Azures säkerhetsbaslinje för Logic Apps

Den här säkerhetsbaslinjen tillämpar vägledning från Microsoft cloud security benchmark version 1.0 på Logic Apps. Microsofts benchmark för molnsäkerhet ger rekommendationer om hur du kan skydda dina molnlösningar i Azure. Innehållet grupperas efter de säkerhetskontroller som definieras av Microsofts molnsäkerhetsmått och den relaterade vägledning som gäller för Logic Apps.

Du kan övervaka den här säkerhetsbaslinjen och dess rekommendationer med hjälp av Microsoft Defender för molnet. Azure Policy definitioner visas i avsnittet Regelefterlevnad på portalsidan Microsoft Defender för molnet.

När en funktion har relevanta Azure Policy definitioner visas de i den här baslinjen för att hjälpa dig att mäta efterlevnaden av Microsofts prestandamått för molnsäkerhet och rekommendationer. Vissa rekommendationer kan kräva en betald Microsoft Defender plan för att aktivera vissa säkerhetsscenarier.

Säkerhetsprofil

Säkerhetsprofilen sammanfattar beteendet med hög påverkan i Logic Apps, vilket kan leda till ökade säkerhetsöverväganden.

Attribut för tjänstbeteende	Värde
Produktkategori	Integrering
Kunden kan komma åt HOST/OS	Ingen åtkomst
Tjänsten kan distribueras till kundens virtuella nätverk	Sant
Lagrar kundinnehåll i vila	Sant

Nätverkssäkerhet

Mer information finns i Microsoft Cloud Security Benchmark: Nätverkssäkerhet.

NS-1: Upprätta gränser för nätverkssegmentering

Funktioner

Integrering med virtuellt nätverk

Beskrivning: Tjänsten stöder distribution till kundens privata Virtual Network (VNet). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Den här funktionen stöds via App Services för Logic Apps Standard-erbjudandet. Kunder kan också använda ASE V3 för att distribuera Logic Apps Standard-appar.

Konfigurationsvägledning: Distribuera Logic Apps Standard-programmet till någon av arbetsflödesstandard-ASP:er eller ASE V3-baserade ASP:er. Kunder kan konfigurera VNET-integrering och privata slutpunkter med båda ovanstående föreslagna alternativ.

Referens: Logic Apps Vnet-integrering

Stöd för nätverkssäkerhetsgrupp

Beskrivning: Tjänstnätverkstrafik respekterar regeltilldelningen för nätverkssäkerhetsgrupper i dess undernät. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: För Logic Apps Standard stöds detta via App Services och Functions.

Konfigurationsvägledning: Använd nätverkssäkerhetsgrupper (NSG) för att begränsa eller övervaka trafik via port, protokoll, käll-IP-adress eller mål-IP-adress. Skapa NSG-regler för att begränsa tjänstens öppna portar (till exempel förhindra att hanteringsportar nås från ej betrodda nätverk). Tänk på att NSG:er som standard nekar all inkommande trafik men tillåter trafik från virtuella nätverk och Azure Load Balancers.

Obs! Distribuera Logic Apps Standard-programmet till någon av arbetsflödesstandard-ASP:er eller ASE V3-baserade ASP:er. Kunder kan konfigurera VNET-integrering och privata slutpunkter med båda ovanstående föreslagna alternativ. Därefter kan kunder konfigurera nödvändiga NSG-regler i sina undernät.

NS-2: Skydda molntjänster med nätverkskontroller

Funktioner

Azure Private Link

Beskrivning: Tjänstens interna IP-filtreringsfunktion för filtrering av nätverkstrafik (får inte förväxlas med NSG eller Azure Firewall). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: För Logic Apps Standard stöds detta via App Services och Functions.

Konfigurationsvägledning: Distribuera Logic Apps Standard-programmet till någon av arbetsflödesstandard-ASP:er eller ASE V3-baserade ASP:er. Kunder kan konfigurera VNET-integrering och privata slutpunkter med båda ovanstående föreslagna alternativ.

Referens: Privata länkar för Logic Apps

Inaktivera åtkomst till offentligt nätverk

Beskrivning: Tjänsten stöder inaktivering av åtkomst till offentliga nätverk antingen med hjälp av ip-ACL-filtreringsregel på tjänstnivå (inte NSG eller Azure Firewall) eller med växlingsknappen Inaktivera åtkomst till offentligt nätverk. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Den här funktionen stöds via Azure App Services for Logic Apps Standard.

