Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Dit artikel bevat Azure Policy ingebouwde beleidsinitiatiefdefinities met betrekking tot Microsoft cloudbeveiligingsbenchmark v2. Elk besturingselement uit de benchmark wordt toegewezen aan een of meer Azure Policy definities. Raadpleeg het volledige Azure Policy Initiatiefdefinitiebestand voor aanvullende informatie.
Compliant in Azure Policy verwijst alleen naar de beleidsdefinities zelf. Dit zorgt er niet voor dat u volledig voldoet aan alle vereisten van een besturingselement. De nalevingsstandaard bevat besturingselementen die momenteel niet worden aangepakt door Azure Policy definities. Daarom is naleving in Azure Policy slechts een gedeeltelijke weergave van uw algehele nalevingsstatus.
De koppelingen tussen besturingselementen en Azure Policy definities voor deze nalevingsstandaard kunnen na verloop van tijd veranderen.
AI-1: Het gebruik van goedgekeurde modellen garanderen
Zie Kunstmatige intelligentiebeveiliging: AI-1: Zorg voor het gebruik van goedgekeurde modellen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| [preview]: Azure Machine Learning implementaties mogen alleen goedgekeurde registermodellen gebruiken | De implementatie van registermodellen beperken tot het beheren van extern gemaakte modellen die in uw organisatie worden gebruikt | Audit; Ontkennen; Invalide | 1.0.0-preview |
| [Preview]: Cognitive Services-implementaties mogen alleen toegestane inhoudsfiltering voor voltooiing gebruiken | Minimumniveaus voor inhoudsfiltering voor voltooiingsinhoud voor modelimplementaties in uw organisatie verplichten. | Audit; Invalide | 1.0.0-preview |
| [Preview]: Cognitive Services-implementaties mogen alleen toegestane controlemechanismen gebruiken | Verplicht minimumniveaus voor inhoudsfilters met meerdere gezichtspunten voor schadelijke inhoud bij modelimplementaties binnen uw organisatie. | Audit; Invalide | 1.0.0-preview |
| [Preview]: Cognitive Services-implementaties mogen alleen de toegestane besturingsmodus gebruiken | De inhoudsfiltermodus voor modelimplementaties in uw organisatie verplichten. | Audit; Invalide | 1.0.0-preview |
| [Preview]: Cognitive Services-implementaties mogen alleen toegestane inhoudsfilters gebruiken | Minimale niveaus van inhoudsfiltering afdwingen voor promptinhoud voor modelimplementaties binnen uw organisatie. | Audit; Invalide | 1.0.0-preview |
AM-2: Alleen goedgekeurde services gebruiken
Zie Asset Management: AM-2: Alleen goedgekeurde services gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure API Management platformversie moet stv2 | Azure API Management stv1-rekenplatformversie wordt vanaf 31 augustus 2024 buiten gebruik gesteld en moeten deze exemplaren worden gemigreerd naar het stv2-rekenplatform voor continue ondersteuning. Meer informatie vindt u op API Management stv1 platform buitengebruikstelling - Global Azure cloud (augustus 2024) | Audit; Ontkennen; Invalide | 1.0.0 |
| Opslagaccounts moeten worden gemigreerd naar nieuwe Azure Resource Manager resources | Gebruik nieuwe Azure Resource Manager voor uw opslagaccounts om beveiligingsverbeteringen te bieden, zoals: sterker toegangsbeheer (RBAC), betere controle, Azure Resource Manager gebaseerde implementatie en governance, toegang tot beheerde identiteiten, toegang tot sleutelkluis voor geheimen, Azure Verificatie en ondersteuning op basis van AD voor tags en resourcegroepen voor eenvoudiger beveiligingsbeheer | Audit; Ontkennen; Invalide | 1.0.0 |
| Opslagaccounts moeten worden gemigreerd naar nieuwe Azure Resource Manager resources | Gebruik nieuwe Azure Resource Manager voor uw opslagaccounts om beveiligingsverbeteringen te bieden, zoals: sterker toegangsbeheer (RBAC), betere controle, Azure Resource Manager gebaseerde implementatie en governance, toegang tot beheerde identiteiten, toegang tot sleutelkluis voor geheimen, Azure Verificatie en ondersteuning op basis van AD voor tags en resourcegroepen voor eenvoudiger beveiligingsbeheer | Audit; Ontkennen; Invalide | 1.0.0 |
| Virtuele machines moeten worden gemigreerd naar nieuwe Azure Resource Manager-resources | Gebruik nieuwe Azure Resource Manager voor uw virtuele machines om beveiligingsverbeteringen te bieden, zoals: sterker toegangsbeheer (RBAC), betere controle, implementatie en governance op basis van Azure Resource Manager, toegang tot beheerde identiteiten, toegang tot sleutelkluis voor geheimen, verificatie op basis van Azure AD en ondersteuning voor tags en resourcegroepen voor eenvoudiger beveiligingsbeheer | Audit; Ontkennen; Invalide | 1.0.0 |
AM-3: Beveiliging van levenscyclusbeheer van assets garanderen
Zie Asset Management: AM-3: Beveiliging van levenscyclusbeheer van assets garanderen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| API-eindpunten die niet worden gebruikt, moeten worden uitgeschakeld en verwijderd uit de Azure API Management-service | Api-eindpunten die gedurende 30 dagen geen verkeer hebben ontvangen, worden als ongebruikt beschouwd en moeten worden verwijderd uit de Azure API Management-service. Het behouden van ongebruikte API-eindpunten kan een beveiligingsrisico vormen voor uw organisatie. Dit kunnen API's zijn die moeten zijn afgeschaft uit de Azure API Management-service, maar mogelijk per ongeluk actief zijn gelaten. Dergelijke API's ontvangen doorgaans niet de meest recente beveiligingsdekking. | AuditIfNotExists; Invalide | 1.0.1 |
BR-1: Regelmatige geautomatiseerde back-ups garanderen
Zie Back-up en herstel voor meer informatie: BR-1: Zorg voor regelmatige geautomatiseerde back-ups.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Backup moet zijn ingeschakeld voor Virtual Machines | Zorg voor beveiliging van uw Azure Virtuele Machines door Azure Backup in te schakelen. Azure Backup is een veilige en kosteneffectieve oplossing voor gegevensbeveiliging voor Azure. | AuditIfNotExists; Invalide | 3.0.0 |
| Back-up configureren op virtuele machines zonder een bepaalde tag naar een nieuwe Recovery Services-kluis met een standaardbeleid | Dwing het maken van een back-up af voor alle virtuele machines door een Recovery Services-kluis te implementeren op dezelfde locatie en in dezelfde resourcegroep als de virtuele machine. Dit is handig wanneer er aan verschillende toepassingsteams in uw organisatie afzonderlijke resourcegroepen zijn toegewezen die elk hun eigen back-up- en herstelbewerkingen moeten kunnen beheren. U kunt ervoor kiezen om virtuele machines met een opgegeven tag uit te sluiten om zo het toewijzingsbereik te bepalen. Zie https://aka.ms/AzureVMAppCentricBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Handicap | 9.5.0 |
| Back-up configureren op virtuele machines zonder een specifiek toegewezen tag in een bestaande Recovery Services-kluis op dezelfde locatie | Dwing het maken van een back-up af voor alle virtuele machines door deze back-up uit te voeren naar een Recovery Services-kluis op dezelfde locatie en in hetzelfde abonnement als de virtuele machine. Dit is handig wanneer een centraal team in uw organisatie back-ups beheert voor alle resources in een abonnement. U kunt ervoor kiezen om virtuele machines met een opgegeven tag uit te sluiten om zo het toewijzingsbereik te bepalen. Zie https://aka.ms/AzureVMCentralBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Handicap | 9.5.0 |
| Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MariaDB | Met Azure Database for MariaDB kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| Geo-redundante back-up moet zijn ingeschakeld voor Azure Database for MySQL | Azure Database for MySQL kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| Geo-redundante back-up moet zijn ingeschakeld voor Azure Database for PostgreSQL | Azure Database for PostgreSQL kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| Geografisch redundante opslag moet zijn ingeschakeld voor opslagaccounts | Georedundantie gebruiken om maximaal beschikbare toepassingen te maken | Audit; Invalide | 1.0.0 |
| Geografisch redundante back-up op de lange termijn moet zijn ingeschakeld voor Azure SQL Databases | Met dit beleid worden alle Azure SQL Database-databases gecontroleerd waarvoor geografisch redundante back-ups op lange termijn niet zijn ingeschakeld. | AuditIfNotExists; Invalide | 2.0.0 |
| [Preview]: MUA (Multi-User Authorization) moet zijn ingeschakeld voor Back-upkluizen. | Dit beleid controleert of MUA (Multi-User Authorization) is ingeschakeld voor Back-upkluizen. MUA helpt bij het beveiligen van uw Back-upkluizen door een extra beveiligingslaag toe te voegen aan kritieke bewerkingen. Ga voor meer informatie naar https://aka.ms/mua-for-bv. | Audit; Invalide | 1.0.0-preview |
BR-2: Back-up- en herstelgegevens beveiligen
Zie Back-up en herstel: BR-2: Back-up- en herstelgegevens beveiligen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Backup moet zijn ingeschakeld voor Virtual Machines | Zorg voor beveiliging van uw Azure Virtuele Machines door Azure Backup in te schakelen. Azure Backup is een veilige en kosteneffectieve oplossing voor gegevensbeveiliging voor Azure. | AuditIfNotExists; Invalide | 3.0.0 |
| Geografisch redundante back-up moet zijn ingeschakeld voor Azure Database for MariaDB | Met Azure Database for MariaDB kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| Geo-redundante back-up moet zijn ingeschakeld voor Azure Database for MySQL | Azure Database for MySQL kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| Geo-redundante back-up moet zijn ingeschakeld voor Azure Database for PostgreSQL | Azure Database for PostgreSQL kunt u de redundantieoptie voor uw databaseserver kiezen. Het kan worden ingesteld op een geografisch redundante back-up storage waarin de gegevens niet alleen worden opgeslagen in de regio waarin uw server wordt gehost, maar ook worden gerepliceerd naar een gekoppelde regio om hersteloptie te bieden in geval van een regiofout. Het configureren van geografisch redundante storage voor back-up is alleen toegestaan tijdens het maken van de server. | Audit; Invalide | 1.0.1 |
| [preview]: onveranderbaarheid moet zijn ingeschakeld voor back-upkluizen | Met dit beleid wordt gecontroleerd of de onveranderbare kluiseigenschap is ingeschakeld voor Back-upkluizen in het bereik. Zo kunt u voorkomen dat uw back-upgegevens worden verwijderd voordat de beoogde vervaldatum is verstreken. Meer informatie vindt u op Concept van onveranderbare kluis voor Azure Backup. | Audit; Invalide | 1.0.1-preview |
| [preview]: onveranderbaarheid moet zijn ingeschakeld voor Recovery Services-kluizen | Met dit beleid wordt gecontroleerd of de onveranderbare kluiseigenschap is ingeschakeld voor Recovery Services-kluizen in het bereik. Zo kunt u voorkomen dat uw back-upgegevens worden verwijderd voordat de beoogde vervaldatum is verstreken. Meer informatie vindt u op Concept van onveranderbare kluis voor Azure Backup. | Audit; Invalide | 1.0.1-preview |
| [Preview]: Voorlopig verwijderen moet zijn ingeschakeld voor Recovery Services-kluizen. | Met dit beleid wordt gecontroleerd of voorlopig verwijderen is ingeschakeld voor Recovery Services-kluizen in het bereik. Met voorlopig verwijderen kunt u uw gegevens herstellen, zelfs nadat deze zijn verwijderd. Meer informatie vindt u op https://aka.ms/AB-SoftDelete. | Audit; Invalide | 1.0.0-preview |
| [preview]: Voorlopig verwijderen moet zijn ingeschakeld voor Backup Vaults | Met dit beleid wordt gecontroleerd of voorlopig verwijderen is ingeschakeld voor Back-upkluizen in het bereik. Met voorlopig verwijderen kunt u uw gegevens herstellen nadat deze zijn verwijderd. Meer informatie vindt u op Overzicht van verbeterde voorlopig verwijderen voor Azure Backup | Audit; Invalide | 1.0.0-preview |
DP-1: Gevoelige gegevens detecteren, classificeren en labelen
Zie Gegevensbescherming: DP-1: Gevoelige gegevens detecteren, classificeren en labelen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Microsoft Defender voor API's moet zijn ingeschakeld | Microsoft Defender voor API's biedt nieuwe detectie-, beschermings-, detectie- en responsdekking om te controleren op veelvoorkomende op API gebaseerde aanvallen en beveiligingsfouten. | AuditIfNotExists; Invalide | 1.0.3 |
DP-2: Afwijkingen en bedreigingen bewaken die gericht zijn op gevoelige gegevens
