usar relógios do sistema para registros de auditoria	Manual, Desativado	1.1.0

Proteja as informações de auditoria e as ferramentas de log de auditoria contra acesso, modificação e exclusão não autorizados.

ID: NIST SP 800-171 R2 3.3.8 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Habilitar autorização dupla ou conjunta	CMA_0226 - Permitir autorização dupla ou conjunta	Manual, Desativado	1.1.0
Estabeleça políticas e procedimentos de backup	CMA_0268 - Estabelecer políticas e procedimentos de backup	Manual, Desativado	1.1.0
Manter a integridade do sistema de auditoria	CMA_C1133 - Manter a integridade do sistema de auditoria	Manual, Desativado	1.1.0
Proteger as informações de auditoria	CMA_0401 - Proteger as informações de auditoria	Manual, Desativado	1.1.0

Limite o gerenciamento da funcionalidade de log de auditoria a um subconjunto de usuários privilegiados.

ID: NIST SP 800-171 R2 3.3.9 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Proteger as informações de auditoria	CMA_0401 - Proteger as informações de auditoria	Manual, Desativado	1.1.0

Gestão da Configuração

Estabelecer e manter configurações de linha de base e inventários de sistemas organizacionais (incluindo hardware, software, firmware e documentação) ao longo dos respetivos ciclos de vida de desenvolvimento do sistema.

ID: NIST SP 800-171 R2 3.4.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: Os aplicativos de função devem ter 'Certificados de cliente (certificados de cliente de entrada)' habilitados	Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações de entrada. Somente clientes com certificados válidos poderão acessar o aplicativo. Esta política foi substituída por uma nova política com o mesmo nome porque Http 2.0 não suporta certificados de cliente.	Auditoria, Desativado	3.1.0-preterido
Os aplicativos do Serviço de Aplicativo devem ter os Certificados de Cliente (certificados de cliente de entrada) habilitados	Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações de entrada. Somente os clientes que possuem um certificado válido poderão acessar o aplicativo. Esta política aplica-se a aplicações com a versão Http definida como 1.1.	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos do Serviço de Aplicativo não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos	O Compartilhamento de Recursos entre Origens (CORS) não deve permitir que todos os domínios acessem seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo.	AuditIfNotExists, desativado	2.0.0
O Complemento de Política do Azure para o serviço Kubernetes (AKS) deve ser instalado e habilitado em seus clusters	O Complemento de Política do Azure para o serviço Kubernetes (AKS) estende o Gatekeeper v3, um webhook de controlador de admissão para o Open Policy Agent (OPA), para aplicar imposições e proteções em escala em seus clusters de maneira centralizada e consistente.	Auditoria, Desativado	1.0.2
Configurar ações para dispositivos não compatíveis	CMA_0062 - Configurar ações para dispositivos não compatíveis	Manual, Desativado	1.1.0
Criar um inventário de dados	CMA_0096 - Criar um inventário de dados	Manual, Desativado	1.1.0
Desenvolver e manter configurações de linha de base	CMA_0153 - Desenvolver e manter configurações de linha de base	Manual, Desativado	1.1.0
Impor definições de configuração de segurança	CMA_0249 - Impor definições de configuração de segurança	Manual, Desativado	1.1.0
Estabelecer uma placa de controle de configuração	CMA_0254 - Estabelecer uma placa de controle de configuração	Manual, Desativado	1.1.0
Estabelecer e documentar um plano de gerenciamento de configuração	CMA_0264 - Estabelecer e documentar um plano de gerenciamento de configuração	Manual, Desativado	1.1.0
Estabelecer e manter um inventário de ativos	CMA_0266 - Estabelecer e manter um inventário de ativos	Manual, Desativado	1.1.0
Os aplicativos de função devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos de função não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos	O Compartilhamento de Recursos entre Origens (CORS) não deve permitir que todos os domínios acessem seu aplicativo Function. Permita que apenas os domínios necessários interajam com seu aplicativo Function.	AuditIfNotExists, desativado	2.0.0
Implementar uma ferramenta automatizada de gerenciamento de configuração	CMA_0311 - Implementar uma ferramenta automatizada de gerenciamento de configuração	Manual, Desativado	1.1.0
Os limites de recursos de CPU e memória dos contêineres de cluster do Kubernetes não devem exceder os limites especificados	Imponha limites de recursos de CPU e memória de contêiner para evitar ataques de esgotamento de recursos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.3.0
Os contêineres de cluster do Kubernetes não devem compartilhar a ID do processo do host ou o namespace IPC do host	Bloqueie os contêineres de pod de compartilhar o namespace de ID de processo do host e o namespace IPC do host em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.2 e do CIS 5.2.3, que se destinam a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	5.2.0
Os contêineres de cluster do Kubernetes só devem usar perfis permitidos do AppArmor	Os contêineres só devem usar perfis AppArmor permitidos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os contêineres de cluster do Kubernetes devem usar apenas os recursos permitidos	Restrinja os recursos para reduzir a superfície de ataque de contêineres em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.8 e do CIS 5.2.9, que se destinam a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os contêineres de cluster do Kubernetes só devem usar imagens permitidas	Use imagens de registros confiáveis para reduzir o risco de exposição do cluster Kubernetes a vulnerabilidades desconhecidas, problemas de segurança e imagens maliciosas. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.3.0
Os contêineres de cluster do Kubernetes devem ser executados com um sistema de arquivos raiz somente leitura	Execute contêineres com um sistema de arquivos raiz somente leitura para proteger contra alterações em tempo de execução com binários mal-intencionados sendo adicionados ao PATH em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.3.0
Os volumes hostPath do pod de cluster do Kubernetes só devem usar caminhos de host permitidos	Limite as montagens de volume do pod HostPath aos caminhos de host permitidos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os pods e contêineres de cluster do Kubernetes só devem ser executados com IDs de usuário e grupo aprovados	Controle os IDs de usuário, grupo primário, grupo suplementar e grupo do sistema de arquivos que pods e contêineres podem usar para executar em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os pods de cluster do Kubernetes só devem usar a rede de host aprovada e o intervalo de portas	Restrinja o acesso do pod à rede host e ao intervalo de portas de host permitido em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.4 que se destina a melhorar a segurança dos seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os serviços de cluster do Kubernetes devem escutar somente nas portas permitidas	Restrinja os serviços para escutar apenas nas portas permitidas para proteger o acesso ao cluster do Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	8.2.0
O cluster do Kubernetes não deve permitir contêineres privilegiados	Não permita a criação de contêineres privilegiados em um cluster do Kubernetes. Esta recomendação faz parte do CIS 5.2.1 que se destina a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.2.0
Os clusters do Kubernetes não devem permitir o escalonamento de privilégios de contêiner	Não permita que contêineres sejam executados com escalonamento de privilégios para enraizar em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.5 que se destina a melhorar a segurança dos seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	7.2.0
As máquinas Linux devem atender aos requisitos da linha de base de segurança de computação do Azure	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se a máquina não estiver configurada corretamente para uma das recomendações na linha de base de segurança de computação do Azure.	AuditIfNotExists, desativado	2.2.0
Manter registos do tratamento de dados pessoais	CMA_0353 - Manter registos do tratamento de dados pessoais	Manual, Desativado	1.1.0
Manter versões anteriores das configurações de linha de base	CMA_C1181 - Manter versões anteriores das configurações de linha de base	Manual, Desativado	1.1.0
As máquinas Windows devem atender aos requisitos da linha de base de segurança de computação do Azure	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se a máquina não estiver configurada corretamente para uma das recomendações na linha de base de segurança de computação do Azure.	AuditIfNotExists, desativado	2.0.0