Konfigurationsvägledning: Inaktivera åtkomst till offentligt nätverk med hjälp av Logic Apps Standard i ASE v3 eller en standardapptjänstplan för arbetsflödet. Med ASE v3 kan kunderna konfigurera att välja en intern ASE V3. Med en vanlig apptjänstplan för arbetsflödet kan kunderna inaktivera åtkomsten till det offentliga nätverket med privata slutpunkter aktiverade.

Referens: Använda privata slutpunkter för App Service appar

Identitetshantering

Mer information finns i Microsoft Cloud Security Benchmark: Identitetshantering.

IM-1: Använd centraliserat identitets- och autentiseringssystem

Funktioner

Azure AD autentisering krävs för dataplansåtkomst

Beskrivning: Tjänsten stöder användning av Azure AD autentisering för dataplansåtkomst. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Funktionen stöds i Logic Apps-förbrukning och Standard med olika modeller när Logic Apps Standard-modellen körs ovanpå App Services.

Mer information finns i: Förbrukning och Standard.

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet.

Referens: Azure Logic Apps AAD-autentisering

Lokala autentiseringsmetoder för dataplansåtkomst

Beskrivning: Lokala autentiseringsmetoder som stöds för åtkomst till dataplanet, till exempel ett lokalt användarnamn och lösenord. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Den här funktionen stöds via Azure App Services och Functions för Logic Apps Standard. Undvik användning av lokala autentiseringsmetoder eller konton. Dessa bör inaktiveras när det är möjligt. Använd i stället Azure AD för att autentisera där det är möjligt.

Konfigurationsvägledning: Begränsa användningen av lokala autentiseringsmetoder för dataplansåtkomst. Använd i stället Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till dataplanet.

Referens: Autentisering och auktorisering i Azure App Service och Azure Functions

IM-3: Hantera programidentiteter på ett säkert och automatiskt sätt

Funktioner

Hanterade identiteter

Beskrivning: Dataplansåtgärder stöder autentisering med hanterade identiteter. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Autentisering via hanterad identitet till Logic Apps stöds. Dessutom kan tjänsten (både förbrukning och standard) utnyttja hanterad identitet för att autentisera till andra tjänster.

Mer information finns i Logic Apps-autentisering med hanterad identitet.

Konfigurationsvägledning: Använd hanterade Azure-identiteter i stället för tjänstens huvudnamn när det är möjligt, som kan autentisera mot Azure-tjänster och resurser som stöder Azure Active Directory-autentisering (Azure AD). Autentiseringsuppgifterna för hanterade identiteter hanteras, roteras och skyddas av plattformen, vilket undviker hårdkodade autentiseringsuppgifter i källkods- eller konfigurationsfiler.

Referens: Autentiseringstyper för anslutningsappar som stöder autentisering

Tjänstens huvudnamn

Beskrivning: Dataplanet stöder autentisering med hjälp av tjänstens huvudnamn. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Kunden kan använda App Services Easy Auth för att konfigurera det här stödet i standarderbjudandet. Eller så kan de använda AAD-autentiseringsstöd i förbrukningserbjudandet.

Konfigurationsvägledning: Det finns ingen aktuell Microsoft-vägledning för den här funktionskonfigurationen. Granska och kontrollera om din organisation vill konfigurera den här säkerhetsfunktionen.

Referens: AAD-autentisering för Logic Apps-begärandeutlösare

IM-8: Begränsa exponeringen av autentiseringsuppgifter och hemligheter

Funktioner

Stöd för integrering och lagring av tjänstautentiseringsuppgifter och hemligheter i Azure Key Vault

Beskrivning: Dataplanet stöder intern användning av Azure Key Vault för lagring av autentiseringsuppgifter och hemligheter. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Logic Apps Standard-erbjudandet är den rekommenderade produkten som kunder kan använda för alla företagsintegreringsscenarier.

I Logic Apps Standard, eftersom det är baserat på App Services, kan kunder referera till sina hemligheter i Key Vault med hjälp av appinställningar och i sin tur referera till appinställningar i sina arbetsflöden.

Mer information finns i: Programmatisk åtkomst till appinställningar från Logic Apps-uttryck.

Konfigurationsvägledning: Se till att hemligheter och autentiseringsuppgifter lagras på säkra platser som Azure Key Vault, i stället för att bädda in dem i kod- eller konfigurationsfiler.

