Базовый план безопасности Azure для решения Azure VMware

Этот базовый план безопасности применяет рекомендации из Microsoft Cloud Security Benchmark версии 1.0 к Решение Azure VMware. Тест производительности облачной безопасности Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано по элементам управления безопасностью, определенным в microsoft cloud security benchmark и в соответствующем руководстве, применимом к Решение Azure VMware.

Вы можете отслеживать эти базовые показатели безопасности и его рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе Соответствие нормативным требованиям на странице портала Microsoft Defender для облака.

Если у компонента есть релевантные Политика Azure определения, они перечислены в этом базовом плане, чтобы помочь вам измерить соответствие элементам управления и рекомендациям microsoft cloud security benchmark. Для реализации определенных сценариев безопасности для некоторых рекомендаций может потребоваться платный план Microsoft Defender.

Профиль безопасности

Профиль безопасности содержит общие сведения о поведении Решение Azure VMware, что может привести к повышению уровня безопасности.

Атрибут поведения службы	Значение
Категория продуктов	Вычисления
Клиент может получить доступ к HOST/ОС	Нет доступа
Служба может быть развернута в виртуальной сети клиента	True
Хранит неактивный контент клиента	True

Безопасность сети

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Сетевая безопасность.

NS-1: установка границы сегментации сети

Компоненты

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частной виртуальная сеть клиента (VNet). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Разверните службу в виртуальной сети. Назначьте ресурсу частные IP-адреса (если это применимо), если нет веской причины назначать общедоступные IP-адреса напрямую ресурсу.

Примечание. Для Решение Azure VMware частного облака требуется виртуальная сеть Azure. Так как Решение Azure VMware не поддерживает локальный сервер vCenter Server, вам потребуется выполнить дополнительные действия для интеграции с локальной средой. Также вам нужно настроить канал ExpressRoute и шлюз виртуальной сети.

Справочник. Руководство. Настройка сети для частного облака VMware в Azure

Поддержка групп безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в своих подсетях. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Хотя группа безопасности сети поддерживается, рассмотрите возможность входящего и исходящего трафика сетевого подключения к ExpressRoute или другим защищенным сетям. Избегайте предоставления доступа к службам управления, таким как vCenter Server, например, в Интернете.

NS-2: защита облачных служб с помощью элементов управления сетью

Компоненты

Приватный канал Azure

Описание: возможность фильтрации IP-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации списка ACL IP-адресов на уровне службы (не NSG или Брандмауэр Azure) или с помощью переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

Справочные материалы: Решение Azure VMware концепции сетей и взаимосвязей

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Identity management(Управление удостоверениями).

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Компоненты

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает использование проверки подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Методы локальной проверки подлинности для доступа к плоскости данных

Описание: локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, такие как локальное имя пользователя и пароль. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Заметки о функциях. Избегайте использования локальных методов проверки подлинности или учетных записей, их следует отключить везде, где это возможно. Вместо этого используйте Azure AD для проверки подлинности, где это возможно.

Руководство по настройке. Сведения о настройке управления доступом к удостоверениям Решение Azure VMware см. по ссылке ниже.

Справочник. Доступ к vCenter Server и удостоверение

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Компоненты

управляемые удостоверения.

Описание. Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-7: Ограничение доступа к ресурсам на основе условий

Компоненты

Условный доступ для плоскости данных

Описание. Доступом к плоскости данных можно управлять с помощью Azure AD политик условного доступа. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях. Доступ к AVS контролируется VMware vSphere RBAC

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-8: ограничение раскрытия учетных данных и секретов

Компоненты

Учетные данные и секреты службы поддерживают интеграцию и хранение в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Privileged Access( Привилегированный доступ).

PA-1. Изолируйте и ограничивайте число пользователей с высокими привилегиями и правами администратора

Компоненты

Локальные учетные записи Администратор

Описание. Служба имеет концепцию локальной административной учетной записи. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Заметки о функциях. Избегайте использования локальных методов проверки подлинности или учетных записей, их следует отключить везде, где это возможно. Вместо этого используйте Azure AD для проверки подлинности, где это возможно.

Руководство по настройке. Просмотрите привилегии, предоставленные роли Решение Azure VMware CloudAdmin в vCenter Решение Azure VMware частного облака. Дополнительные сведения см. по ссылке.