Estabelecer e aplicar definições de configuração de segurança para produtos de tecnologia da informação empregados em sistemas organizacionais.

ID: NIST SP 800-171 R2 3.4.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
[Preterido]: Os aplicativos de função devem ter 'Certificados de cliente (certificados de cliente de entrada)' habilitados	Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações de entrada. Somente clientes com certificados válidos poderão acessar o aplicativo. Esta política foi substituída por uma nova política com o mesmo nome porque Http 2.0 não suporta certificados de cliente.	Auditoria, Desativado	3.1.0-preterido
Os aplicativos do Serviço de Aplicativo devem ter os Certificados de Cliente (certificados de cliente de entrada) habilitados	Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações de entrada. Somente os clientes que possuem um certificado válido poderão acessar o aplicativo. Esta política aplica-se a aplicações com a versão Http definida como 1.1.	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos do Serviço de Aplicativo não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos	O Compartilhamento de Recursos entre Origens (CORS) não deve permitir que todos os domínios acessem seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo.	AuditIfNotExists, desativado	2.0.0
O Complemento de Política do Azure para o serviço Kubernetes (AKS) deve ser instalado e habilitado em seus clusters	O Complemento de Política do Azure para o serviço Kubernetes (AKS) estende o Gatekeeper v3, um webhook de controlador de admissão para o Open Policy Agent (OPA), para aplicar imposições e proteções em escala em seus clusters de maneira centralizada e consistente.	Auditoria, Desativado	1.0.2
Impor definições de configuração de segurança	CMA_0249 - Impor definições de configuração de segurança	Manual, Desativado	1.1.0
Os aplicativos de função devem ter a depuração remota desativada	A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada.	AuditIfNotExists, desativado	2.0.0
Os aplicativos de função não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos	O Compartilhamento de Recursos entre Origens (CORS) não deve permitir que todos os domínios acessem seu aplicativo Function. Permita que apenas os domínios necessários interajam com seu aplicativo Function.	AuditIfNotExists, desativado	2.0.0
Controlar a conformidade dos fornecedores de serviços na nuvem	CMA_0290 - Controlar a conformidade dos fornecedores de serviços na nuvem	Manual, Desativado	1.1.0
Os limites de recursos de CPU e memória dos contêineres de cluster do Kubernetes não devem exceder os limites especificados	Imponha limites de recursos de CPU e memória de contêiner para evitar ataques de esgotamento de recursos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.3.0
Os contêineres de cluster do Kubernetes não devem compartilhar a ID do processo do host ou o namespace IPC do host	Bloqueie os contêineres de pod de compartilhar o namespace de ID de processo do host e o namespace IPC do host em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.2 e do CIS 5.2.3, que se destinam a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	5.2.0
Os contêineres de cluster do Kubernetes só devem usar perfis permitidos do AppArmor	Os contêineres só devem usar perfis AppArmor permitidos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os contêineres de cluster do Kubernetes devem usar apenas os recursos permitidos	Restrinja os recursos para reduzir a superfície de ataque de contêineres em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.8 e do CIS 5.2.9, que se destinam a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os contêineres de cluster do Kubernetes só devem usar imagens permitidas	Use imagens de registros confiáveis para reduzir o risco de exposição do cluster Kubernetes a vulnerabilidades desconhecidas, problemas de segurança e imagens maliciosas. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.3.0
Os contêineres de cluster do Kubernetes devem ser executados com um sistema de arquivos raiz somente leitura	Execute contêineres com um sistema de arquivos raiz somente leitura para proteger contra alterações em tempo de execução com binários mal-intencionados sendo adicionados ao PATH em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.3.0
Os volumes hostPath do pod de cluster do Kubernetes só devem usar caminhos de host permitidos	Limite as montagens de volume do pod HostPath aos caminhos de host permitidos em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os pods e contêineres de cluster do Kubernetes só devem ser executados com IDs de usuário e grupo aprovados	Controle os IDs de usuário, grupo primário, grupo suplementar e grupo do sistema de arquivos que pods e contêineres podem usar para executar em um cluster Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os pods de cluster do Kubernetes só devem usar a rede de host aprovada e o intervalo de portas	Restrinja o acesso do pod à rede host e ao intervalo de portas de host permitido em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.4 que se destina a melhorar a segurança dos seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	6.2.0
Os serviços de cluster do Kubernetes devem escutar somente nas portas permitidas	Restrinja os serviços para escutar apenas nas portas permitidas para proteger o acesso ao cluster do Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	8.2.0
O cluster do Kubernetes não deve permitir contêineres privilegiados	Não permita a criação de contêineres privilegiados em um cluster do Kubernetes. Esta recomendação faz parte do CIS 5.2.1 que se destina a melhorar a segurança de seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	9.2.0
Os clusters do Kubernetes não devem permitir o escalonamento de privilégios de contêiner	Não permita que contêineres sejam executados com escalonamento de privilégios para enraizar em um cluster Kubernetes. Esta recomendação faz parte do CIS 5.2.5 que se destina a melhorar a segurança dos seus ambientes Kubernetes. Esta política está geralmente disponível para o Serviço Kubernetes (AKS) e a visualização para o Kubernetes habilitado para Azure Arc. Para obter mais informações, veja https://aka.ms/kubepolicydoc.	auditoria, auditoria, negar, negar, desativado, desativado	7.2.0
As máquinas Linux devem atender aos requisitos da linha de base de segurança de computação do Azure	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se a máquina não estiver configurada corretamente para uma das recomendações na linha de base de segurança de computação do Azure.	AuditIfNotExists, desativado	2.2.0
Remediar falhas no sistema de informação	CMA_0427 - Remediar falhas no sistema de informação	Manual, Desativado	1.1.0
Exibir e configurar dados de diagnóstico do sistema	CMA_0544 - Exibir e configurar dados de diagnóstico do sistema	Manual, Desativado	1.1.0
As máquinas Windows devem atender aos requisitos da linha de base de segurança de computação do Azure	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não serão compatíveis se a máquina não estiver configurada corretamente para uma das recomendações na linha de base de segurança de computação do Azure.	AuditIfNotExists, desativado	2.0.0