Referens: Logic Apps Standard-appinställningar

Privilegierad åtkomst

Mer information finns i Microsofts benchmark för molnsäkerhet: Privilegierad åtkomst.

PA-7: Följ principen för precis tillräcklig administration (lägsta behörighet)

Funktioner

Azure RBAC för dataplan

Beskrivning: Azure Role-Based Access Control (Azure RBAC) kan användas för hanterad åtkomst till tjänstens dataplansåtgärder. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

PA-8: Fastställa åtkomstprocess för molnleverantörssupport

Funktioner

Customer Lockbox

Beskrivning: Customer Lockbox kan användas för microsofts supportåtkomst. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: I supportscenarier där Microsoft behöver åtkomst till dina data använder du Customer Lockbox för att granska och sedan godkänna eller avvisa var och en av Microsofts dataåtkomstbegäranden.

Referens: Customer Lockbox för Logic Apps

Dataskydd

Mer information finns i Microsoft Cloud Security Benchmark: Dataskydd.

DP-2: Övervaka avvikelser och hot mot känsliga data

Funktioner

Dataläckage/förlustskydd

Beskrivning: Tjänsten stöder DLP-lösning för att övervaka känslig dataflytt (i kundens innehåll). Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

DP-3: Kryptera känsliga data under överföring

Funktioner

Data under överföringskryptering

Beskrivning: Tjänsten stöder datakryptering under överföring för dataplanet. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

Referens: Skydda dina logikappar

DP-4: Aktivera vilande datakryptering som standard

Funktioner

Vilande datakryptering med plattformsnycklar

Beskrivning: Vilande datakryptering med plattformsnycklar stöds, allt kundinnehåll i vila krypteras med dessa Microsoft-hanterade nycklar. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Sant	Microsoft

Funktionsanteckningar: För förbrukningserbjudandet lagras data för kunder i Microsofts hanterade lagringskonton och data krypteras i vila med hjälp av funktionen för lagringskryptering i vila.

För standarderbjudandet hanterar kunderna lagringen.

Konfigurationsvägledning: Inga ytterligare konfigurationer krävs eftersom detta är aktiverat för en standarddistribution.

DP-5: Använd alternativet kundhanterad nyckel i vilodatakryptering vid behov

Funktioner

Vilande datakryptering med CMK

Beskrivning: Vilande datakryptering med kundhanterade nycklar stöds för kundinnehåll som lagras av tjänsten. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Den här funktionen stöds via Logic Apps Standard. I standarderbjudandet kan kunderna konfigurera sina egna lagringskonton för lagring av körningsdata. När kunderna äger lagringen kan de konfigurera CMK-principerna efter behov på sina lagringskonton.

Konfigurationsvägledning: Om det behövs för regelefterlevnad definierar du användningsfall och tjänstomfång där kryptering med kundhanterade nycklar behövs. Aktivera och implementera vilande datakryptering med hjälp av kundhanterad nyckel för dessa tjänster.

DP-6: Använd en säker nyckelhanteringsprocess

Funktioner

Nyckelhantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för kundnycklar, hemligheter eller certifikat. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: När Logic Apps Standard körs ovanpå App Services och Functions stöds den här funktionen via App Services.

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera livscykeln för dina krypteringsnycklar, inklusive nyckelgenerering, distribution och lagring. Rotera och återkalla dina nycklar i Azure Key Vault och din tjänst baserat på ett definierat schema eller när det finns en viktig tillbakadragning eller kompromiss. När du behöver använda kundhanterad nyckel (CMK) på arbetsbelastnings-, tjänst- eller programnivå bör du följa metodtipsen för nyckelhantering: Använd en nyckelhierarki för att generera en separat datakrypteringsnyckel (DEK) med nyckelkrypteringsnyckeln (KEK) i nyckelvalvet. Kontrollera att nycklarna är registrerade med Azure Key Vault och refereras via nyckel-ID:t från tjänsten eller programmet. Om du behöver ta med din egen nyckel (BYOK) till tjänsten (till exempel importera HSM-skyddade nycklar från dina lokala HSM:er till Azure Key Vault) följer du de rekommenderade riktlinjerna för att utföra inledande nyckelgenerering och nyckelöverföring.

DP-7: Använd en säker certifikathanteringsprocess

Funktioner

Certifikathantering i Azure Key Vault

Beskrivning: Tjänsten stöder Azure Key Vault integrering för alla kundcertifikat. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: På Logic Apps Standard stöds den här funktionen via App Services-stöd för att referera till certifikat från Key Vault.

