Linha de base de segurança do Azure para o Azure Data Manager for Energy

Esta linha de base de segurança aplica orientações da versão de referência de segurança da cloud da Microsoft 1.0 ao Azure Data Manager for Energy. A referência de segurança da cloud da Microsoft fornece recomendações sobre como pode proteger as suas soluções na cloud no Azure. O conteúdo é agrupado pelos controlos de segurança definidos pela referência de segurança da cloud da Microsoft e pelas orientações relacionadas aplicáveis ao Azure Data Manager for Energy.

Pode monitorizar esta linha de base de segurança e as respetivas recomendações com Microsoft Defender para a Cloud. Azure Policy definições serão listadas na secção Conformidade Regulamentar da página Microsoft Defender do portal da Cloud.

Quando uma funcionalidade tem definições de Azure Policy relevantes, estas são listadas nesta linha de base para o ajudar a medir a conformidade com os controlos e recomendações de referência de segurança da cloud da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para ativar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Data Manager for Energy, o que pode resultar em considerações de segurança acrescidas.

Atributo comportamento do serviço	Valor
Product Category (Categoria de Produto)
O cliente pode aceder ao HOST/SO	Sem Acesso
O serviço pode ser implementado na rede virtual do cliente	Falso
Armazena o conteúdo do cliente inativo	Verdadeiro

Segurança da rede

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Funcionalidades

Integração da Rede Virtual

Descrição: o serviço suporta a implementação na Rede Virtual privada (VNet) do cliente. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Suporte do Grupo de Segurança de Rede

Descrição: o tráfego da rede de serviço respeita a atribuição de regras dos Grupos de Segurança de Rede nas respetivas sub-redes. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

NS-2: Proteger serviços cloud com controlos de rede

Funcionalidades

Azure Private Link

Descrição: Capacidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou Azure Firewall). Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Orientação de Configuração: a instância do Azure Data Manager for Energy pode ser ligada a partir de uma rede virtual através de um ponto final privado, que é um conjunto de endereços IP privados numa sub-rede dentro da rede virtual com Azure Private Link. O acesso à instância pode ser limitado através destes endereços IP privados.

O ponto final privado pode ser configurado durante o processo de aprovisionamento da instância ou após a criação da instância. A instância do Azure Data Manager for Energy configurada com Private Link pode ser ligada através de um método de aprovação automático ou manual.

Referência: Criar um ponto final privado para o Azure Data Manager for Energy Preview

Desativar o Acesso à Rede Pública

Descrição: o serviço suporta a desativação do acesso à rede pública através da utilização da regra de filtragem da ACL IP ao nível do serviço (não do NSG ou Azure Firewall) ou através de um botão de alternar "Desativar Acesso à Rede Pública". Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Orientação de Configuração: desative o acesso à rede pública ao alternar um comutador para acesso à rede pública.

Referência: Criar um ponto final privado para o Azure Data Manager for Energy Preview

Gestão de identidades

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Gestão de identidades.

IM-1: utilizar o sistema de autenticação e identidade centralizado

Funcionalidades

Autenticação Azure AD Necessária para o Acesso ao Plano de Dados

Descrição: o serviço suporta a utilização de autenticação Azure AD para acesso ao plano de dados. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Verdadeiro	Microsoft

Notas de funcionalidades: o Azure Data Manager for Energy utiliza a API de direitos e atua como um sistema de autorização baseado em grupo para partições de dados no Azure Data Manager for Energy.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Como gerir utilizadores

Métodos de Autenticação Local para Acesso ao Plano de Dados

Descrição: métodos de autenticação locais suportados para o acesso ao plano de dados, como um nome de utilizador local e uma palavra-passe. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

IM-3: Gerir identidades de aplicações de forma segura e automática

Funcionalidades

Identidades Geridas

Descrição: as ações do plano de dados suportam a autenticação com identidades geridas. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Notas de funcionalidades: atualmente, outros serviços podem ligar-se ao Azure Data Manager for Energy através de uma identidade gerida atribuída pelo sistema ou atribuída pelo utilizador. No entanto, o Azure Data Manager for Energy em si não suporta identidades geridas atribuídas pelo sistema.