Rastreie, revise, aprove ou desaprove e registre alterações nos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.4.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Atribuir representante de segurança da informação para controle de alterações	CMA_C1198 - Atribuir representante de segurança da informação para controle de alterações	Manual, Desativado	1.1.0
Automatize a solicitação de aprovação para alterações propostas	CMA_C1192 - Automatize a solicitação de aprovação de alterações propostas	Manual, Desativado	1.1.0
Automatize a implementação de notificações de alteração aprovadas	CMA_C1196 - Automatize a implementação de notificações de alteração aprovadas	Manual, Desativado	1.1.0
Automatize o processo para documentar as alterações implementadas	CMA_C1195 - Automatize o processo para documentar as alterações implementadas	Manual, Desativado	1.1.0
Automatize o processo para destacar propostas de alteração não revisadas	CMA_C1193 - Automatize o processo para destacar propostas de alteração não revisadas	Manual, Desativado	1.1.0
Automatize o processo para proibir a implementação de alterações não aprovadas	CMA_C1194 - Automatize o processo para proibir a implementação de alterações não aprovadas	Manual, Desativado	1.1.0
Automatize as alterações documentadas propostas	CMA_C1191 - Automatize as alterações documentadas propostas	Manual, Desativado	1.1.0
Realizar uma análise de impacto na segurança	CMA_0057 - Realizar uma análise de impacto na segurança	Manual, Desativado	1.1.0
Desenvolver e manter um padrão de gerenciamento de vulnerabilidades	CMA_0152 - Desenvolver e manter um padrão de gerenciamento de vulnerabilidades	Manual, Desativado	1.1.0
Estabelecer uma estratégia de gestão de riscos	CMA_0258 - Estabelecer uma estratégia de gestão de riscos	Manual, Desativado	1.1.0
Estabelecer e documentar processos de controle de alterações	CMA_0265 - Estabelecer e documentar processos de controlo de alterações	Manual, Desativado	1.1.0
Estabelecer requisitos de gerenciamento de configuração para desenvolvedores	CMA_0270 - Estabelecer requisitos de gerenciamento de configuração para desenvolvedores	Manual, Desativado	1.1.0
Realizar uma avaliação de impacto na privacidade	CMA_0387 - Realizar uma avaliação de impacto na privacidade	Manual, Desativado	1.1.0
Realizar uma avaliação de risco	CMA_0388 - Realizar uma avaliação de risco	Manual, Desativado	1.1.0
Realizar auditoria para controle de alterações de configuração	CMA_0390 - Realizar auditoria para controle de alterações de configuração	Manual, Desativado	1.1.0

Analise o impacto das alterações na segurança antes da implementação.