Zie Gegevensbescherming: DP-2: Anomalieën en bedreigingen bewaken die gericht zijn op gevoelige gegevens voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor Azure SQL Database servers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL-servers op computers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde SQL Managed Instances | Controleer elke SQL Managed Instance zonder geavanceerde gegevensbeveiliging. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor opensource-relationele databases moet zijn ingeschakeld | Azure Defender voor opensource-relationele databases detecteert afwijkende activiteiten die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. Meer informatie over de mogelijkheden van Azure Defender voor opensource-relationele databases vindt u in Overview van Defender voor Open-Source Relationele databases. Belangrijk: Als u dit plan inschakelt, worden kosten in rekening gebracht voor het beveiligen van uw opensource relationele databases. Meer informatie over de prijzen op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor API's moet zijn ingeschakeld | Microsoft Defender voor API's biedt nieuwe detectie-, beschermings-, detectie- en responsdekking om te controleren op veelvoorkomende op API gebaseerde aanvallen en beveiligingsfouten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft Defender voor Opslag moet zijn ingeschakeld | Microsoft Defender voor Storage detecteert mogelijke bedreigingen voor uw opslagaccounts. Hiermee voorkomt u de drie belangrijkste gevolgen voor uw gegevens en workload: schadelijke bestandsuploads, exfiltratie van gevoelige gegevens en beschadiging van gegevens. De nieuwe Defender voor opslagabonnement omvat malwarescans en detectie van gevoelige gegevensrisico's. Dit plan biedt ook een voorspelbare prijsstructuur (per storage account) voor controle over dekking en kosten. | AuditIfNotExists; Invalide | 1.0.0 |
DP-3: Gevoelige gegevens versleutelen tijdens overdracht
Zie Gegevensbescherming: DP-3: Gevoelige gegevens versleutelen tijdens overdracht voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Er moet een aangepast IPSec/IKE-beleid worden toegepast op alle gatewayverbindingen met virtuele Azure-netwerken | Dit beleid zorgt ervoor dat alle Azure virtuele netwerkgatewayverbindingen een aangepast IMP-beleid (Internet Protocol Security(Ipsec)/Internet Key Exchange(IKE) gebruiken. Ondersteunde algoritmen en sleutelsterkten: https://aka.ms/AA62kb0 | Audit; Invalide | 1.0.0 |
| API Management-API's mogen alleen versleutelde protocollen gebruiken | Om de beveiliging van gegevens in transit te waarborgen, moeten API's alleen beschikbaar zijn via versleutelde protocollen, zoals HTTPS of WSS. Vermijd het gebruik van niet-beveiligde protocollen, zoals HTTP of WS. | Audit; Invalide; Ontkennen | 2.0.2 |
| App Service app-sites moeten end-to-end-versleuteling inschakelen | Door end-to-end-versleuteling in te schakelen, zorgt u ervoor dat front-endverkeer tussen App Service front-ends en de werkbelastingen van toepassingen worden versleuteld. | Audit; Ontkennen; Invalide | 1.0.0 |
| App Service-app-sites mogen alleen toegankelijk zijn via HTTPS | Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag. | Audit; Invalide; Ontkennen | 2.0.0 |
| App Service app-sites moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor App Service-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 1.2.0 |
| App Service-apps moeten end-to-end-versleuteling inschakelen | Door end-to-end-versleuteling in te schakelen, zorgt u ervoor dat front-endverkeer tussen App Service front-ends en de werkbelastingen van toepassingen worden versleuteld. | Audit; Ontkennen; Invalide | 1.0.0 |
| App Service-apps mogen alleen toegankelijk zijn via HTTPS | Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag. | Audit; Invalide; Ontkennen | 4.0.0 |
| App Service-apps moeten alleen FTPS vereisen | FTPS-afdwinging inschakelen voor verbeterde beveiliging. | AuditIfNotExists; Invalide | 3.0.0 |
| App Service-apps moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor App Service-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 2.2.0 |
| App Service Environment moet worden geconfigureerd met sterkste TLS-coderingssuites | De twee meest minimale en sterkste coderingssuites die nodig zijn om App Service Environment correct te laten functioneren, zijn: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 en TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. | Audit; Invalide | 1.0.0 |
| App Service Environment moet interne versleuteling zijn ingeschakeld | Als u InternalEncryption instelt op true, worden het paginabestand, werkschijven en intern netwerkverkeer tussen de front-ends en werkrollen in een App Service Environment versleuteld. Raadpleeg Custom-configuratie-instellingen voor App Service Omgevingen voor meer informatie. | Audit; Invalide | 1.0.1 |
| App Service Environment moet TLS 1.0 en 1.1 zijn uitgeschakeld | TLS 1.0 en 1.1 zijn verouderde protocollen die geen ondersteuning bieden voor moderne cryptografische algoritmen. Door binnenkomend TLS 1.0- en 1.1-verkeer uit te schakelen, kunt u apps in een App Service Environment beveiligen. | Audit; Ontkennen; Invalide | 2.0.1 |
| Azure Batch-pools moeten schijfversleuteling hebben ingeschakeld | Als u Azure Batch schijfversleuteling inschakelt, zorgt u ervoor dat gegevens altijd in rust worden versleuteld op uw Azure Batch rekenknooppunt. Meer informatie over schijfversleuteling in Batch vindt u op Maak een pool waarvoor schijfversleuteling is ingeschakeld. | Audit; Invalide; Ontkennen | 1.0.0 |
| Als u een minimale TLS-versie instelt op 1.2, wordt de beveiliging verbeterd door ervoor te zorgen dat uw aangepaste domeinen toegankelijk zijn vanaf clients die TLS 1.2 of hoger gebruiken. Het gebruik van versies van TLS kleiner dan 1.2 wordt niet aanbevolen omdat ze zwak zijn en geen ondersteuning bieden voor moderne cryptografische algoritmen. | Audit; Ontkennen; Invalide | 1.0.0 | |
| Azure HDInsight clusters moeten versleuteling gebruiken om de communicatie tussen Azure HDInsight clusterknooppunten te versleutelen | Er kan met gegevens worden geknoeid tijdens de overdracht tussen Azure HDInsight clusterknooppunten. Het inschakelen van versleuteling in transit heeft betrekking op problemen met misbruik en manipulatie tijdens deze verzending. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure SQL Database moet TLS-versie 1.2 of hoger worden uitgevoerd | Door TLS-versie in te stellen op 1.2 of hoger, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure SQL Database alleen toegankelijk is vanaf clients die TLS 1.2 of hoger gebruiken. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben. | Audit; Invalide; Ontkennen | 2.0.0 |
| Azure Synapse Werkruimte-SQL Server TLS-versie 1.2 of hoger moet worden uitgevoerd | Als u TLS-versie instelt op 1.2 of hoger, wordt de beveiliging verbeterd door ervoor te zorgen dat de SQL-server van uw Azure Synapse werkruimte alleen toegankelijk is vanaf clients die TLS 1.2 of hoger gebruiken. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben. | Audit; Ontkennen; Invalide | 1.1.0 |
| Bot Service-eindpunt moet een geldige HTTPS-URI | Er kan tijdens de verzending met gegevens worden geknoeid. Protocollen bestaan die versleuteling bieden om problemen met misbruik en manipulatie op te lossen. Stel het eindpunt in op een geldige HTTPS-URI om ervoor te zorgen dat uw bots alleen via versleutelde kanalen communiceren. Dit zorgt ervoor dat het HTTPS-protocol wordt gebruikt om uw gegevens tijdens overdracht te versleutelen en is vaak ook een vereiste voor naleving van regelgeving of industriestandaarden. Ga naar: Bot Framework-beveiligingsrichtlijnen. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Container Apps mag alleen toegankelijk zijn via HTTPS | Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag. Als u allowInsecure uitschakelt, leidt dit tot de automatische omleiding van aanvragen van HTTP-naar-HTTPS-verbindingen voor container-apps. | Audit; Ontkennen; Invalide | 1.0.1 |
| Enforce SSL-verbinding moet zijn ingeschakeld voor MySQL-databaseservers | Azure Database for MySQL ondersteunt het verbinden van uw Azure Database for MySQL-server met clienttoepassingen met behulp van SSL (Secure Sockets Layer). Het afdwingen van SSL-verbindingen tussen uw databaseserver en clienttoepassingen zorgt dat u bent beschermt tegen 'man in the middle'-aanvallen omdat de gegevensstroom tussen de server en uw toepassing wordt versleuteld. Deze configuratie dwingt af dat SSL altijd is ingeschakeld voor toegang tot uw databaseserver. | Audit; Invalide | 1.0.1 |
| Enforce SSL-verbinding moet zijn ingeschakeld voor PostgreSQL-databaseservers | Azure Database for PostgreSQL ondersteunt het verbinden van uw Azure Database for PostgreSQL-server met clienttoepassingen met behulp van SSL (Secure Sockets Layer). Het afdwingen van SSL-verbindingen tussen uw databaseserver en clienttoepassingen zorgt dat u bent beschermt tegen 'man in the middle'-aanvallen omdat de gegevensstroom tussen de server en uw toepassing wordt versleuteld. Deze configuratie dwingt af dat SSL altijd is ingeschakeld voor toegang tot uw databaseserver. | Audit; Invalide | 1.0.1 |
| Function-app-sites moeten end-to-end-versleuteling inschakelen | Door end-to-end-versleuteling in te schakelen, zorgt u ervoor dat front-endverkeer tussen App Service front-ends en de werkbelastingen van toepassingen worden versleuteld. | Audit; Ontkennen; Invalide | 1.1.0 |
| Sites voor functie-apps mogen alleen toegankelijk zijn via HTTPS | Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag. | Audit; Invalide; Ontkennen | 2.1.0 |
| Function-app-sites moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor functie-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 1.3.0 |
| Function-apps moeten end-to-end-versleuteling inschakelen | Door end-to-end-versleuteling in te schakelen, zorgt u ervoor dat front-endverkeer tussen App Service front-ends en de werkbelastingen van toepassingen worden versleuteld. | Audit; Ontkennen; Invalide | 1.1.0 |
| Function-apps mogen alleen toegankelijk zijn via HTTPS | Door HTTPS te gebruiken, weet u zeker dat server-/serviceverificatie wordt uitgevoerd en dat uw gegevens tijdens de overdracht zijn beschermd tegen aanvallen die meeluisteren in de netwerklaag. | Audit; Invalide; Ontkennen | 5.1.0 |
| Function-apps moeten alleen FTPS vereisen | FTPS-afdwinging inschakelen voor verbeterde beveiliging. | AuditIfNotExists; Invalide | 3.1.0 |
| Function-apps moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor functie-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 2.3.0 |
| [preview]: host- en VM-netwerken moeten worden beveiligd op Azure Stack HCI-systemen | Beveilig gegevens op het Azure Stack HCI-hostsnetwerk en op netwerkverbindingen van virtuele machines. | Audit; Invalide; AuditIfNotExists | 1.0.0-preview |
| Kubernetes-clusters mogen alleen toegankelijk zijn via HTTPS | Het gebruik van HTTPS zorgt voor verificatie en beschermt gegevens tijdens overdracht tegen aanvallen op netwerklagen. Deze mogelijkheid is momenteel algemeen beschikbaar voor Kubernetes Service (AKS) en in preview voor Azure Arc ingeschakelde Kubernetes. Ga voor meer informatie naar Onderstand-Azure Policy voor Kubernetes-clusters | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 8.2.0 |
| Only-beveiligde verbindingen met uw Azure Cache voor Redis moeten zijn ingeschakeld | Controleer het inschakelen van alleen verbindingen via SSL naar Azure Cache voor Redis. Het gebruik van beveiligde verbindingen zorgt voor verificatie tussen de server en de service en beveiligt gegevens tijdens de overdracht tegen netwerklaagaanvallen, zoals man-in-the-middle, meeluisteren en sessie-hijacking | Audit; Ontkennen; Invalide | 1.0.0 |
| Flexibele Servers vanPostgreSQL moeten TLS-versie 1.2 of hoger uitvoeren | Dit beleid helpt bij het controleren van alle flexibele PostgreSQL-servers in uw omgeving die wordt uitgevoerd met TLS-versie kleiner dan 1.2. | AuditIfNotExists; Invalide | 1.1.0 |
| Beveiligde overdracht naar opslagaccounts moet zijn ingeschakeld | Controlevereiste voor veilige overdracht in uw storage-account. Veilige overdracht is een optie waarmee uw storage-account alleen aanvragen van beveiligde verbindingen (HTTPS) accepteert. Het gebruik van HTTPS zorgt voor verificatie tussen de server en de service en beveiligt gegevens tijdens de overdracht tegen netwerklaagaanvallen, zoals man-in-the-middle, meeluisteren en sessie-hijacking | Audit; Ontkennen; Invalide | 2.0.0 |
| Als u een minimale TLS-versie instelt op 1.2, wordt de beveiliging verbeterd door ervoor te zorgen dat uw SQL Managed Instance alleen toegankelijk is vanaf clients met TLS 1.2. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben. | Audit; Invalide | 1.0.1 | |
| Storage-accounts moeten de opgegeven minimale TLS-versie hebben | Configureer een minimale TLS-versie voor beveiligde communicatie tussen de clienttoepassing en het storage-account. Om het beveiligingsrisico te minimaliseren, is de aanbevolen minimale TLS-versie de meest recente versie, die momenteel TLS 1.2 is. | Audit; Ontkennen; Invalide | 1.0.0 |