Orientação de Configuração: utilize as identidades geridas do Azure para aceder ao plano de dados ou ao plano de controlo da instância do Azure Data Manager for Energy a partir de outros serviços do Azure.

Referência: Utilizar uma identidade gerida para aceder ao Azure Data Manager for Energy Preview a partir de outros serviços do Azure

Principais de Serviço

Descrição: o plano de dados suporta a autenticação através de principais de serviço. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Verdadeiro	Verdadeiro	Microsoft

Notas de funcionalidades: um principal de serviço é criado automaticamente durante o processo de registo da aplicação.

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Início Rápido: Criar uma instância do Azure Data Manager for Energy Preview Preview

IM-7: Restringir o acesso a recursos com base em condições

Funcionalidades

Acesso Condicional para Plano de Dados

Descrição: o acesso ao plano de dados pode ser controlado com Azure AD Políticas de Acesso Condicional. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

IM-8: Restringir a exposição de credenciais e segredos

Funcionalidades

Integração e Armazenamento do Suporte de Segredos e Credenciais de Serviço no Azure Key Vault

Descrição: o plano de dados suporta a utilização nativa do Azure Key Vault para arquivo de credenciais e segredos. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Acesso privilegiado

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Acesso privilegiado.

PA-1: Separar e limitar utilizadores altamente privilegiados/administrativos

Funcionalidades

Contas de Administração Local

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

PA-7: Seguir apenas o princípio de administração (privilégio mínimo) suficiente

Funcionalidades

RBAC do Azure para Plano de Dados

Descrição: o Azure Role-Based Controlo de Acesso (RBAC do Azure) pode ser utilizado para gerir o acesso às ações do plano de dados do serviço. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Notas de funcionalidades: o acesso ao plano de dados é gerido através do serviço de elegibilidade.

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

PA-8: Determinar o processo de acesso para o suporte do fornecedor de cloud

Funcionalidades

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser utilizado para o acesso ao suporte da Microsoft. Saiba mais.

Suportado	Ativado por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Orientação de Configuração: em cenários de suporte em que a Microsoft precisa de aceder aos seus dados, utilize o Sistema de Proteção de Dados do Cliente para rever e, em seguida, aprove ou rejeite cada um dos pedidos de acesso a dados da Microsoft.

Referência: Utilizar o Sistema de Proteção de Dados do Cliente para o Azure Data Manager for Energy Preview

Proteção de dados

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Proteção de dados.

DP-1: Detetar, classificar e etiquetar dados confidenciais

Funcionalidades

Deteção e Classificação de Dados Confidenciais

Descrição: as ferramentas (como o Azure Purview ou o Azure Information Protection) podem ser utilizadas para a deteção e classificação de dados no serviço. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

DP-2: Monitorizar anomalias e ameaças direcionadas para dados confidenciais

Funcionalidades

Fuga de Dados/Prevenção de Perda

Descrição: o serviço suporta a solução DLP para monitorizar o movimento de dados confidenciais (no conteúdo do cliente). Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

DP-3: Encriptar dados confidenciais em trânsito

Funcionalidades

Dados na Encriptação de Trânsito

Descrição: o serviço suporta a encriptação de dados em trânsito para o plano de dados. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Verdadeiro	Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Encriptar dados em trânsito

DP-4: Ativar a encriptação inativa por predefinição

Funcionalidades

Dados na Encriptação Rest Com Chaves de Plataforma

Descrição: a encriptação inativa de dados com chaves de plataforma é suportada, qualquer conteúdo do cliente inativo é encriptado com estas chaves geridas pela Microsoft. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Notas de funcionalidades: o cliente tem de selecionar as chaves geridas da Microsoft (MMK) no separador encriptação durante o aprovisionamento da instância do Azure Data Manager for Energy. As definições de chave não podem ser editadas depois de a instância ter sido criada.

Orientação de Configuração: ative a encriptação inativa através de chaves geridas pela plataforma (geridas pela Microsoft) onde não são configuradas automaticamente pelo serviço.