ID: NIST SP 800-171 R2 3.4.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Realizar uma análise de impacto na segurança	CMA_0057 - Realizar uma análise de impacto na segurança	Manual, Desativado	1.1.0
Desenvolver e manter um padrão de gerenciamento de vulnerabilidades	CMA_0152 - Desenvolver e manter um padrão de gerenciamento de vulnerabilidades	Manual, Desativado	1.1.0
Estabelecer uma estratégia de gestão de riscos	CMA_0258 - Estabelecer uma estratégia de gestão de riscos	Manual, Desativado	1.1.0
Estabelecer e documentar processos de controle de alterações	CMA_0265 - Estabelecer e documentar processos de controlo de alterações	Manual, Desativado	1.1.0
Estabelecer requisitos de gerenciamento de configuração para desenvolvedores	CMA_0270 - Estabelecer requisitos de gerenciamento de configuração para desenvolvedores	Manual, Desativado	1.1.0
Realizar uma avaliação de impacto na privacidade	CMA_0387 - Realizar uma avaliação de impacto na privacidade	Manual, Desativado	1.1.0
Realizar uma avaliação de risco	CMA_0388 - Realizar uma avaliação de risco	Manual, Desativado	1.1.0
Realizar auditoria para controle de alterações de configuração	CMA_0390 - Realizar auditoria para controle de alterações de configuração	Manual, Desativado	1.1.0

Definir, documentar, aprovar e aplicar restrições de acesso físico e lógico associadas a alterações nos sistemas organizacionais.

ID: NIST SP 800-171 R2 3.4.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Aplicar e auditar restrições de acesso	CMA_C1203 - Aplicar e auditar restrições de acesso	Manual, Desativado	1.1.0
Estabelecer e documentar processos de controle de alterações	CMA_0265 - Estabelecer e documentar processos de controlo de alterações	Manual, Desativado	1.1.0
Limitar privilégios para fazer alterações no ambiente de produção	CMA_C1206 - Limitar privilégios para fazer alterações no ambiente de produção	Manual, Desativado	1.1.0
Restringir a instalação não autorizada de software e firmware	CMA_C1205 - Restringir a instalação não autorizada de software e firmware	Manual, Desativado	1.1.0
Rever e reavaliar privilégios	CMA_C1207 - Rever e reavaliar privilégios	Manual, Desativado	1.1.0
Rever as alterações para verificar se há alterações não autorizadas	CMA_C1204 - Revise as alterações para quaisquer alterações não autorizadas	Manual, Desativado	1.1.0

Empregar o princípio da menor funcionalidade configurando sistemas organizacionais para fornecer apenas recursos essenciais.

ID: NIST SP 800-171 R2 3.4.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Azure Defender para servidores deve estar habilitado	O Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas.	AuditIfNotExists, desativado	1.0.3

Identificação e Autenticação

Identifique usuários do sistema, processos que atuam em nome dos usuários e dispositivos.

ID: NIST SP 800-171 R2 3.5.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Atribuir identificadores do sistema	CMA_0018 - Atribuir identificadores do sistema	Manual, Desativado	1.1.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
Impor a exclusividade do usuário	CMA_0250 - Reforçar a exclusividade do utilizador	Manual, Desativado	1.1.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Exigir o uso de autenticadores individuais	CMA_C1305 - Exigir o uso de autenticadores individuais	Manual, Desativado	1.1.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0
Suporte a credenciais de verificação pessoal emitidas por autoridades legais	CMA_0507 - Apoiar credenciais de verificação pessoal emitidas por autoridades legais	Manual, Desativado	1.1.0

Armazene e transmita apenas senhas protegidas por criptografia.

ID: NIST SP 800-171 R2 3.5.10 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Auditar máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644	AuditIfNotExists, desativado	3.1.0
Auditar máquinas Windows que não armazenam senhas usando criptografia reversível	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não armazenam senhas usando criptografia reversível	AuditIfNotExists, desativado	2.0.0
Implante a extensão Configuração de Convidado do Linux para habilitar atribuições de Configuração de Convidado em VMs Linux	Esta política implanta a extensão de Configuração de Convidado do Linux em máquinas virtuais Linux hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Linux é um pré-requisito para todas as atribuições de Configuração de Convidado do Linux e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Linux. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Implantar a extensão Configuração de Convidado do Windows para habilitar atribuições de Configuração de Convidado em VMs do Windows	Esta política implanta a extensão Configuração de Convidado do Windows em máquinas virtuais do Windows hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Windows é um pré-requisito para todas as atribuições de Configuração de Convidado do Windows e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Windows. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Garantir que os usuários autorizados protejam os autenticadores fornecidos	CMA_C1339 - Garantir que os usuários autorizados protejam os autenticadores fornecidos	Manual, Desativado	1.1.0
Proteja senhas com criptografia	CMA_0408 - Proteja senhas com criptografia	Manual, Desativado	1.1.0
As máquinas Windows devem atender aos requisitos de 'Opções de Segurança - Segurança de Rede'	As máquinas Windows devem ter as configurações de Diretiva de Grupo especificadas na categoria 'Opções de Segurança - Segurança de Rede' para incluir o comportamento do Sistema Local, PKU2U, LAN Manager, cliente LDAP e SSP NTLM. Esta política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol.	AuditIfNotExists, desativado	3.0.0

Feedback obscuro de informações de autenticação

ID: NIST SP 800-171 R2 3.5.11 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Informações de feedback obscuras durante o processo de autenticação	CMA_C1344 - Informações de feedback obscuras durante o processo de autenticação	Manual, Desativado	1.1.0

Autenticar (ou verificar) as identidades de usuários, processos ou dispositivos, como pré-requisito para permitir o acesso a sistemas organizacionais.