Mer information finns i: Importera ett certifikat från Key Vault.

Konfigurationsvägledning: Använd Azure Key Vault för att skapa och kontrollera certifikatets livscykel, inklusive att skapa, importera, rotera, återkalla, lagra och rensa certifikatet. Se till att certifikatgenereringen följer definierade standarder utan att använda några osäkra egenskaper, till exempel: otillräcklig nyckelstorlek, alltför lång giltighetsperiod, osäker kryptografi. Konfigurera automatisk rotation av certifikatet i Azure Key Vault och Azure-tjänsten (om det stöds) baserat på ett definierat schema eller när ett certifikat upphör att gälla. Om automatisk rotation inte stöds i programmet kontrollerar du att de fortfarande roteras med manuella metoder i Azure Key Vault och programmet.

Tillgångshantering

Mer information finns i Microsoft Cloud Security Benchmark: Tillgångshantering.

AM-2: Använd endast godkända tjänster

Funktioner

Azure Policy-stöd

Beskrivning: Tjänstkonfigurationer kan övervakas och framtvingas via Azure Policy. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: När Logic Apps Standard körs ovanpå App Services kan kunderna konfigurera principer som liknar hur de kan konfigurera för App Services och Functions. Det finns även logic apps-specifika principer tillgängliga.

App Service inbyggda principer

Konfigurationsvägledning: Använd Microsoft Defender för molnet för att konfigurera Azure Policy för att granska och tillämpa konfigurationer av dina Azure-resurser. Använd Azure Monitor för att skapa aviseringar när en konfigurationsavvikelse har identifierats på resurserna. Använd Azure Policy [neka] och [distribuera om det inte finns] effekter för att framtvinga säker konfiguration mellan Azure-resurser.

Referens: Inbyggda principer för Logic Apps

Loggning och hotidentifiering

Mer information finns i Microsoft Cloud Security Benchmark: Loggning och hotidentifiering.

LT-1: Aktivera funktioner för hotidentifiering

Funktioner

Microsoft Defender för tjänst/produkterbjudande

Beskrivning: Tjänsten har en erbjudandespecifik Microsoft Defender lösning för övervakning och avisering om säkerhetsproblem. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Funktionsanteckningar: Den här funktionen stöds via App Services för Logic Apps Standard.

Konfigurationsvägledning: Använd Azure Active Directory (Azure AD) som standardautentiseringsmetod för att styra åtkomsten till hanteringsplanet. När du får en avisering från Microsoft Defender för Key Vault undersöker och svarar du på aviseringen.

Referens: Översikt över Defender för App Service för att skydda dina Azure App Service webbappar och API:er

LT-4: Aktivera loggning för säkerhetsundersökning

Funktioner

Azure-resursloggar

Beskrivning: Tjänsten skapar resursloggar som kan ge förbättrade tjänstspecifika mått och loggning. Kunden kan konfigurera dessa resursloggar och skicka dem till sin egen datamottagare som ett lagringskonto eller en Log Analytics-arbetsyta. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Sant	Falskt	Kund

Konfigurationsvägledning: Aktivera resursloggar för tjänsten. Key Vault stöder till exempel ytterligare resursloggar för åtgärder som hämtar en hemlighet från ett nyckelvalv eller och Azure SQL har resursloggar som spårar begäranden till en databas. Innehållet i resursloggarna varierar beroende på Tjänst- och resurstyp i Azure.

Referens: Övervaka och samla in diagnostikdata för arbetsflöden i Azure Logic Apps

Säkerhetskopiering och återställning

Mer information finns i Microsoft cloud security benchmark: Backup and recovery (Microsoft cloud security benchmark: Backup and recovery).

BR-1: Se till att regelbundna automatiserade säkerhetskopieringar

Funktioner

Azure Backup

Beskrivning: Tjänsten kan säkerhetskopieras av Azure Backup-tjänsten. Läs mer.

Stöds	Aktiverad som standard	Konfigurationsansvar
Falskt	Ej tillämpligt	Ej tillämpligt

Konfigurationsvägledning: Den här funktionen stöds inte för att skydda den här tjänsten.

Nästa steg

• Se översikten över Microsoft Cloud Security Benchmark
• Läs mer om säkerhetsbaslinjer för Azure