| Windows machines moeten worden geconfigureerd voor het gebruik van beveiligde communicatieprotocollen | Ter bescherming van de privacy van informatie die via internet wordt gecommuniceerd, moeten uw computers de nieuwste versie van het cryptografische protocol van de industriestandaard, Transport Layer Security (TLS) gebruiken. TLS beveiligt de communicatie via een netwerk door een verbinding tussen machines te versleutelen. | AuditIfNotExists; Invalide | 4.1.1 |
DP-4: Gegevens-at-rest-versleuteling standaard inschakelen
Zie Gegevensbescherming: DP-4: Data-at-rest-versleuteling standaard inschakelen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| A Microsoft Entra-beheerder moet worden ingericht voor MySQL-servers | Controleer het inrichten van een Microsoft Entra-beheerder voor uw MySQL-server om Microsoft Entra verificatie in te schakelen. Microsoft Entra verificatie zorgt voor vereenvoudigd machtigingsbeheer en gecentraliseerd identiteitsbeheer van databasegebruikers en andere Microsoft-services | AuditIfNotExists; Invalide | 1.1.1 |
| Automation-accountvariabelen moeten worden versleuteld | Het is belangrijk om de versleuteling van variabele activa in een Automation-account in te schakelen bij het opslaan van gevoelige gegevens | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure Data Box taken moeten dubbele versleuteling inschakelen voor data-at-rest op het apparaat | Schakel een tweede laag op software gebaseerde versleuteling in voor data-at-rest op het apparaat. Het apparaat is al beveiligd via Advanced Encryption Standard 256-bits versleuteling voor data-at-rest. Met deze optie wordt een tweede laag gegevensversleuteling toegevoegd. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Edge Hardware Center-apparaten moeten ondersteuning voor dubbele versleuteling hebben ingeschakeld | Zorg ervoor dat apparaten die zijn besteld vanuit Azure Edge Hardware Center ondersteuning voor dubbele versleuteling hebben ingeschakeld om de data-at-rest op het apparaat te beveiligen. Met deze optie wordt een tweede laag gegevensversleuteling toegevoegd. | Audit; Ontkennen; Invalide | 2.0.0 |
| Azure HDInsight clusters moeten versleuteling op host gebruiken om data-at-rest te versleutelen | Door versleuteling op host in te schakelen, kunt u uw gegevens beveiligen en beveiligen om te voldoen aan de beveiligings- en nalevingsverplichtingen van uw organisatie. Wanneer u versleuteling op de host inschakelt, worden gegevens die zijn opgeslagen op de VM-host in rust versleuteld en stromen versleuteld naar de Storage-service. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Monitor Logboekclusters moeten worden gemaakt met infrastructuurversleuteling ingeschakeld (dubbele versleuteling) | Gebruik een Azure Monitor toegewezen cluster om ervoor te zorgen dat beveiligde gegevensversleuteling is ingeschakeld op serviceniveau en het infrastructuurniveau met twee verschillende versleutelingsalgoritmen en twee verschillende sleutels. Deze optie is standaard ingeschakeld wanneer deze wordt ondersteund in de regio. Zie Azure Monitor door de klant beheerde sleutels. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Azure Flexibele MySQL-server moet Microsoft Entra Alleen verificatie zijn ingeschakeld | Door lokale verificatiemethoden uit te schakelen en alleen Microsoft Entra verificatie toe te staan, wordt de beveiliging verbeterd door ervoor te zorgen dat Azure flexibele MySQL-server uitsluitend toegankelijk is voor Microsoft Entra identiteiten. | AuditIfNotExists; Invalide | 1.0.1 |
| Azure NetApp Files SMB-volumes moeten gebruikmaken van SMB3-versleuteling | Maak het maken van SMB-volumes zonder SMB3-versleuteling niet toe om gegevensintegriteit en gegevensprivacy te garanderen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure NetApp Files Volumes van het type NFSv4.1 moeten Kerberos-gegevensversleuteling gebruiken | Sta alleen het gebruik van de Beveiligingsmodus van Kerberos (5p) toe om ervoor te zorgen dat gegevens worden versleuteld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Stack Edge apparaten moeten dubbele versleuteling gebruiken | Als u de data-at-rest op het apparaat wilt beveiligen, moet u ervoor zorgen dat deze dubbel versleuteld is, wordt de access aan gegevens beheerd en zodra het apparaat is gedeactiveerd, worden de gegevens veilig van de gegevensschijven gewist. Dubbele versleuteling is het gebruik van twee versleutelingslagen: BitLocker XTS-AES 256-bits versleuteling op de gegevensvolumes en ingebouwde versleuteling van de harde schijven. Meer informatie vindt u in de documentatie over beveiligingsoverzichten voor het specifieke Stack Edge-apparaat. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Azure Synapse Analytics toegewezen SQL-pools moeten versleuteling inschakelen | Schakel transparante gegevensversleuteling in voor Azure Synapse Analytics toegewezen SQL-pools om data-at-rest te beveiligen en te voldoen aan de nalevingsvereisten. Houd er rekening mee dat het inschakelen van transparante gegevensversleuteling voor de pool van invloed kan zijn op de queryprestaties. Meer informatie kan verwijzen naar https://go.microsoft.com/fwlink/?linkid=2147714 | AuditIfNotExists; Invalide | 1.0.0 |
| Voor Cognitive Services-accounts moet opslag van de klant worden gebruikt | Gebruik klantbeheerde opslag om controle te houden over de gegevens die in rust worden opgeslagen in Cognitive Services. Ga naar https://aka.ms/cogsvc-cmkvoor meer informatie over opslag in eigendom van de klant. | Audit; Ontkennen; Invalide | 2.0.0 |
| Disk-versleuteling moet zijn ingeschakeld op Azure Data Explorer | Door schijfversleuteling in te schakelen, kunt u uw gegevens beveiligen en beveiligen om te voldoen aan de beveiligings- en nalevingsverplichtingen van uw organisatie. | Audit; Ontkennen; Invalide | 2.0.0 |
| Dubbele versleuteling moet zijn ingeschakeld op Azure Data Explorer | Door dubbele versleuteling in te schakelen, beveiligt en beschermt u uw gegevens conform de beveiligings- en nalevingsvereisten van uw organisatie. Wanneer dubbele versleuteling is ingeschakeld, worden gegevens in het storage-account tweemaal versleuteld, eenmaal op serviceniveau en eenmaal op infrastructuurniveau, met behulp van twee verschillende versleutelingsalgoritmen en twee verschillende sleutels. | Audit; Ontkennen; Invalide | 2.0.0 |
| Event Hub-naamruimten moeten dubbele versleuteling hebben ingeschakeld | Door dubbele versleuteling in te schakelen, beveiligt en beschermt u uw gegevens conform de beveiligings- en nalevingsvereisten van uw organisatie. Wanneer dubbele versleuteling is ingeschakeld, worden gegevens in het storage-account tweemaal versleuteld, eenmaal op serviceniveau en eenmaal op infrastructuurniveau, met behulp van twee verschillende versleutelingsalgoritmen en twee verschillende sleutels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Infrastructure-versleuteling moet zijn ingeschakeld voor Azure Database for MySQL servers | Schakel infrastructuurversleuteling in voor Azure Database for MySQL servers om een hoger niveau van zekerheid te hebben dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden de data-at-rest tweemaal versleuteld met behulp van FIPS 140-2-compatibele Microsoft beheerde sleutels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Infrastructure-versleuteling moet zijn ingeschakeld voor Azure Database for PostgreSQL servers | Schakel infrastructuurversleuteling in voor Azure Database for PostgreSQL-servers om een hogere mate van zekerheid te hebben dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden de data-at-rest tweemaal versleuteld met fips 140-2 compatibele Microsoft beheerde sleutels | Audit; Ontkennen; Invalide | 1.0.0 |
| Hoewel het besturingssysteem en de gegevensschijven van een virtuele machine standaard versleuteld-at-rest zijn met behulp van door platform beheerde sleutels; resourceschijven (tijdelijke schijven), gegevenscaches en gegevensstromen tussen Compute- en Storage-resources worden niet versleuteld. Gebruik Azure Disk Encryption of EncryptionAtHost om te herstellen. Ga naar Overzicht van opties voor versleuteling van beheerde schijven om versleutelingsaanbiedingen te vergelijken. Voor dit beleid moeten twee vereisten worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar Onderstand Azure Machine Configuration voor meer informatie. | AuditIfNotExists; Invalide | 1.2.1 | |
| Managed disks moet dubbel worden versleuteld met door het platform beheerde en door de klant beheerde sleutels | Hoge beveiligingsgevoelige klanten die zich zorgen maken over het risico dat gepaard gaat met een bepaald versleutelingsalgoritmen, implementatie of sleutel dat wordt aangetast, kunnen kiezen voor extra versleutelingslaag met behulp van een ander versleutelingsalgoritmen/-modus op de infrastructuurlaag met behulp van door platform beheerde versleutelingssleutels. De schijfversleutelingssets zijn vereist voor het gebruik van dubbele versleuteling. Meer informatie vindt u op Versleuteling aan de serverzijde van Azure beheerde schijven. | Audit; Ontkennen; Invalide | 1.0.0 |
| Service Bus naamruimten moeten dubbele versleuteling hebben ingeschakeld | Door dubbele versleuteling in te schakelen, beveiligt en beschermt u uw gegevens conform de beveiligings- en nalevingsvereisten van uw organisatie. Wanneer dubbele versleuteling is ingeschakeld, worden gegevens in het storage-account tweemaal versleuteld, eenmaal op serviceniveau en eenmaal op infrastructuurniveau, met behulp van twee verschillende versleutelingsalgoritmen en twee verschillende sleutels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Service Fabric-clusters moeten de eigenschap ClusterProtectionLevel hebben ingesteld op EncryptAndSign | Service-Fabric biedt drie beveiligingsniveaus (None, Sign en EncryptAndSign) voor communicatie tussen knooppunten met behulp van een primair clustercertificaat. Stel het beveiligingsniveau in om te zorgen dat alle berichten van en naar knooppunten worden versleuteld en digitaal worden ondertekend | Audit; Ontkennen; Invalide | 1.1.0 |
| Storage-accounts moeten infrastructuurversleuteling hebben | Schakel versleuteling van de infrastructuur in voor een hogere mate van zekerheid dat de gegevens veilig zijn. Wanneer infrastructuurversleuteling is ingeschakeld, worden gegevens in een storage-account tweemaal versleuteld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Temp-schijven en cache voor agentknooppuntgroepen in Azure Kubernetes Service clusters moeten worden versleuteld op host | Ter verbetering van de gegevensbeveiliging moeten de gegevens die zijn opgeslagen op de VM-host (virtuele machine) van uw Azure Kubernetes Service knooppunten, in rust worden versleuteld. Dit is een algemene vereiste in veel regelgevings- en compliancestandaarden. | Audit; Ontkennen; Invalide | 1.0.1 |
| Transparent Data Encryption moet zijn ingeschakeld voor met Arc SQL beheerde exemplaren. | Schakel TDE -at-rest (Transparent Data Encryption) in op een Azure Arc ingeschakelde SQL Managed Instance. Meer informatie vindt u op Versleuteling van een database met transparante gegevensversleuteling handmatig in SQL Managed Instance ingeschakeld door Azure Arc. | Audit; Invalide | 1.0.0 |
| Transparent Data Encryption voor SQL-databases moet zijn ingeschakeld | Transparent data encryption moet zijn ingeschakeld om data-at-rest te beveiligen en te voldoen aan de nalevingsvereisten | AuditIfNotExists; Invalide | 2.0.0 |
| Virtual machines en virtual machine scale sets moeten versleuteling hebben op host ingeschakeld | Gebruik versleuteling op de host om end-to-end-versleuteling op te halen voor uw virtuele machine en gegevens van de virtuele-machineschaalset. Versleuteling op host maakt versleuteling in rust mogelijk voor uw tijdelijke schijf- en besturingssysteem-/gegevensschijfcaches. Tijdelijke en tijdelijke besturingssysteemschijven worden versleuteld met door het platform beheerde sleutels wanneer versleuteling op de host is ingeschakeld. Caches van besturingssysteem/gegevensschijven worden in rust versleuteld met een door de klant beheerde of platformbeheerde sleutel, afhankelijk van het versleutelingstype dat op de schijf is geselecteerd. Meer informatie vindt u bij End-to-End-versleuteling inschakelen met behulp van versleuteling op de host. | Audit; Ontkennen; Invalide | 1.0.0 |
| Hoewel het besturingssysteem en de gegevensschijven van een virtuele machine standaard versleuteld-at-rest zijn met behulp van door platform beheerde sleutels; resourceschijven (tijdelijke schijven), gegevenscaches en gegevensstromen tussen Compute- en Storage-resources worden niet versleuteld. Gebruik Azure Disk Encryption of EncryptionAtHost om te herstellen. Ga naar Overzicht van opties voor versleuteling van beheerde schijven om versleutelingsaanbiedingen te vergelijken. Voor dit beleid moeten twee vereisten worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar Onderstand Azure Machine Configuration voor meer informatie. | AuditIfNotExists; Invalide | 1.1.1 |