ID: NIST SP 800-171 R2 3.5.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Auditar máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644	AuditIfNotExists, desativado	3.1.0
Auditar máquinas Windows que não armazenam senhas usando criptografia reversível	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não armazenam senhas usando criptografia reversível	AuditIfNotExists, desativado	2.0.0
A autenticação em máquinas Linux deve exigir chaves SSH	Embora o próprio SSH forneça uma conexão criptografada, o uso de senhas com SSH ainda deixa a VM vulnerável a ataques de força bruta. A opção mais segura para autenticação em uma máquina virtual Linux do Azure sobre SSH é com um par de chaves público-privado, também conhecido como chaves SSH. Saiba mais: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed.	AuditIfNotExists, desativado	3.2.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
Os certificados devem ter o período de validade máximo especificado	Gerencie seus requisitos de conformidade organizacional especificando a quantidade máxima de tempo que um certificado pode ser válido em seu cofre de chaves.	auditoria, auditoria, negar, negar, desativado, desativado	2.2.1
Implante a extensão Configuração de Convidado do Linux para habilitar atribuições de Configuração de Convidado em VMs Linux	Esta política implanta a extensão de Configuração de Convidado do Linux em máquinas virtuais Linux hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Linux é um pré-requisito para todas as atribuições de Configuração de Convidado do Linux e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Linux. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Implantar a extensão Configuração de Convidado do Windows para habilitar atribuições de Configuração de Convidado em VMs do Windows	Esta política implanta a extensão Configuração de Convidado do Windows em máquinas virtuais do Windows hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Windows é um pré-requisito para todas as atribuições de Configuração de Convidado do Windows e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Windows. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Estabelecer tipos e processos de autenticador	CMA_0267 - Estabelecer tipos e processos de autenticadores	Manual, Desativado	1.1.0
Estabelecer procedimentos para a distribuição inicial do autenticador	CMA_0276 - Estabelecer procedimentos para a distribuição inicial do autenticador	Manual, Desativado	1.1.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
As chaves do Cofre da Chave devem ter uma data de expiração	As chaves criptográficas devem ter uma data de validade definida e não ser permanentes. As chaves que são válidas para sempre fornecem a um atacante em potencial mais tempo para comprometer a chave. É uma prática de segurança recomendada definir datas de expiração em chaves criptográficas.	Auditoria, Negar, Desativado	1.0.2
Os segredos do Cofre de Chaves devem ter uma data de validade	Os segredos devem ter uma data de validade definida e não ser permanentes. Segredos que são válidos para sempre fornecem a um atacante em potencial mais tempo para comprometê-los. É uma prática de segurança recomendada definir datas de validade em segredos.	Auditoria, Negar, Desativado	1.0.2
Gerencie o tempo de vida e a reutilização do autenticador	CMA_0355 - Gerencie o tempo de vida e a reutilização do autenticador	Manual, Desativado	1.1.0
Gerenciar autenticadores	CMA_C1321 - Gerenciar autenticadores	Manual, Desativado	1.1.0
Atualizar autenticadores	CMA_0425 - Atualizar autenticadores	Manual, Desativado	1.1.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0
Verificar a identidade antes de distribuir autenticadores	CMA_0538 - Verificar a identidade antes de distribuir autenticadores	Manual, Desativado	1.1.0

Usar a autenticação multifator para acesso local e de rede a contas privilegiadas e para acesso à rede a contas não privilegiadas

ID: NIST SP 800-171 R2 3.5.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA	A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos.	AuditIfNotExists, desativado	1.0.0
Adotar mecanismos de autenticação biométrica	CMA_0005 - Adotar mecanismos de autenticação biométrica	Manual, Desativado	1.1.0
Identificar e autenticar dispositivos de rede	CMA_0296 - Identificar e autenticar dispositivos de rede	Manual, Desativado	1.1.0

Utilize mecanismos de autenticação resistentes a repetição para acesso à rede a contas privilegiadas e não privilegiadas.

ID: NIST SP 800-171 R2 3.5.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
As máquinas Windows devem atender aos requisitos de 'Opções de Segurança - Segurança de Rede'	As máquinas Windows devem ter as configurações de Diretiva de Grupo especificadas na categoria 'Opções de Segurança - Segurança de Rede' para incluir o comportamento do Sistema Local, PKU2U, LAN Manager, cliente LDAP e SSP NTLM. Esta política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol.	AuditIfNotExists, desativado	3.0.0

Impedir a reutilização de identificadores por um período definido.

ID: NIST SP 800-171 R2 3.5.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Impedir a reutilização do identificador durante o período de tempo definido	CMA_C1314 - Impedir a reutilização do identificador durante o período de tempo definido	Manual, Desativado	1.1.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0

Desative os identificadores após um período definido de inatividade.

ID: NIST SP 800-171 R2 3.5.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL	Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft	AuditIfNotExists, desativado	1.0.0
Os aplicativos do Serviço de Aplicativo devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Os recursos dos Serviços de IA do Azure devem ter o acesso à chave desabilitado (desabilitar a autenticação local)	Recomenda-se que o acesso à chave (autenticação local) seja desativado por segurança. O Azure OpenAI Studio, normalmente usado em desenvolvimento/teste, requer acesso de chave e não funcionará se o acesso de chave estiver desabilitado. Após a desativação, o Microsoft Entra ID torna-se o único método de acesso, que permite manter o princípio de privilégio mínimo e controle granular. Saiba mais em: https://aka.ms/AI/auth	Auditoria, Negar, Desativado	1.1.0
Contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas	As contas preteridas devem ser removidas das suas subscrições. Contas preteridas são contas que foram bloqueadas para entrar.	AuditIfNotExists, desativado	1.0.0
Os aplicativos de função devem usar identidade gerenciada	Usar uma identidade gerenciada para segurança de autenticação aprimorada	AuditIfNotExists, desativado	3.0.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente	Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric	Auditoria, Negar, Desativado	1.1.0

Imponha uma complexidade mínima de senha e altere os caracteres quando novas senhas forem criadas.