DP-5: utilize a opção chave gerida pelo cliente em dados em encriptação inativa quando necessário

Funcionalidades

Dados na Encriptação Rest Com CMK

Descrição: a encriptação de dados inativos com chaves geridas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Notas de funcionalidades: os clientes só podem configurar a CMK durante o aprovisionamento da instância do Azure Data Manager for Energy. As definições da CMK não podem ser editadas depois de a instância ser criada.

Orientação de Configuração: a encriptação de dados inativos protege os dados e ajuda a cumprir os compromissos de segurança e conformidade organizacionais. Ative e implemente dados em encriptação inativa com a chave gerida pelo cliente.

Referência: Segurança e encriptação de dados no Azure Data Manager for Energy

DP-6: Utilizar um processo de gestão de chaves segura

Funcionalidades

Gestão de Chaves no Azure Key Vault

Descrição: o serviço suporta a integração do Azure Key Vault para quaisquer chaves de cliente, segredos ou certificados. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Notas de funcionalidades: o Key Vault do Azure é utilizado para armazenar a chave de encriptação gerida pelo cliente.

Orientação de Configuração: utilize o Azure Key Vault para criar e controlar o ciclo de vida das chaves de encriptação, incluindo a geração de chaves, a distribuição e o armazenamento. Rode e revogue as chaves no Azure Key Vault e no seu serviço com base numa agenda definida ou quando existe uma descontinuação ou comprometimento chave. Quando é necessário utilizar a chave gerida pelo cliente (CMK) ao nível da carga de trabalho, do serviço ou da aplicação, certifique-se de que segue as melhores práticas para a gestão de chaves: utilize uma hierarquia de chaves para gerar uma chave de encriptação de dados (DEK) separada com a chave de encriptação de chaves (KEK) no cofre de chaves. Certifique-se de que as chaves estão registadas no Azure Key Vault e referenciadas através de IDs de chave do serviço ou da aplicação. Se precisar de trazer a sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM dos seus HSMs no local para o Azure Key Vault), siga as diretrizes recomendadas para realizar a geração inicial de chaves e a transferência de chaves.

Referência: Segurança e encriptação de dados no Azure Data Manager for Energy Preview

Gestão de ativos

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Gestão de recursos.

AM-2: Utilizar apenas serviços aprovados

Funcionalidades

Suporte do Azure Policy

Descrição: as configurações do serviço podem ser monitorizadas e impostas através de Azure Policy. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Deteção de registo e de ameaça

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Registo e deteção de ameaças.

LT-1: Ativar as capacidades de deteção de ameaças

Funcionalidades

Microsoft Defender de Serviço/Oferta de Produtos

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorizar e alertar sobre problemas de segurança. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

LT-4: Ativar o registo para investigação de segurança

Funcionalidades

Registos de Recursos do Azure

Descrição: o Serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço melhorados. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio sink de dados, como uma conta de armazenamento ou uma área de trabalho do Log Analytics. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Verdadeiro	Falso	Cliente

Orientação de Configuração: ative os registos de recursos para o serviço.

Nota: o Azure Data Manager for Energy Preview suporta a exportação de Registos do Serviço OSDU para o Azure Monitor através de uma definição de diagnóstico que ajuda a resolver problemas, depurar & monitorizar os serviços osDU. Os registos de auditoria fornecem registos de auditoria para APIs do plano de dados no Azure Data Manager for Energy também estão disponíveis.

Referência: Integrar registos de serviço do OSDU com o Azure Monitor

Cópia de segurança e recuperação

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Cópia de segurança e recuperação.

BR-1: Garantir cópias de segurança automatizadas regulares

Funcionalidades

Azure Backup

Descrição: o serviço pode ser efetuado uma cópia de segurança pelo serviço Azure Backup. Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Capacidade de Cópia de Segurança Nativa do Serviço

Descrição: o serviço suporta a sua própria capacidade de cópia de segurança nativa (se não estiver a utilizar Azure Backup). Saiba mais.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
Falso	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Passos seguintes

• Veja a descrição geral da referência de segurança da cloud da Microsoft
• Saiba mais sobre as linhas de base de segurança do Azure