DP-5: De door de klant beheerde sleuteloptie gebruiken in data-at-rest-versleuteling wanneer dat nodig is
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Voor App Configuration moet een sleutel worden gebruikt die door de klant wordt beheerd | Door de klant beheerde sleutels bieden verbeterde gegevensbeveiliging doordat u uw versleutelingssleutels kunt beheren. Dit is vaak vereist om te voldoen aan nalevingsvereisten. | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure AI Zoeken-diensten moeten sleutels beheerd door de klant gebruiken om gegevens in rust te versleutelen | Versleuteling in rust inschakelen met behulp van een door de klant beheerde sleutel op uw Azure AI Zoeken-services biedt extra controle over de sleutel die wordt gebruikt voor het versleutelen van gegevens in rust. Deze functie is vaak van toepassing op klanten met speciale nalevingsvereisten voor het beheren van gegevensversleutelingssleutels met behulp van een sleutelkluis. | AuditIfNotExists; Invalide | 2.1.0 |
| Azure AI Services-resources moeten data-at-rest versleutelen met een door de klant beheerde sleutel (CMK) | Door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen, biedt meer controle over de levenscyclus van de sleutel, waaronder rotatie en beheer. Dit is met name relevant voor organisaties met gerelateerde nalevingsvereisten. Dit wordt niet standaard beoordeeld en mag alleen worden toegepast wanneer dit is vereist door nalevings- of beperkende beleidsvereisten. Als dit niet is ingeschakeld, worden de gegevens versleuteld met behulp van door het platform beheerde sleutels. Werk de parameter Effect in het beveiligingsbeleid voor het toepasselijke bereik bij om dit te implementeren. | Audit; Ontkennen; Invalide | 2.2.0 |
| Azure API for FHIR moet een door de klant beheerde sleutel gebruiken om data-at-rest te versleutelen | Gebruik een door de klant beheerde sleutel om de versleuteling at rest van de gegevens te beheren die zijn opgeslagen in Azure API for FHIR wanneer dit een wettelijke of nalevingsvereiste is. Door de klant beheerde sleutels leveren ook dubbele versleuteling door een tweede versleutelingslaag toe te voegen boven op de standaardsleutel die wordt uitgevoerd met door de service beheerde sleutels. | audit; Audit; invalide; Invalide | 1.1.0 |
| Azure Automation-accounts moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw Azure Automation-accounts te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Encryption of secure assets in Azure Automation. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Batch-account moet door de klant beheerde sleutels gebruiken om gegevens te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling at rest van de gegevens van uw Batch-account te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u in Batch-accountgegevensversleuteling. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Cache voor Redis Enterprise moet door de klant beheerde sleutels gebruiken voor het versleutelen van schijfgegevens | Gebruik door de klant beheerde sleutels (CMK) om de versleuteling at rest van uw on-disk-gegevens te beheren. Klantgegevens worden standaard versleuteld met door het platform beheerde sleutels (PMK), maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan wettelijke nalevingsstandaarden. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Versleuteling van schijven configureren in Azure Cache voor Redis. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Container Instance-containergroep moet een door de klant beheerde sleutel gebruiken voor versleuteling | Beveilig uw containers met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door de klant beheerde sleutel opgeeft, wordt die sleutel gebruikt om access te beveiligen en te beheren met de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen. | Audit; Invalide; Ontkennen | 1.0.0 |
| Azure Cosmos DB-accounts moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw Azure Cosmos DB te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Customer-Managed Sleutels configureren. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Azure Data Box taken moeten een door de klant beheerde sleutel gebruiken om het wachtwoord voor het ontgrendelen van het apparaat te versleutelen | Gebruik een door de klant beheerde sleutel om de versleuteling van het ontgrendelingswachtwoord voor het apparaat voor Azure Data Box te beheren. Door de klant beheerde sleutels helpen ook bij het beheren van access voor het ontgrendelen van het apparaatwachtwoord door de Data Box-service om het apparaat voor te bereiden en gegevens op een geautomatiseerde manier te kopiëren. De gegevens op het apparaat zelf zijn al versleuteld met Advanced Encryption Standard 256-bits versleuteling en het ontgrendelingswachtwoord van het apparaat wordt standaard versleuteld met een Microsoft beheerde sleutel. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Data Explorer-at-rest versleuteling moet gebruikmaken van een door de klant beheerde sleutel | Versleuteling-at-rest inschakelen met behulp van een door de klant beheerde sleutel op uw Azure Data Explorer-cluster biedt extra controle over de sleutel die wordt gebruikt door de versleuteling-at-rest. Deze functie is vaak van toepassing op klanten met speciale nalevingsvereisten en vereist een Key Vault voor het beheren van de sleutels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure moeten gegevensfactory's worden versleuteld met een door de klant beheerde sleutel | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw Azure Data Factory te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Encrypt-Azure Data Factory met door de klant beheerde sleutel. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Databricks werkruimten moeten Premium SKU zijn die ondersteuning biedt voor functies zoals Private Link, door de klant beheerde sleutel voor versleuteling | Sta alleen Databricks-werkruimte toe met Premium SKU die uw organisatie kan implementeren ter ondersteuning van functies zoals Private Link, door de klant beheerde sleutel voor versleuteling. Meer informatie vindt u op: Configure back-end private connectivity to Azure Databricks. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Device Update-accounts moeten door de klant beheerde sleutel gebruiken om data-at-rest te versleutelen | Versleuteling van data-at-rest in Azure Device Update met door de klant beheerde sleutel voegt een tweede versleutelingslaag toe boven op de standaard door de service beheerde sleutels, maakt het klantbeheer mogelijk van sleutels, aangepast rotatiebeleid en de mogelijkheid om toegang tot gegevens te beheren via toegangsbeheer voor sleutels. Meer informatie vindt u op:Data-versleuteling voor Device Update voor IoT Hub. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure HDInsight clusters moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw Azure HDInsight-clusters te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie over dubbele versleuteling voor data-at-rest. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Health Bots moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels (CMK) om de versleuteling at rest van de gegevens van uw healthbots te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar CMK is doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met CMK kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Configure Customer Managed Keys for data encryption in healthcare agent service | Audit; Invalide | 1.0.0 |
| Azure resource voor belastingstests moet door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels (CMK) om de versleuteling-at-rest voor uw Azure Load Testing-resource te beheren. Standaard wordt de encryptio uitgevoerd met behulp van door de service beheerde sleutels. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Configure door de klant beheerde sleutels voor Azure Load Testing met Azure Key Vault. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Machine Learning werkruimten moeten worden versleuteld met een door de klant beheerde sleutel | Versleuteling at rest van Azure Machine Learning werkruimtegegevens beheren met door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Werkruimte maken met Azure Resource Manager sjabloon. | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure Machine Learning werkruimten moeten worden versleuteld met behulp van een door de klant beheerde sleutel | Versleuteling at rest van Azure Machine Learning werkruimtegegevens beheren met door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Werkruimte maken met Azure Resource Manager sjabloon. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Monitor Logboekclusters moeten worden versleuteld met door de klant beheerde sleutel | Maak Azure Monitor logboekencluster met door de klant beheerde sleutelsversleuteling. Standaard worden de logboekgegevens versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving. Door de klant beheerde sleutel in Azure Monitor geeft u meer controle over de toegang tot uw gegevens. Zie Door de klant beheerde sleutels configureren in Azure Monitor. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| [Preview]: Azure Recovery Services-kluizen moeten door de klant beheerde sleutels gebruiken voor het versleutelen van back-upgegevens | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw back-upgegevens te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op https://aka.ms/AB-CmkEncryption. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| [preview]: Azure Stack HCI-systemen moeten versleutelde volumes hebben | Gebruik BitLocker om het besturingssysteem en de gegevensvolumes op Azure Stack HCI-systemen te versleutelen. | Audit; Invalide; AuditIfNotExists | 1.0.0-preview |
| Azure Stream Analytics taken moeten door de klant beheerde sleutels gebruiken om gegevens te versleutelen | Gebruik door de klant beheerde sleutels wanneer u veilig metagegevens en persoonlijke gegevensassets van uw Stream Analytics-taken in uw storage-account wilt opslaan. Dit geeft u de volledige controle over hoe uw Stream Analytics-gegevens worden versleuteld. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Azure Synapse werkruimten moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling at rest van de gegevens te beheren die zijn opgeslagen in Azure Synapse werkruimten. Door de klant beheerde sleutels leveren dubbele versleuteling door een tweede versleutelingslaag toe te voegen boven op de standaardversleuteling met door de service beheerde sleutels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Bot Service moet worden versleuteld met een door de klant beheerde sleutel | Azure Bot Service uw resource automatisch versleutelt om uw gegevens te beschermen en te voldoen aan de beveiligings- en nalevingsverplichtingen van de organisatie. Standaard worden Microsoft beheerde versleutelingssleutels gebruikt. Voor meer flexibiliteit bij het beheren van sleutels of het beheren van access voor uw abonnement, selecteert u door de klant beheerde sleutels, ook wel BYOK (Bring Your Own Key) genoemd. Meer informatie over Azure Bot Service versleuteling: Azure AI Bot Service versleuteling voor data-at-rest. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Besturingssysteem en gegevensschijven in Azure Kubernetes Service-clusters moeten worden versleuteld met door de klant beheerde sleutels | Het versleutelen van besturingssysteem- en gegevensschijven met door de klant beheerde sleutels biedt meer controle en flexibiliteit in sleutelbeheer. Dit is een algemene vereiste in veel regelgevings- en compliancestandaarden. | Audit; Ontkennen; Invalide | 1.0.1 |
| Containerregisters moeten worden versleuteld met een door de klant beheerde sleutel | Gebruik door de klant beheerde sleutels voor het beheren van de versleuteling van de rest van de inhoud van uw registers. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Customer-Managed Keys voor Azure Container Registry. | Audit; Ontkennen; Invalide | 1.1.2 |
| Customer managed key encryption moet worden gebruikt als onderdeel van CMK-versleuteling voor beheerde Arc SQL-exemplaren. | Als onderdeel van CMK-versleuteling moet door de klant beheerde sleutelversleuteling worden gebruikt. Meer informatie vindt u op Versleuteling van een database met transparante gegevensversleuteling handmatig in SQL Managed Instance ingeschakeld door Azure Arc. | Audit; Invalide | 1.0.0 |