ID: NIST SP 800-171 R2 3.5.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Auditar máquinas Windows que não têm a configuração de complexidade de senha habilitada	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não têm a configuração de complexidade de senha habilitada	AuditIfNotExists, desativado	2.0.0
Auditar máquinas Windows que não restringem o comprimento mínimo da senha ao número especificado de caracteres	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não restringem o comprimento mínimo da senha ao número especificado de caracteres. O valor padrão para o comprimento mínimo da senha é de 14 caracteres	AuditIfNotExists, desativado	2.1.0
Implantar a extensão Configuração de Convidado do Windows para habilitar atribuições de Configuração de Convidado em VMs do Windows	Esta política implanta a extensão Configuração de Convidado do Windows em máquinas virtuais do Windows hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Windows é um pré-requisito para todas as atribuições de Configuração de Convidado do Windows e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Windows. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Documentar os requisitos de segurança nos contratos de aquisição	CMA_0203 - Documentar requisitos de segurança em contratos de aquisição	Manual, Desativado	1.1.0
Estabelecer uma política de senha	CMA_0256 - Estabeleça uma política de senha	Manual, Desativado	1.1.0
Implementar parâmetros para verificadores secretos memorizados	CMA_0321 - Implementar parâmetros para verificadores secretos memorizados	Manual, Desativado	1.1.0

Proibir a reutilização de senha por um número especificado de gerações.

ID: NIST SP 800-171 R2 3.5.8 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário	Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	modificar	4.1.0
Auditar máquinas Windows que permitem a reutilização das senhas após o número especificado de senhas exclusivas	Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que permitem a reutilização das senhas após o número especificado de senhas exclusivas. O valor padrão para senhas exclusivas é 24	AuditIfNotExists, desativado	2.1.0
Implantar a extensão Configuração de Convidado do Windows para habilitar atribuições de Configuração de Convidado em VMs do Windows	Esta política implanta a extensão Configuração de Convidado do Windows em máquinas virtuais do Windows hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Windows é um pré-requisito para todas as atribuições de Configuração de Convidado do Windows e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Windows. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol.	deployIfNotExists	1.2.0

resposta a incidentes

Estabeleça uma capacidade operacional de tratamento de incidentes para sistemas organizacionais que inclua atividades de preparação, deteção, análise, contenção, recuperação e resposta do usuário.

ID: NIST SP 800-171 R2 3.6.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Coordenar planos de contingência com planos relacionados	CMA_0086 - Coordenar planos de contingência com planos relacionados	Manual, Desativado	1.1.0
Coordenar com organizações externas para alcançar a perspetiva transversal da organização	CMA_C1368 - Coordenar com organizações externas para alcançar uma perspetiva transversal à organização	Manual, Desativado	1.1.0
Desenvolver um plano de resposta a incidentes	CMA_0145 - Desenvolver um plano de resposta a incidentes	Manual, Desativado	1.1.0
Desenvolver proteções de segurança	CMA_0161 - Desenvolver salvaguardas de segurança	Manual, Desativado	1.1.0
Operações de segurança de documentos	CMA_0202 - Operações de segurança documental	Manual, Desativado	1.1.0
Ativar a proteção de rede	CMA_0238 - Ativar a proteção de rede	Manual, Desativado	1.1.0
Erradicar a informação contaminada	CMA_0253 - Erradicar a informação contaminada	Manual, Desativado	1.1.0
Executar ações em resposta a vazamentos de informações	CMA_0281 - Executar ações em resposta a vazamentos de informações	Manual, Desativado	1.1.0
Implementar o tratamento de incidentes	CMA_0318 - Implementar o tratamento de incidentes	Manual, Desativado	1.1.0
Realizar uma análise de tendência sobre ameaças	CMA_0389 - Realizar uma análise de tendência sobre ameaças	Manual, Desativado	1.1.0
Fornecer treinamento de derramamento de informações	CMA_0413 - Fornecer treinamento de derramamento de informações	Manual, Desativado	1.1.0
Exibir e investigar usuários restritos	CMA_0545 - Ver e investigar utilizadores restritos	Manual, Desativado	1.1.0

Rastreie, documente e relate incidentes a funcionários designados e/ou autoridades internas e externas à organização.

ID: NIST SP 800-171 R2 3.6.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
A notificação por e-mail para alertas de alta gravidade deve ser ativada	Para garantir que as pessoas relevantes em sua organização sejam notificadas quando houver uma possível violação de segurança em uma de suas assinaturas, habilite as notificações por e-mail para alertas de alta gravidade na Central de Segurança.	AuditIfNotExists, desativado	1.2.0
A notificação por e-mail ao proprietário da assinatura para alertas de alta gravidade deve ser habilitada	Para garantir que os proprietários da sua subscrição são notificados quando existe uma potencial violação de segurança na respetiva subscrição, defina notificações por e-mail aos proprietários da subscrição para alertas de elevada gravidade no Centro de Segurança.	AuditIfNotExists, desativado	2.1.0
As subscrições devem ter um endereço de e-mail de contacto para questões de segurança	Para garantir que as pessoas relevantes na sua organização sejam notificadas quando houver uma potencial violação de segurança numa das suas subscrições, defina um contacto de segurança para receber notificações por correio eletrónico do Centro de Segurança.	AuditIfNotExists, desativado	1.0.1

Teste a capacidade de resposta a incidentes organizacionais.