Справочник. Доступ к vCenter Server и удостоверение

PA-7. Следуйте принципу администрирования с предоставлением минимальных прав

Компоненты

Azure RBAC для плоскости данных

Описание. Azure Role-Based контроль доступа (Azure RBAC) можно использовать для управляемого доступа к действиям уровня данных службы. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях. Azure RBAC не поддерживается. Решение Azure VMware использует роли vCenter RBAC, которые предоставляют клиентам возможность интеграции с Azure AD.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

PA-8. Определение процесса доступа для поддержки поставщиков облачных служб

Компоненты

Защищенное хранилище клиента

Описание. Защищенное хранилище можно использовать для доступа к службе поддержки Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Защита данных.

DP-3: шифрование передаваемых конфиденциальных данных

Компоненты

Шифрование данных при передаче

Описание. Служба поддерживает шифрование передаваемых данных для плоскости данных. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

DP-4: включение шифрования неактивных данных по умолчанию

Компоненты

Шифрование неактивных данных с помощью ключей платформы

Описание. Поддерживается шифрование неактивных данных с помощью ключей платформы. Любое неактивное содержимое клиента шифруется с помощью этих ключей, управляемых Корпорацией Майкрософт. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	True	Microsoft

Руководство по настройке. Дополнительные конфигурации не требуются, так как это включено в развертывании по умолчанию.

Справочник. Шифрование неактивных данных

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Компоненты

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью управляемых клиентом ключей поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях. Эта функция в настоящее время работает, но у нас нет ETA для частной предварительной версии.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-6: безопасное управление ключами

Компоненты

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых ключей, секретов или сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

DP-7: безопасное управление сертификатами

Компоненты

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию azure Key Vault для любых сертификатов клиента. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях. В будущем мы добавим определенные функции, которые поддерживают эту функцию, но пока нет.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление ресурсами

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление ресурсами.

AM-2: использование только утвержденных служб

Компоненты

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях. Решение Azure VMWare в настоящее время поддерживает Политика Azure для управления ресурсами виртуальной машины рабочей нагрузки. Если вы решили развернуть Azure Arc Server для решения VMWare, оно будет поддерживать Политика Azure.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Ведение журнала и обнаружение угроз.

LT-1. Включение возможностей обнаружения угроз

Компоненты

Microsoft Defender для предложения услуг и продуктов

Описание. Служба предоставляет решение для Microsoft Defender для мониторинга и оповещения о проблемах безопасности. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте сервер с поддержкой Azure Arc для виртуальной машины в VMware, что позволяет Microsoft Defender для облака предоставлять следующие функции:

• Мониторинг целостности файлов
• Обнаружение бесфайловых атак
• Оценка исправлений операционной системы
• Оценка на предмет неправильных настроек системы безопасности
• Оценка защиты конечных точек

Справка.Интеграция Microsoft Defender для облака с Решение Azure VMware

LT-4. Включение ведения журнала для исследования безопасности

Компоненты

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например в учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
Неверно	Н/Д	Н/Д

Заметки о функциях: для ведения журнала Решение Azure VMware. Включите конфигурацию в системном журнале VMware. Дополнительные сведения см. по ссылке: Настройка системных журналов VMware для Решение Azure VMware

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

резервное копирование и восстановление

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Backup and recovery (Производительность производительности облачной безопасности Майкрософт: резервное копирование и восстановление).

BR-1: обеспечение регулярного автоматического резервного копирования

Компоненты

Azure Backup

Описание. Резервная копия службы может выполняться службой Azure Backup. Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по настройке. Используйте Azure Backup Server (в составе Azure Backup) для резервного копирования на уровне виртуальной машины. Azure Backup Server может хранить данные резервных копий на: Диск. Для краткосрочного хранения Azure Backup Server создает резервные копии данных в пулы дисков. Облако Azure. Для краткосрочного и долгосрочного хранения в локальной среде данные Azure Backup Server, хранящиеся в пулах дисков, можно выполнить резервное копирование в облако Microsoft Azure с помощью Azure Backup.

Справка. Настройка сервера Azure Backup для Решение Azure VMware

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственную возможность резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается	Включено по умолчанию	Ответственность за настройку
True	Неверно	Customer

Руководство по конфигурации. Нет текущих рекомендаций Майкрософт по этой конфигурации компонентов. Проверьте и определите, хочет ли ваша организация настроить эту функцию безопасности.

Справка.Развертывание аварийного восстановления с помощью VMware Site Recovery Manager

Дальнейшие действия

• Ознакомьтесь с обзором производительности облачной безопасности Майкрософт.
• Дополнительные сведения о базовой конфигурации безопасности Azure.