| DICOM-service moet een door de klant beheerde sleutel gebruiken om data-at-rest te versleutelen | Gebruik een door de klant beheerde sleutel om de versleuteling at rest van de gegevens te beheren die zijn opgeslagen in Azure Health Data Services DICOM-service wanneer dit een wettelijke of nalevingsvereiste is. Door de klant beheerde sleutels leveren ook dubbele versleuteling door een tweede versleutelingslaag toe te voegen boven op de standaardsleutel die wordt uitgevoerd met door de service beheerde sleutels. | Audit; Invalide | 1.0.0 |
| ElasticSan-volumegroep moet door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw VolumeGroup te beheren. Klantgegevens worden standaard versleuteld met door het platform beheerde sleutels, maar CMK's zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Door de klant beheerde sleutels maken het mogelijk om de gegevens te versleutelen met een Azure Key Vault sleutel die door u is gemaakt en eigendom is, met volledige controle en verantwoordelijkheid, waaronder rotatie en beheer. | Audit; Invalide | 1.0.0 |
| Event Hub-naamruimten moeten een door de klant beheerde sleutel gebruiken voor versleuteling | Azure Event Hubs ondersteunt de optie voor het versleutelen van data-at-rest met Microsoft beheerde sleutels (standaard) of door de klant beheerde sleutels. Als u ervoor kiest om gegevens te versleutelen met door de klant beheerde sleutels, kunt u access toewijzen, draaien, uitschakelen en intrekken voor de sleutels die Event Hub gebruikt om gegevens in uw naamruimte te versleutelen. Event Hub ondersteunt alleen versleuteling met door de klant beheerde sleutels voor naamruimten in toegewezen clusters. | Audit; Invalide | 1.0.0 |
| FHIR Service moet een door de klant beheerde sleutel gebruiken om data-at-rest te versleutelen | Gebruik een door de klant beheerde sleutel om de versleuteling at rest van de gegevens te beheren die zijn opgeslagen in Azure Health Data Services FHIR-service wanneer dit een wettelijke of nalevingsvereiste is. Door de klant beheerde sleutels leveren ook dubbele versleuteling door een tweede versleutelingslaag toe te voegen boven op de standaardsleutel die wordt uitgevoerd met door de service beheerde sleutels. | Audit; Invalide | 1.0.0 |
| Fluid Relay moet door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw Fluid Relay-server te beheren. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar CMK's zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Door de klant beheerde sleutels maken het mogelijk om de gegevens te versleutelen met een Azure Key Vault sleutel die door u is gemaakt en eigendom is, met volledige controle en verantwoordelijkheid, waaronder rotatie en beheer. Meer informatie vindt u op Customer-beheerde sleutels voor Azure Fluid Relay versleuteling. | Audit; Invalide | 1.0.0 |
| HPC Cache-accounts moeten door de klant beheerde sleutel gebruiken voor versleuteling | Versleuteling in rest van Azure HPC Cache beheren met door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. | Audit; Invalide; Ontkennen | 2.0.0 |
| [Preview]: IoT Hub Device Provisioning Service-gegevens moeten worden versleuteld met behulp van door de klant beheerde sleutels (CMK) | Gebruik door de klant beheerde sleutels om de versleuteling in rust van uw IoT Hub apparaatinrichtingsservice te beheren. De gegevens worden automatisch in rust versleuteld met door de service beheerde sleutels, maar cmk (door de klant beheerde sleutels) zijn doorgaans vereist om te voldoen aan regelgevingsnalevingsstandaarden. Met CMK's kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. Zie voor meer informatie over CMK-versleuteling: https://aka.ms/dps/CMK. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| Logic Apps Integration Service Environment moet worden versleuteld met door de klant beheerde sleutels | Implementeer in Integration Service Environment om versleuteling at rest van Logic Apps-gegevens te beheren met behulp van door de klant beheerde sleutels. Klantgegevens worden standaard versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. | Audit; Ontkennen; Invalide | 1.0.0 |
| Managed disks moet dubbel worden versleuteld met door het platform beheerde en door de klant beheerde sleutels | Hoge beveiligingsgevoelige klanten die zich zorgen maken over het risico dat gepaard gaat met een bepaald versleutelingsalgoritmen, implementatie of sleutel dat wordt aangetast, kunnen kiezen voor extra versleutelingslaag met behulp van een ander versleutelingsalgoritmen/-modus op de infrastructuurlaag met behulp van door platform beheerde versleutelingssleutels. De schijfversleutelingssets zijn vereist voor het gebruik van dubbele versleuteling. Meer informatie vindt u op Versleuteling aan de serverzijde van Azure beheerde schijven. | Audit; Ontkennen; Invalide | 1.0.0 |
| Managed disks moet een specifieke set schijfversleutelingssets gebruiken voor de door de klant beheerde sleutelversleuteling | Het vereisen van een specifieke set schijfversleutelingssets die moeten worden gebruikt met managed disks u controle geeft over de sleutels die worden gebruikt voor versleuteling-at-rest. U kunt de toegestane versleutelde sets selecteren en alle andere worden geweigerd wanneer ze zijn gekoppeld aan een schijf. Meer informatie vindt u op Versleuteling aan de serverzijde van Azure beheerde schijven. | Audit; Ontkennen; Invalide | 2.0.0 |
| MySQL-servers moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling van uw inactieve MySQL-servers te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. | AuditIfNotExists; Invalide | 1.0.4 |
| OS- en gegevensschijven moeten worden versleuteld met een door de klant beheerde sleutel | Gebruik door de klant beheerde sleutels om de versleuteling in rust van de inhoud van uw managed disks te beheren. Standaard worden de gegevens in rust versleuteld met door het platform beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan wettelijke nalevingsstandaarden. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie vindt u op Versleuteling aan de serverzijde van Azure beheerde schijven. | Audit; Ontkennen; Invalide | 3.0.0 |
| Flexibele servers vanPostgreSQL moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling at rest van uw flexibele PostgreSQL-servers te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. | Audit; Ontkennen; Invalide | 1.1.0 |
| PostgreSQL-servers moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleuteling van uw inactieve PostgreSQL-servers te beheren. Standaard worden de gegevens in rust versleuteld met door de service beheerde sleutels, maar door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan nalevingsstandaarden voor regelgeving. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure Key Vault sleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. | AuditIfNotExists; Invalide | 1.0.4 |
| Queue-Storage moet een door de klant beheerde sleutel gebruiken voor versleuteling | Beveilig uw wachtrij storage met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door de klant beheerde sleutel opgeeft, wordt die sleutel gebruikt om access te beveiligen en te beheren met de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Service Bus Premium-naamruimten moeten een door de klant beheerde sleutel gebruiken voor versleuteling | Azure Service Bus ondersteunt de optie om data-at-rest te versleutelen met Microsoft beheerde sleutels (standaard) of door de klant beheerde sleutels. Als u ervoor kiest om gegevens te versleutelen met door de klant beheerde sleutels, kunt u de toegang tot de sleutels die Service Bus gebruikt voor het versleutelen van gegevens in uw naamruimte toewijzen, draaien, uitschakelen en intrekken. Houd er rekening mee dat Service Bus alleen versleuteling ondersteunt met door de klant beheerde sleutels voor Premium-naamruimten. | Audit; Invalide | 1.0.0 |
| SQL managed instances moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Het implementeren van Transparent Data Encryption (TDE) met uw eigen sleutel biedt u meer transparantie en controle over de TDE-protector, verbeterde beveiliging met een externe service met HSM-ondersteuning en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste. | Audit; Ontkennen; Invalide | 2.0.0 |
| SQL-servers moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Het implementeren van Transparent Data Encryption (TDE) met uw eigen sleutel biedt meer transparantie en controle over de TDE-protector, verbeterde beveiliging met een externe service met HSM-ondersteuning en bevordering van scheiding van taken. Deze aanbeveling is van toepassing op organisaties met een gerelateerde nalevingsvereiste. | Audit; Ontkennen; Invalide | 2.0.1 |
| Het opslagaccount met de container met activiteitenlogboeken moet worden versleuteld met BYOK | Dit beleid controleert of het opslagaccount met de container met activiteitenlogboeken is versleuteld met BYOK. Het beleid werkt alleen als het opslagaccount is gebaseerd op hetzelfde abonnement als voor activiteitenlogboeken. Meer informatie over Azure Storage-versleuteling in rust vindt u hier https://aka.ms/azurestoragebyok. | AuditIfNotExists; Invalide | 1.0.0 |
| Storage accountversleutelingsbereiken moeten door de klant beheerde sleutels gebruiken om data-at-rest te versleutelen | Gebruik door de klant beheerde sleutels om de versleutelings-at-rest van uw storage-accountversleutelingsbereiken te beheren. Met door de klant beheerde sleutels kunnen de gegevens worden versleuteld met een Azure sleutelkluissleutel die door u is gemaakt en waarvan u eigenaar bent. U hebt volledige controle en verantwoordelijkheid voor de levenscyclus van de sleutel, inclusief rotatie en beheer. Meer informatie over storage accountversleutelingsbereiken vindt u op Versleutelingsbereiken voor Blob storage. | Audit; Ontkennen; Invalide | 1.0.0 |
| Storage-accountversleutelingsbereiken moeten dubbele versleuteling gebruiken voor data-at-rest | Schakel infrastructuurversleuteling in voor versleuteling in rust van uw storage-accountversleutelingsbereiken voor extra beveiliging. Infrastructuurversleuteling zorgt ervoor dat uw gegevens tweemaal worden versleuteld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Storage-accounts moeten door de klant beheerde sleutel gebruiken voor versleuteling | Beveilig uw blob en bestand storage account met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door de klant beheerde sleutel opgeeft, wordt die sleutel gebruikt om access te beveiligen en te beheren met de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen. | Audit; Invalide | 1.0.3 |
| Tabel Storage moet door de klant beheerde sleutel gebruiken voor versleuteling | Beveilig uw tabel storage met meer flexibiliteit met behulp van door de klant beheerde sleutels. Wanneer u een door de klant beheerde sleutel opgeeft, wordt die sleutel gebruikt om access te beveiligen en te beheren met de sleutel waarmee uw gegevens worden versleuteld. Het gebruik van door de klant beheerde sleutels biedt extra mogelijkheden om de rotatie van de sleutelversleutelingssleutel te beheren of gegevens cryptografisch te wissen. | Audit; Ontkennen; Invalide | 1.0.0 |
DP-6: Een beveiligd sleutelbeheerproces gebruiken
Zie Gegevensbescherming: DP-6: Een beveiligd sleutelbeheerproces gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| API Management-geheim moet worden opgeslagen in Azure Key Vault | Benoemde waarden zijn een verzameling naam- en waardeparen in elke API Management-service. Geheime waarden kunnen worden opgeslagen als versleutelde tekst in API Management (aangepaste geheimen) of door te verwijzen naar geheimen in Azure Key Vault. Als u de beveiliging van API Management en geheimen wilt verbeteren, verwijst u naar geheim benoemde waarden uit Azure Key Vault. Azure Key Vault biedt ondersteuning voor gedetailleerd toegangsbeheer en beleidsregels voor geheimrotatie. | Audit; Invalide; Ontkennen | 1.0.2 |
| Azure Cosmos DB-accounts mogen niet groter zijn dan het maximum aantal dagen dat is toegestaan sinds de laatste sleutelregeneratie van het account. | Genereer uw sleutels opnieuw op de opgegeven tijd om uw gegevens beter te beveiligen. | Audit; Invalide | 1.0.0 |
| Azure Data Factory gekoppelde services moeten gebruikmaken van Key Vault voor het opslaan van geheimen | Om ervoor te zorgen dat geheimen (zoals verbindingsreeksen) veilig worden beheerd, moeten gebruikers geheimen verstrekken met behulp van een Azure Key Vault in plaats van ze inline op te geven in gekoppelde services. | Audit; Ontkennen; Invalide | 1.0.0 |
| [Preview]: Azure Key Vault beheerde HSM-sleutels een vervaldatum moeten hebben | Als u dit beleid in preview wilt gebruiken, moet u eerst deze instructies volgen op https://aka.ms/mhsmgovernance. Cryptografische sleutels moeten een gedefinieerde vervaldatum hebben en mogen niet permanent zijn. Sleutels die altijd geldig zijn, bieden een potentiële aanvaller meer tijd om misbruik van de sleutel te maken. Het wordt aanbevolen vervaldatums voor cryptografische sleutels in te stellen. | Audit; Ontkennen; Invalide | 1.0.1-preview |