ID: NIST SP 800-171 R2 3.6.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Realizar testes de resposta a incidentes	CMA_0060 - Realizar testes de resposta a incidentes	Manual, Desativado	1.1.0
Estabeleça um programa de segurança da informação	CMA_0263 - Estabelecer um programa de segurança da informação	Manual, Desativado	1.1.0
Executar ataques de simulação	CMA_0486 - Executar ataques de simulação	Manual, Desativado	1.1.0

Manutenção

Realizar manutenções em sistemas organizacionais. [26].

ID: NIST SP 800-171 R2 3.7.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar as atividades de manutenção e reparação	CMA_0080 - Controlar as atividades de manutenção e reparação	Manual, Desativado	1.1.0

Fornecer controles sobre as ferramentas, técnicas, mecanismos e pessoal usados para conduzir a manutenção do sistema.

ID: NIST SP 800-171 R2 3.7.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar as atividades de manutenção e reparação	CMA_0080 - Controlar as atividades de manutenção e reparação	Manual, Desativado	1.1.0
Empregar um mecanismo de higienização de mídia	CMA_0208 - Empregar um mecanismo de higienização de mídia	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Gerencie atividades de manutenção e diagnóstico não locais	CMA_0364 - Gerenciar atividades de manutenção e diagnóstico não locais	Manual, Desativado	1.1.0

Certifique-se de que o equipamento removido para manutenção fora do local seja higienizado de qualquer CUI.

ID: NIST SP 800-171 R2 3.7.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Empregar um mecanismo de higienização de mídia	CMA_0208 - Empregar um mecanismo de higienização de mídia	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Gerencie atividades de manutenção e diagnóstico não locais	CMA_0364 - Gerenciar atividades de manutenção e diagnóstico não locais	Manual, Desativado	1.1.0

Verifique a mídia que contém programas de diagnóstico e teste em busca de código mal-intencionado antes que a mídia seja usada em sistemas organizacionais.

ID: NIST SP 800-171 R2 3.7.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Controlar as atividades de manutenção e reparação	CMA_0080 - Controlar as atividades de manutenção e reparação	Manual, Desativado	1.1.0
Gerencie atividades de manutenção e diagnóstico não locais	CMA_0364 - Gerenciar atividades de manutenção e diagnóstico não locais	Manual, Desativado	1.1.0

Exija autenticação multifator para estabelecer sessões de manutenção não locais por meio de conexões de rede externas e encerrar essas conexões quando a manutenção não local for concluída.

ID: NIST SP 800-171 R2 3.7.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Gerencie atividades de manutenção e diagnóstico não locais	CMA_0364 - Gerenciar atividades de manutenção e diagnóstico não locais	Manual, Desativado	1.1.0

Supervisionar as atividades de manutenção do pessoal de manutenção sem a necessária autorização de acesso.

ID: NIST SP 800-171 R2 3.7.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Designar pessoal para supervisionar as atividades de manutenção não autorizadas	CMA_C1422 - Designar pessoal para supervisionar as atividades de manutenção não autorizadas	Manual, Desativado	1.1.0
Manter a lista de pessoal de manutenção remoto autorizado	CMA_C1420 - Manter lista de pessoal de manutenção remoto autorizado	Manual, Desativado	1.1.0
Gerir o pessoal de manutenção	CMA_C1421 - Gerir o pessoal de manutenção	Manual, Desativado	1.1.0

Proteção dos meios de comunicação social

Proteja (ou seja, controle fisicamente e armazene com segurança) mídia do sistema contendo CUI, tanto em papel quanto digital.

ID: NIST SP 800-171 R2 3.8.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Empregar um mecanismo de higienização de mídia	CMA_0208 - Empregar um mecanismo de higienização de mídia	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0

Limitar o acesso ao CUI na mídia do sistema para usuários autorizados

ID: NIST SP 800-171 R2 3.8.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Empregar um mecanismo de higienização de mídia	CMA_0208 - Empregar um mecanismo de higienização de mídia	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0

Higienize ou destrua a mídia do sistema que contenha CUI antes do descarte ou liberação para reutilização.

ID: NIST SP 800-171 R2 3.8.3 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Empregar um mecanismo de higienização de mídia	CMA_0208 - Empregar um mecanismo de higienização de mídia	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0

Marque mídia com marcações CUI necessárias e limitações de distribuição. [27]

ID: NIST SP 800-171 R2 3.8.4 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0

Controle o acesso à mídia que contém CUI e mantenha a responsabilidade pela mídia durante o transporte fora das áreas controladas.

ID: NIST SP 800-171 R2 3.8.5 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Gerir o transporte de ativos	CMA_0370 - Gerir o transporte de ativos	Manual, Desativado	1.1.0

Implementar mecanismos criptográficos para proteger a confidencialidade das CUI armazenadas em meios digitais durante o transporte, salvo proteção em contrário por salvaguardas físicas alternativas.

ID: NIST SP 800-171 R2 3.8.6 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Gerir o transporte de ativos	CMA_0370 - Gerir o transporte de ativos	Manual, Desativado	1.1.0

Controle o uso de mídia removível nos componentes do sistema.

ID: NIST SP 800-171 R2 3.8.7 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	CMA_0050 - Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	Manual, Desativado	1.1.0
Controlar a utilização de dispositivos de armazenamento portáteis	CMA_0083 - Controlar a utilização de dispositivos de armazenamento portáteis	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Restringir o uso de mídia	CMA_0450 - Restringir o uso de mídia	Manual, Desativado	1.1.0

Proibir a utilização de dispositivos de armazenamento portáteis quando esses dispositivos não tiverem um proprietário identificável.