| [Preview]: Azure Key Vault Beheerde HSM-sleutels moeten meer dan het opgegeven aantal dagen vóór de vervaldatum hebben | Als u dit beleid in preview wilt gebruiken, moet u eerst deze instructies volgen op https://aka.ms/mhsmgovernance. Als een sleutel bijna is vervallen, kan een organisatorische vertraging in het roteren van de sleutel tot uitval leiden. Sleutels moeten worden gedraaid op een opgegeven aantal dagen vóór de vervaldatum om voldoende tijd te bieden om te reageren op een fout. | Audit; Ontkennen; Invalide | 1.0.1-preview |
| [Preview]: Azure Key Vault Beheerde HSM-sleutels met behulp van elliptische curvecryptografie moeten de opgegeven curvenamen hebben | Als u dit beleid in preview wilt gebruiken, moet u eerst deze instructies volgen op https://aka.ms/mhsmgovernance. Sleutels die worden ondersteund door elliptische curve-cryptografie, kunnen verschillende curvenamen hebben. Sommige toepassingen zijn alleen compatibel met specifieke elliptische-curvesleutels. Dwing de typen elliptische-curvesleutels af die in uw omgeving mogen worden gemaakt. | Audit; Ontkennen; Invalide | 1.0.1-preview |
| [Preview]: Azure Key Vault beheerde HSM-sleutels met behulp van RSA-cryptografie moeten een opgegeven minimale sleutelgrootte hebben | Als u dit beleid in preview wilt gebruiken, moet u eerst deze instructies volgen op https://aka.ms/mhsmgovernance. Stel de minimaal toegestane sleutelgrootte in die u voor uw sleutelkluizen wilt gebruiken. Het gebruik van RSA-sleutels met kleine sleutelgrootten is geen veilige manier en voldoet niet aan een groot aantal industriële certificeringsvereisten. | Audit; Ontkennen; Invalide | 1.0.1-preview |
| Azure Key Vault Managed HSM moet bescherming tegen verwijdering hebben ingeschakeld | Het verwijderen van een door Azure Key Vault beheerde HSM kan leiden tot permanent gegevensverlies. Een kwaadwillende insider in uw organisatie kan azure Key Vault Managed HSM mogelijk verwijderen en opschonen. Beveiliging tegen opschonen beschermt u tegen insider-aanvallen door een verplichte bewaarperiode af te dwingen voor voorlopig verwijderde beheerde HSM van Azure Key Vault. Niemand binnen uw organisatie of Microsoft kan uw beheerde HSM van Azure Key Vault leegmaken tijdens de bewaarperiode voor voorlopig verwijderen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Gebruik KMS (Key Management Service) om geheime gegevens in rust te versleutelen in etcd voor kubernetes-clusterbeveiliging. Meer informatie vindt u op: https://aka.ms/aks/kmsetcdencryption. | Audit; Invalide | 1.1.0 | |
| Key Vault sleutels moeten een vervaldatum hebben | Cryptografische sleutels moeten een gedefinieerde vervaldatum hebben en mogen niet permanent zijn. Sleutels die altijd geldig zijn, bieden een potentiële aanvaller meer tijd om misbruik van de sleutel te maken. Het wordt aanbevolen vervaldatums voor cryptografische sleutels in te stellen. | Audit; Ontkennen; Invalide | 1.0.2 |
| Key Vault geheimen moeten een vervaldatum hebben | Geheimen moeten een gedefinieerde vervaldatum hebben en mogen niet permanent zijn. Geheimen die altijd geldig zijn, bieden een potentiële aanvaller meer tijd om misbruik van de geheimen te maken. Het wordt aanbevolen om vervaldatums voor geheimen in te stellen. | Audit; Ontkennen; Invalide | 1.0.2 |
| Sleutels moeten worden ondersteund door een HSM (Hardware Security Module) | Een HSM is een hardwarebeveiligingsmodule waarin sleutels worden opgeslagen. Een HSM biedt een fysieke beveiligingslaag voor cryptografische sleutels. De cryptografische sleutel kan geen fysieke HSM verlaten die een grotere mate van beveiliging biedt dan een softwaresleutel. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels moeten van het opgegeven cryptografische type RSA of EC zijn | Voor sommige toepassingen is het gebruik van sleutels vereist die door een specifiek cryptografisch type worden ondersteund. Dwing een bepaald cryptografisch sleuteltype in uw omgeving af, RSA of EC. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels moeten een rotatiebeleid hebben om ervoor te zorgen dat de rotatie binnen het opgegeven aantal dagen na het maken is gepland. | Beheer de nalevingsvereisten van uw organisatie door het maximum aantal dagen na het maken van de sleutel op te geven totdat deze moet worden geroteerd. | Audit; Invalide | 1.0.0 |
| Sleutels moeten meer dan het opgegeven aantal dagen vóór de vervaldatum hebben | Als een sleutel bijna is vervallen, kan een organisatorische vertraging in het roteren van de sleutel tot uitval leiden. Sleutels moeten worden gedraaid op een opgegeven aantal dagen vóór de vervaldatum om voldoende tijd te bieden om te reageren op een fout. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels moeten de opgegeven maximale geldigheidsperiode hebben | Beheer de nalevingsvereisten van uw organisatie door de maximale hoeveelheid tijd in dagen op te geven dat een sleutel geldig kan zijn binnen uw key vault. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels mogen niet langer actief zijn dan het opgegeven aantal dagen | Geef het aantal dagen op dat een sleutel actief moet zijn. Sleutels die gedurende een lange periode worden gebruikt, vergroten de kans dat een aanvaller misbruik van de sleutel maakt. Het is een goede beveiligingspraktijk sleutels niet langer dan twee jaar actief te houden. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels die gebruikmaken van elliptische curve-cryptografie, moeten de opgegeven curvenamen hebben | Sleutels die worden ondersteund door elliptische curve-cryptografie, kunnen verschillende curvenamen hebben. Sommige toepassingen zijn alleen compatibel met specifieke elliptische-curvesleutels. Dwing de typen elliptische-curvesleutels af die in uw omgeving mogen worden gemaakt. | Audit; Ontkennen; Invalide | 1.0.1 |
| Sleutels met RSA-cryptografie moeten een opgegeven minimale sleutelgrootte hebben | Stel de minimaal toegestane sleutelgrootte in die u voor uw sleutelkluizen wilt gebruiken. Het gebruik van RSA-sleutels met kleine sleutelgrootten is geen veilige manier en voldoet niet aan een groot aantal industriële certificeringsvereisten. | Audit; Ontkennen; Invalide | 1.0.1 |
| Secrets moeten meer dan het opgegeven aantal dagen vóór de vervaldatum hebben | Als een geheim bijna is vervallen, kan een organisatorische vertraging in het roteren van het geheim tot uitval leiden. Geheimen moeten na een bepaald aantal dagen vóór de vervaldatum worden geroteerd om te zorgen dat er voldoende tijd is om op een fout te kunnen reageren. | Audit; Ontkennen; Invalide | 1.0.1 |
| Secrets moet de opgegeven maximale geldigheidsperiode hebben | Beheer de nalevingsvereisten van uw organisatie door de maximale hoeveelheid tijd in dagen op te geven dat een geheim geldig kan zijn binnen uw key vault. | Audit; Ontkennen; Invalide | 1.0.1 |
| Secrets mag niet langer actief zijn dan het opgegeven aantal dagen | Als uw geheimen zijn gemaakt met een activeringsdatum die in de toekomst ligt, moet u ervoor zorgen dat de geheimen niet langer actief zijn dan de opgegeven duur. | Audit; Ontkennen; Invalide | 1.0.1 |
| Storage accountsleutels mogen niet verlopen zijn | Zorg ervoor dat de gebruiker storage accountsleutels niet verlopen wanneer het verloopbeleid voor sleutels is ingesteld, om de beveiliging van accountsleutels te verbeteren door actie te ondernemen wanneer de sleutels zijn verlopen. | Audit; Ontkennen; Invalide | 3.0.0 |
DP-7: Een beveiligd certificaatbeheerproces gebruiken
Zie Data Protection: DP-7: Een beveiligd certificaatbeheerproces gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Certificaten moeten worden uitgegeven door de opgegeven geïntegreerde certificeringsinstantie | Beheer de nalevingsvereisten van uw organisatie door de geïntegreerde Azure-certificeringsinstanties op te geven die certificaten kunnen verlenen in uw sleutelkluis, zoals Digicert of GlobalSign. | Audit; Ontkennen; Invalide | 2.1.0 |
| Certificaten moeten worden uitgegeven door de opgegeven niet-geïntegreerde certificeringsinstantie | Beheer de nalevingsvereisten van uw organisatie door één aangepaste of interne certificeringsinstantie op te geven die certificaten in uw sleutelkluis kan uitgeven. | Audit; Ontkennen; Invalide | 2.1.1 |
| Certificaten moeten de gespecificeerde actietriggers voor levensduur hebben | Beheer de nalevingsvereisten van uw organisatie door op te geven of een actie voor de levensduur van een certificaat wordt geactiveerd met een bepaald percentage van de levensduur of op een bepaald aantal dagen voordat de vervaldatum is verstreken. | Audit; Ontkennen; Invalide | 2.1.0 |
| Certificaat moet de opgegeven maximale geldigheidsperiode hebben | Beheer de nalevingsvereisten van uw organisatie door de maximale hoeveelheid tijd op te geven die een certificaat geldig kan zijn binnen uw key vault. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 2.2.1 |
| Certificaat moet de opgegeven maximale geldigheidsperiode hebben | Beheer de nalevingsvereisten van uw organisatie door de maximale hoeveelheid tijd op te geven die een certificaat geldig kan zijn binnen uw key vault. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 2.2.1 |
| Certificates mogen niet verlopen binnen het opgegeven aantal dagen | Beheer certificaten die binnen een opgegeven aantal dagen verlopen, zodat uw organisatie voldoende tijd heeft om het certificaat te roteren voordat het verloopt. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 2.1.1 |
| Certificaten moeten toegestane sleuteltypen gebruiken | Beheer de nalevingsvereisten van uw organisatie door de toegestane sleuteltypen voor certificaten te beperken. | Audit; Ontkennen; Invalide | 2.1.0 |
| Certificaten die gebruikmaken van elliptische curve-cryptografie moeten toegestane curvenamen hebben | Beheer de toegestane elliptische curve-namen voor ECC-certificaten die zijn opgeslagen in de sleutelkluis. Meer informatie vindt u op https://aka.ms/akvpolicy. | Audit; Ontkennen; Invalide | 2.1.0 |
| Certificaten met RSA-cryptografie moeten de opgegeven minimale sleutelgrootte hebben | Beheer de nalevingsvereisten van uw organisatie door een minimale sleutelgrootte voor RSA-certificaten op te geven die zijn opgeslagen in uw sleutelkluis. | Audit; Ontkennen; Invalide | 2.1.0 |
DP-8: Beveiliging van sleutel- en certificaatopslagplaats garanderen
Zie Gegevensbescherming: DP-8: Beveiliging van sleutel- en certificaatopslagplaats garanderen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor Key Vault moet zijn ingeschakeld | Azure Defender voor Key Vault biedt een extra beveiligingslaag en beveiligingsinformatie door ongebruikelijke en mogelijk schadelijke pogingen te detecteren om toegang te krijgen tot of misbruik te maken van key vault accounts. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Key Vault moet firewall zijn ingeschakeld of openbare netwerktoegang moet zijn uitgeschakeld | Schakel de key vault firewall in zodat de key vault niet standaard toegankelijk is voor openbare IP-adressen of schakel access uit voor uw key vault zodat deze niet toegankelijk is via het openbare internet. U kunt desgewenst specifieke IP-bereiken configureren om access te beperken tot die netwerken. Meer informatie vindt u op: Network-beveiliging voor Azure Key Vault en Integrate Key Vault met Azure Private Link | Audit; Ontkennen; Invalide | 3.3.0 |
| Azure Key Vaults moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan key vault, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Integrate Key Vault met Azure Private Link. | Audit; Ontkennen; Invalide | 1.2.1 |
| Sleutelkluizen moeten verwijderingsbeveiliging hebben ingeschakeld | Het verwijderen van een key vault kan leiden tot permanent gegevensverlies. U kunt permanent gegevensverlies voorkomen door beveiliging tegen opschonen en voorlopig verwijderen in te schakelen. Beveiliging tegen leegmaken beschermt u tegen aanvallen van insiders door een verplichte bewaarperiode tijdens voorlopige verwijdering af te dwingen voor sleutelkluizen. Niemand binnen uw organisatie of Microsoft kunt uw sleutelkluizen leegmaken tijdens de bewaarperiode voor voorlopig verwijderen. Houd er rekening mee dat sleutelkluizen die na 1 september 2019 zijn gemaakt, standaard voorlopig verwijderen zijn ingeschakeld. | Audit; Ontkennen; Invalide | 2.1.0 |
| Sleutelkluizen moeten voorlopig verwijderen zijn ingeschakeld | Als u een key vault verwijdert zonder voorlopig verwijderen ingeschakeld, worden alle geheimen, sleutels en certificaten die zijn opgeslagen in de key vault definitief verwijderd. Onbedoeld verwijderen van een key vault kan leiden tot permanent gegevensverlies. Met voorlopig verwijderen kunt u een per ongeluk verwijderde key vault herstellen voor een configureerbare bewaarperiode. | Audit; Ontkennen; Invalide | 3.1.0 |