ID: NIST SP 800-171 R2 3.8.8 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	CMA_0050 - Bloqueie processos não confiáveis e não assinados que são executados a partir de USB	Manual, Desativado	1.1.0
Controlar a utilização de dispositivos de armazenamento portáteis	CMA_0083 - Controlar a utilização de dispositivos de armazenamento portáteis	Manual, Desativado	1.1.0
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Restringir o uso de mídia	CMA_0450 - Restringir o uso de mídia	Manual, Desativado	1.1.0

Proteja a confidencialidade do CUI de backup em locais de armazenamento.

ID: NIST SP 800-171 R2 3.8.9 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
O Backup do Azure deve ser habilitado para Máquinas Virtuais	Garanta a proteção de suas Máquinas Virtuais do Azure habilitando o Backup do Azure. O Backup do Azure é uma solução de proteção de dados segura e econômica para o Azure.	AuditIfNotExists, desativado	3.0.0
Estabeleça políticas e procedimentos de backup	CMA_0268 - Estabelecer políticas e procedimentos de backup	Manual, Desativado	1.1.0
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MariaDB	O Banco de Dados do Azure para MariaDB permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são apenas armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer opção de recuperação em caso de falha de região. A configuração do armazenamento georredundante para cópia de segurança só é permitida durante a criação do servidor.	Auditoria, Desativado	1.0.1
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MySQL	O Banco de Dados do Azure para MySQL permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são apenas armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer opção de recuperação em caso de falha de região. A configuração do armazenamento georredundante para cópia de segurança só é permitida durante a criação do servidor.	Auditoria, Desativado	1.0.1
O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para PostgreSQL	O Banco de Dados do Azure para PostgreSQL permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um armazenamento de backup com redundância geográfica no qual os dados não são apenas armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer opção de recuperação em caso de falha de região. A configuração do armazenamento georredundante para cópia de segurança só é permitida durante a criação do servidor.	Auditoria, Desativado	1.0.1
Implementar controles para proteger todas as mídias	CMA_0314 - Implementar controles para proteger todas as mídias	Manual, Desativado	1.1.0
Os cofres de chaves devem ter a proteção contra exclusão ativada	A exclusão maliciosa de um cofre de chaves pode levar à perda permanente de dados. Você pode evitar a perda permanente de dados ativando a proteção contra limpeza e a exclusão suave. A proteção contra limpeza protege você contra ataques internos, impondo um período de retenção obrigatório para cofres de chaves excluídos por software. Ninguém dentro da sua organização ou da Microsoft poderá limpar seus cofres de chaves durante o período de retenção de exclusão suave. Lembre-se de que os cofres de chaves criados após 1º de setembro de 2019 têm a exclusão suave habilitada por padrão.	Auditoria, Negar, Desativado	2.1.0
Os cofres de chaves devem ter a exclusão suave ativada	A exclusão de um cofre de chaves sem a exclusão automática habilitada exclui permanentemente todos os segredos, chaves e certificados armazenados no cofre de chaves. A exclusão acidental de um cofre de chaves pode levar à perda permanente de dados. A exclusão suave permite que você recupere um cofre de chaves excluído acidentalmente por um período de retenção configurável.	Auditoria, Negar, Desativado	3.0.0

Segurança Pessoal

Analise os indivíduos antes de autorizar o acesso aos sistemas organizacionais que contêm CUI.

ID: NIST SP 800-171 R2 3.9.1 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Pessoal claro com acesso a informações classificadas	CMA_0054 - Pessoal claro com acesso a informação classificada	Manual, Desativado	1.1.0
Implementar a triagem de pessoal	CMA_0322 - Implementar a triagem de pessoal	Manual, Desativado	1.1.0

Garantir que os sistemas organizacionais contendo CUI sejam protegidos durante e após ações de pessoal, como rescisões e transferências

ID: NIST SP 800-171 R2 3.9.2 Propriedade: Compartilhada

Nome (Portal do Azure)	Description	Efeito(s)	Versão (GitHub)
Conduzir entrevista de saída após a rescisão	CMA_0058 - Conduzir entrevista de saída após a rescisão	Manual, Desativado	1.1.0
Desativar autenticadores após a rescisão	CMA_0169 - Desativar autenticadores após a rescisão	Manual, Desativado	1.1.0
Iniciar ações de transferência ou reatribuição	CMA_0333 - Iniciar ações de transferência ou reatribuição	Manual, Desativado	1.1.0
Modificar autorizações de acesso após transferência de pessoal	CMA_0374 - Modificar as autorizações de acesso após a transferência de pessoal	Manual, Desativado	1.1.0
Notificar após a rescisão ou transferência	CMA_0381 - Notificar após a rescisão ou transferência	Manual, Desativado	1.1.0
Proteja e impeça o roubo de dados de funcionários que saem	CMA_0398 - Proteja e impeça o roubo de dados da saída de funcionários	Manual, Desativado	1.1.0
Reavaliar o acesso após a transferência de pessoal	CMA_0424 - Reavaliar o acesso após a transferência de pessoal	Manual, Desativado	1.1.0

Próximos passos

Artigos adicionais sobre a Política do Azure:

• Visão geral da conformidade regulamentar.
• Consulte a estrutura de definição da iniciativa.
• Analise outros exemplos em Exemplos de Política do Azure.
• Veja Compreender os efeitos do Policy.
• Saiba como corrigir recursos não compatíveis.