| Resource-logboeken in Key Vault moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Voor geheimen moet een inhoudstype zijn ingesteld | Met een inhoudstypetag kunt u bepalen of een geheim een wachtwoord is, verbindingsreeks enzovoort. Verschillende geheimen hebben verschillende rotatievereisten. De tag voor het inhoudstype moet voor geheimen zijn ingesteld. | Audit; Ontkennen; Invalide | 1.0.1 |
DS-6: De levenscyclus van de workload beveiligen
Zie DevOps Security: DS-6: De levenscyclus van de workload beveiligen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure registercontainerinstallatiekopieën moeten beveiligingsproblemen hebben opgelost (mogelijk gemaakt door Microsoft Defender Vulnerability Management) | Evaluatie van beveiligingsproblemen van containerinstallatiekopieën scant uw register op bekende beveiligingsproblemen (CVE's) en biedt een gedetailleerd beveiligingsrapport voor elke installatiekopie. Het oplossen van kwetsbaarheden kan uw beveiligingspostuur aanzienlijk verbeteren, waarmee u ervoor zorgt dat afbeeldingen veilig kunnen worden gebruikt vóór de implementatie. | AuditIfNotExists; Invalide | 1.0.1 |
| Azure waarop containerinstallatiekopieën worden uitgevoerd, moeten beveiligingsproblemen zijn opgelost (mogelijk gemaakt door Microsoft Defender Vulnerability Management) | Evaluatie van beveiligingsproblemen van containerinstallatiekopieën scant uw register op bekende beveiligingsproblemen (CVE's) en biedt een gedetailleerd beveiligingsrapport voor elke installatiekopie. Deze aanbeveling biedt inzicht in kwetsbare installatiekopieën die momenteel worden uitgevoerd in uw Kubernetes-clusters. Het oplossen van beveiligingsproblemen in containerinstallatiekopieën die momenteel worden uitgevoerd, is essentieel voor het verbeteren van uw beveiligingspostuur, waardoor de aanval surface voor uw in containers geplaatste workloads aanzienlijk wordt verminderd. | AuditIfNotExists; Invalide | 1.0.1 |
ES-1: Eindpuntdetectie en -respons gebruiken (EDR)
Zie Endpoint Security: ES-1: Endpoint Detection and Response (EDR) gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor servers moet zijn ingeschakeld | Azure Defender voor servers biedt realtime bedreigingsbeveiliging voor serverworkloads en genereert aanbevelingen voor beveiliging en waarschuwingen over verdachte activiteiten. | AuditIfNotExists; Invalide | 1.0.3 |
| [preview]: implementeer Microsoft Defender voor Eindpunt agent op hybride Linux-machines | Implementeert Microsoft Defender voor Eindpunt-agent op hybride Linux-machines | DeployIfNotExists; AuditIfNotExists; Handicap | 2.0.1-preview |
| [preview]: implementeer Microsoft Defender voor Eindpunt agent op virtuele Linux-machines | Implementeert Microsoft Defender voor Eindpunt agent op toepasselijke Linux-VM-installatiekopieën. | DeployIfNotExists; AuditIfNotExists; Handicap | 3.0.0-preview |
| [preview]: Microsoft Defender voor Eindpunt-agent implementeren op Windows Azure Arc machines | Implementeert Microsoft Defender voor Eindpunt op Windows Azure Arc machines. | DeployIfNotExists; AuditIfNotExists; Handicap | 2.0.1-preview |
| [preview]: Microsoft Defender voor Eindpunt-agent implementeren op Windows virtuele machines | Implementeert Microsoft Defender voor Eindpunt op toepasselijke Windows VM-installatiekopieën. | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 2.0.1-preview |
ES-2: Moderne antimalwaresoftware gebruiken
Zie Endpoint Security: ES-2: Moderne antimalwaresoftware gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Microsoft Antimalware voor Azure moet worden geconfigureerd voor het automatisch bijwerken van beveiligingshandtekeningen | Met dit beleid worden alle Windows virtuele machine gecontroleerd die niet is geconfigureerd met automatische update van Microsoft antimalwarebeveiligingshandtekeningen. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft IaaSAntimalware-extensie moet worden geïmplementeerd op Windows servers | Met dit beleid worden alle Windows server-VM's gecontroleerd zonder Microsoft IaaSAntimalware-extensie geïmplementeerd. | AuditIfNotExists; Invalide | 1.1.0 |
| Windows Defender Exploit Guard moet zijn ingeschakeld op uw computers | Windows Defender Exploit Guard maakt gebruik van de Azure Policy-agent voor gastconfiguratie. Exploit Guard heeft vier onderdelen die zijn ontworpen om apparaten te vergrendelen tegen een groot aantal aanvalsvectoren en gedrag blokkeren dat vaak wordt gebruikt bij malwareaanvallen, terwijl ondernemingen hun beveiligingsrisico's en productiviteitsvereisten (alleen Windows) kunnen verdelen. | AuditIfNotExists; Invalide | 2.0.0 |
IM-1: Gecentraliseerd identiteits- en verificatiesysteem gebruiken
Zie Identiteitsbeheer: IM-1: Gecentraliseerd identiteits- en verificatiesysteem gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| A Microsoft Entra-beheerder moet worden ingericht voor PostgreSQL-servers | Controleer het inrichten van een Microsoft Entra-beheerder voor uw PostgreSQL-server om Microsoft Entra verificatie in te schakelen. Microsoft Entra verificatie zorgt voor vereenvoudigd machtigingsbeheer en gecentraliseerd identiteitsbeheer van databasegebruikers en andere Microsoft-services | AuditIfNotExists; Invalide | 1.0.1 |
| An Azure Active Directory-beheerder moet worden ingericht voor SQL-servers | Controleer het inrichten van een Azure Active Directory-beheerder voor uw SQL-server om Azure AD-verificatie in te schakelen. Azure AD-verificatie maakt vereenvoudigd machtigingsbeheer en gecentraliseerd identiteitsbeheer mogelijk van databasegebruikers en andere Microsoft-services | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-apps moeten verificatie hebben ingeschakeld | Azure App Service-verificatie is een functie die kan voorkomen dat anonieme HTTP-aanvragen de web-app bereiken. Het kan ook aanvragen die gebruik maken van tokens authentiseren voordat ze de web-app bereiken. | AuditIfNotExists; Invalide | 2.0.1 |
| App Service-apps moeten lokale verificatiemethoden hebben uitgeschakeld voor FTP-implementaties | Het uitschakelen van lokale verificatiemethoden voor FTP-implementaties verbetert de beveiliging door ervoor te zorgen dat App Services uitsluitend Microsoft Entra identiteiten voor verificatie vereist. Meer informatie vindt u op: Disabling basic auth on App Service. | AuditIfNotExists; Invalide | 1.0.3 |
| App Service-apps moeten lokale verificatiemethoden hebben uitgeschakeld voor SCM-site-implementaties | Het uitschakelen van lokale verificatiemethoden voor SCM-sites verbetert de beveiliging door ervoor te zorgen dat App Services uitsluitend Microsoft Entra identiteiten vereist voor verificatie. Meer informatie vindt u op: Disabling basic auth on App Service. | AuditIfNotExists; Invalide | 1.0.3 |
| Het afdwingen van logboekopname om Azure Active Directory verificatie te vereisen voorkomt niet-geverifieerde logboeken van een aanvaller die kan leiden tot onjuiste status, valse waarschuwingen en onjuiste logboeken die zijn opgeslagen in het systeem. | Ontkennen; Audit; Invalide | 1.0.0 | |
| Voor Azure AI-Search-service s moeten lokale verificatiemethoden zijn uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure AI-Search-service s uitsluitend Azure Active Directory-identiteiten vereisen voor verificatie. Meer informatie vindt u op: https://aka.ms/azure-cognitive-search/rbac. Houd er rekening mee dat hoewel de parameter voor lokale verificatie uitschakelen nog steeds in preview is, het weigeringseffect voor dit beleid kan leiden tot beperkte functionaliteit van de Azure AI Zoeken-portal, omdat sommige functies van de portal de GA-API gebruiken die de parameter niet ondersteunt. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure AI Services-resources moeten sleuteltoegang hebben uitgeschakeld (lokale verificatie uitschakelen) | Sleutel access (lokale verificatie) wordt aanbevolen om te worden uitgeschakeld voor beveiliging. Azure OpenAI Studio, die doorgaans wordt gebruikt bij het ontwikkelen/testen, vereist sleuteltoegang en werkt niet als sleuteltoegang is uitgeschakeld. Na het uitschakelen wordt Microsoft Entra ID de enige toegangsmethode, waardoor het minimale bevoegdheidsprincipe en gedetailleerde controle mogelijk blijft. Meer informatie op: Verificatie in Foundry Tools | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure Automation-account moet de lokale verificatiemethode hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Automation accounts uitsluitend Azure Active Directory identiteiten vereisen voor verificatie. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid domeinen moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Event Grid domeinen uitsluitend Azure Active Directory identiteiten voor verificatie vereisen. Meer informatie vindt u op: https://aka.ms/aeg-disablelocalauth. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid partnernaamruimten moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Event Grid partnernaamruimten uitsluitend Azure Active Directory identiteiten voor verificatie vereisen. Meer informatie vindt u op: https://aka.ms/aeg-disablelocalauth. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid onderwerpen moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Event Grid onderwerpen uitsluitend Azure Active Directory identiteiten voor verificatie vereisen. Meer informatie vindt u op: https://aka.ms/aeg-disablelocalauth. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Hub-naamruimten moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Event Hub-naamruimten uitsluitend Microsoft Entra ID-identiteiten vereisen voor verificatie. Meer informatie vindt u op: https://aka.ms/disablelocalauth-eh. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Kubernetes Service Clusters moeten Microsoft Entra ID integratie inschakelen | Met AKS beheerde Microsoft Entra ID-integratie kan de toegang tot de clusters worden beheerd door op rollen gebaseerd toegangsbeheer (Kubernetes RBAC) van Kubernetes te configureren op basis van het lidmaatschap van een gebruikersidentiteit of directorygroep. Meer informatie vindt u op: Enable AKS-beheerde Microsoft Entra-integratie op een Azure Kubernetes Service-cluster. | Audit; Invalide | 1.0.2 |
| Azure Kubernetes Service Clusters moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Kubernetes Service clusters uitsluitend Azure Active Directory identiteiten voor verificatie vereisen. Meer informatie vindt u op: https://aka.ms/aks-disable-local-accounts. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Machine Learning Computes moeten lokale verificatiemethoden hebben uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat voor Machine Learning Compute Azure Active Directory identiteiten uitsluitend voor verificatie zijn vereist. Meer informatie vindt u op: Azure Policy Controles voor naleving van regelgeving voor Azure Machine Learning. | Audit; Ontkennen; Invalide | 2.1.0 |
| [preview]: Azure Flexibele PostgreSQL-server moet Microsoft Entra alleen verificatie hebben ingeschakeld | Door lokale verificatiemethoden uit te schakelen en alleen Microsoft Entra Verificatie toe te staan, wordt de beveiliging verbeterd door ervoor te zorgen dat Azure Flexibele PostgreSQL-server uitsluitend toegankelijk is voor Microsoft Entra identiteiten. | Audit; Invalide | 1.0.0-preview |
| Azure Service Bus naamruimten moeten lokale verificatiemethoden zijn uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Service Bus naamruimten uitsluitend Microsoft Entra ID identiteiten voor verificatie vereisen. Meer informatie vindt u op: https://aka.ms/disablelocalauth-sb. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure SQL Database moet alleen-Microsoft Entra-verificatie zijn ingeschakeld | Vereisen dat Azure SQL logische servers gebruikmaken van alleen-Microsoft Entra-verificatie. Dit beleid blokkeert niet dat servers worden gemaakt met lokale verificatie ingeschakeld. Het blokkeert dat lokale verificatie wordt ingeschakeld voor resources na het maken. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Server maken met Microsoft Entra alleen-verificatie ingeschakeld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure SQL Database moet alleen-Microsoft Entra-verificatie zijn ingeschakeld tijdens het maken | Vereisen dat Azure SQL logische servers worden gemaakt met Microsoft Entra-only verificatie. Dit beleid blokkeert niet dat lokale verificatie na het maken opnieuw wordt ingeschakeld voor resources. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Server maken met Microsoft Entra alleen-verificatie ingeschakeld. | Audit; Ontkennen; Invalide | 1.2.0 |
| Azure SQL Managed Instance moet alleen-Microsoft Entra-verificatie zijn ingeschakeld | Vereisen Azure SQL Managed Instance om alleen-Microsoft Entra-verificatie te gebruiken. Met dit beleid wordt niet geblokkeerd Azure SQL beheerde exemplaren worden gemaakt met lokale verificatie ingeschakeld. Het blokkeert dat lokale verificatie wordt ingeschakeld voor resources na het maken. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Server maken met Microsoft Entra alleen-verificatie ingeschakeld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure SQL Beheerde exemplaren moeten Microsoft Entra-only verificatie hebben ingeschakeld tijdens het maken | Vereisen dat Azure SQL Managed Instance worden gemaakt met Microsoft Entra-only-verificatie. Dit beleid blokkeert niet dat lokale verificatie na het maken opnieuw wordt ingeschakeld voor resources. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Server maken met Microsoft Entra alleen-verificatie ingeschakeld. | Audit; Ontkennen; Invalide | 1.2.0 |
| Voor de Azure Web PubSub-service moeten lokale verificatiemethoden zijn uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Azure Web PubSub Service uitsluitend Azure Active Directory identiteiten vereist voor verificatie. | Audit; Ontkennen; Invalide | 1.0.0 |
| Bot Service moeten lokale verificatiemethoden zijn uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat een bot uitsluitend AAD gebruikt voor verificatie. | Audit; Ontkennen; Invalide | 1.0.0 |
| Voor containerregisters moet anonieme verificatie zijn uitgeschakeld. | Schakel anonieme pull uit voor uw register, zodat gegevens niet toegankelijk zijn voor niet-geverifieerde gebruikers. Als u lokale verificatiemethoden uitschakelt, zoals een gebruiker met beheerdersrechten, toegangstokens in de opslagplaats en anonieme pull, wordt de beveiliging verbeterd door ervoor te zorgen dat containerregisters uitsluitend Azure Active Directory-identiteiten vereisen voor verificatie. Meer informatie vindt u op: https://aka.ms/acr/authentication. | Audit; Ontkennen; Invalide | 1.0.0 |
| In containerregisters moet ARM-doelgroeptokenverificatie worden uitgeschakeld. | Schakel Azure Active Directory ARM-doelgroeptokens uit voor verificatie bij uw register. Alleen ACR-doelgroeptokens (Azure Container Registry) worden gebruikt voor verificatie. Dit zorgt ervoor dat alleen tokens die zijn bedoeld voor gebruik in het register, kunnen worden gebruikt voor verificatie. Het uitschakelen van ARM-doelgroeptokens heeft geen invloed op de authenticatie van de beheerder van gebruikers of de authenticatie van toegangstokens binnen een bepaald bereik. Meer informatie vindt u op: https://aka.ms/acr/authentication. | Audit; Ontkennen; Invalide | 1.0.0 |
| Containerregisters moeten lokaal beheerdersaccount uitgeschakeld. | Schakel het beheerdersaccount voor uw register uit, zodat het niet toegankelijk is voor de lokale beheerder. Als u lokale verificatiemethoden uitschakelt, zoals een gebruiker met beheerdersrechten, toegangstokens in de opslagplaats en anonieme pull, wordt de beveiliging verbeterd door ervoor te zorgen dat containerregisters uitsluitend Azure Active Directory identiteiten vereisen voor verificatie. Meer informatie vindt u op: Azure Container Registry Verificatieopties uitgelegd. | Audit; Ontkennen; Invalide | 1.0.1 |
| Containerregisters moeten toegangstokens met de reikwijdte van opslagplaatsen uitschakelen. | Schakel opslagplaats-specifieke toegangstokens voor uw register uit, zodat opslagplaatsen niet toegankelijk zijn voor tokens. Als u lokale verificatiemethoden uitschakelt, zoals een gebruiker met beheerdersrechten, toegangstokens in de opslagplaats en anonieme pull, wordt de beveiliging verbeterd door ervoor te zorgen dat containerregisters uitsluitend Azure Active Directory-identiteiten vereisen voor verificatie. Meer informatie vindt u op: https://aka.ms/acr/authentication. | Audit; Ontkennen; Invalide | 1.0.0 |
| Cosmos DB-databaseaccounts moeten lokale verificatiemethoden zijn uitgeschakeld | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat Cosmos DB-databaseaccounts uitsluitend Azure Active Directory identiteiten vereisen voor verificatie. Meer informatie vindt u op: Connect to Azure Cosmos DB for NoSQL using role-based access control and Microsoft Entra ID. | Audit; Ontkennen; Invalide | 1.1.0 |
| Voor functie-apps moet verificatie zijn ingeschakeld | Azure App Service-authenticatie is een functie die kan voorkomen dat anonieme HTTP-verzoeken de Function app bereiken, of die verzoeken met tokens authenticeert voordat ze de Function app bereiken. | AuditIfNotExists; Invalide | 3.1.0 |
| Log Analytics-werkruimten moeten opname op basis van niet-Azure Active Directory blokkeren. | Het afdwingen van logboekopname om Azure Active Directory verificatie te vereisen voorkomt niet-geverifieerde logboeken van een aanvaller die kan leiden tot onjuiste status, valse waarschuwingen en onjuiste logboeken die zijn opgeslagen in het systeem. | Ontkennen; Audit; Invalide | 1.0.0 |
| Service Fabric-clusters mogen alleen Azure Active Directory gebruiken voor clientverificatie | Controleer het gebruik van clientverificatie alleen via Azure Active Directory in Service Fabric | Audit; Ontkennen; Invalide | 1.1.0 |
| Controlevereiste van Azure Active Directory (Azure AD) om aanvragen voor uw opslagaccount te autoriseren. Aanvragen kunnen standaard worden geautoriseerd met Azure Active Directory referenties of met behulp van de accounttoegangssleutel voor autorisatie van gedeelde sleutels. Van deze twee typen autorisatie biedt Azure AD superieure beveiliging en gebruiksgemak ten opzichte van gedeelde sleutels en wordt aanbevolen door Microsoft. | Audit; Ontkennen; Invalide | 2.0.0 | |
| Storage-accounts moeten gedeelde sleutel access voorkomen (met uitzondering van storage accounts die zijn gemaakt door Databricks) | Controlevereiste van Azure Active Directory (Azure AD) om aanvragen voor uw opslagaccount te autoriseren. Aanvragen kunnen standaard worden geautoriseerd met Azure Active Directory referenties of met behulp van de accounttoegangssleutel voor autorisatie van gedeelde sleutels. Van deze twee typen autorisatie biedt Azure AD superieure beveiliging en gebruiksgemak ten opzichte van gedeelde sleutels en wordt aanbevolen door Microsoft. | Audit; Ontkennen; Invalide | 1.0.0 |
| Synapse-werkruimten moeten alleen-Microsoft Entra-verificatie zijn ingeschakeld | Synapse-werkruimten vereisen voor het gebruik van Microsoft Entra-only-verificatie. Dit beleid blokkeert niet dat werkruimten worden gemaakt met lokale verificatie ingeschakeld. Het blokkeert dat lokale verificatie wordt ingeschakeld voor resources na het maken. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Azure Synapse Analytics. | Audit; Ontkennen; Invalide | 1.0.0 |
| Synapse-werkruimten mogen alleen Microsoft Entra identiteiten gebruiken voor verificatie tijdens het maken van de werkruimte | Vereisen dat Synapse-werkruimten worden gemaakt met Microsoft Entra-only-verificatie. Dit beleid blokkeert niet dat lokale verificatie na het maken opnieuw wordt ingeschakeld voor resources. Overweeg in plaats daarvan het initiatief 'alleen-Microsoft Entra-verificatie' te gebruiken om beide te vereisen. Meer informatie vindt u op: Azure Synapse Analytics. | Audit; Ontkennen; Invalide | 1.2.0 |
| VPN-gateways mogen alleen Azure Active Directory (Azure AD)-verificatie gebruiken voor punt-naar-site-gebruikers | Het uitschakelen van lokale verificatiemethoden verbetert de beveiliging door ervoor te zorgen dat VPN Gateways alleen Azure Active Directory identiteiten gebruiken voor verificatie. Meer informatie over Azure AD-verificatie vindt u op Configure P2S VPN Gateway for Microsoft Entra ID authentication | Audit; Ontkennen; Invalide | 1.0.0 |
IM-2: Identiteits- en verificatiesystemen beveiligen
Zie Identiteitsbeheer: IM-2: Identiteits- en verificatiesystemen beveiligen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Gebruikers moeten worden geverifieerd met meervoudige verificatie om resources te maken of bij te werken | Met deze beleidsdefinitie worden bewerkingen voor het maken en bijwerken van resources geblokkeerd wanneer de aanroeper niet wordt geverifieerd via MFA. Ga voor meer informatie naar Plan voor verplichte Microsoft Entra meervoudige verificatie (MFA). | Audit; Ontkennen; Invalide | 1.0.1 |
IM-3: Toepassingsidentiteiten veilig en automatisch beheren
Zie Identiteitsbeheer: IM-3: Toepassingsidentiteiten veilig en automatisch beheren voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| [preview]: er moet een beheerde identiteit zijn ingeschakeld op uw computers | Resources die worden beheerd door Automanage moeten een beheerde identiteit hebben. | Audit; Invalide | 1.0.0-preview |
| [Preview]: Door de gebruiker toegewezen beheerde identiteit toevoegen om toewijzingen van gastconfiguratie in te schakelen op virtuele machines | Met dit beleid wordt een door de gebruiker toegewezen beheerde identiteit toegevoegd aan virtuele machines die worden gehost in Azure die worden ondersteund door gastconfiguratie. Een door de gebruiker toegewezen beheerde identiteit is een vereiste voor alle toewijzingen van gastconfiguraties en moet worden toegevoegd aan computers voordat u beleidsdefinities voor gastconfiguratie gebruikt. Ga naar https://aka.ms/gcpol voor meer informatie over gastconfiguratie. | AuditIfNotExists; DeployIfNotExists; Handicap | 2.1.0-preview |
| App Service app-sites moeten beheerde identiteit gebruiken | Een beheerde identiteit gebruiken voor verbeterde verificatiebeveiliging | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-apps moeten beheerde identiteit gebruiken | Een beheerde identiteit gebruiken voor verbeterde verificatiebeveiliging | AuditIfNotExists; Invalide | 3.0.0 |
| [preview]: wijs Built-In User-Assigned beheerde identiteit toe aan Virtual Machine Scale Sets | Maak en wijs een ingebouwde door de gebruiker toegewezen beheerde identiteit toe of wijs een vooraf gemaakte door de gebruiker toegewezen beheerde identiteit op schaal toe aan virtuele-machineschaalsets. Ga naar aka.ms/managedidentitypolicy voor meer gedetailleerde documentatie. | AuditIfNotExists; DeployIfNotExists; Handicap | 1.1.0-preview |
| [preview]: wijs Built-In User-Assigned beheerde identiteit toe aan Virtual Machines | Maak en wijs een ingebouwde door de gebruiker toegewezen beheerde identiteit toe of wijs een vooraf gemaakte door de gebruiker toegewezen beheerde identiteit op schaal toe aan virtuele machines. Ga naar aka.ms/managedidentitypolicy voor meer gedetailleerde documentatie. | AuditIfNotExists; DeployIfNotExists; Handicap | 1.1.0-preview |
| Automation-account moet beheerde identiteit hebben | Gebruik beheerde identiteiten als de aanbevolen methode voor verificatie met Azure resources uit de runbooks. Beheerde identiteit voor verificatie is veiliger en elimineert de beheeroverhead die is gekoppeld aan het gebruik van een RunAs-account in uw runbookcode. | Audit; Invalide | 1.0.0 |
| Azure Data Factory gekoppelde services moeten door het systeem toegewezen beheerde identiteitverificatie gebruiken wanneer deze wordt ondersteund | Het gebruik van door het systeem toegewezen beheerde identiteit bij het communiceren met gegevensarchieven via gekoppelde services voorkomt het gebruik van minder beveiligde referenties, zoals wachtwoorden of verbindingsreeksen. | Audit; Ontkennen; Invalide | 2.1.0 |
| Azure Kubernetes Service Clusters moeten beheerde identiteiten gebruiken | Gebruik beheerde identiteiten om service-principals te verpakken, clusterbeheer te vereenvoudigen en de complexiteit te voorkomen die vereist is voor beheerde service-principals. Meer informatie vindt u op: https://aka.ms/aks-update-managed-identities | Audit; Invalide | 1.0.1 |
| Azure Machine Learning werkruimten moeten door de gebruiker toegewezen beheerde identiteit gebruiken | Manange-toegang tot Azure ML-werkruimte en bijbehorende resources, Azure Container Registry, KeyVault, Storage en App Insights met behulp van door de gebruiker toegewezen beheerde identiteit. Standaard wordt door het systeem toegewezen beheerde identiteit gebruikt door Azure ML-werkruimte voor toegang tot de bijbehorende resources. Door de gebruiker toegewezen beheerde identiteit kunt u de identiteit maken als een Azure resource en de levenscyclus van die identiteit onderhouden. Meer informatie vindt u op Set up authentication between Azure Machine Learning and other services. | Audit; Ontkennen; Invalide | 1.0.0 |
| Cognitive Services-accounts moeten een beheerde identiteit gebruiken | Door een beheerde identiteit toe te wijzen aan uw Cognitive Service-account, zorgt u voor veilige verificatie. Deze identiteit wordt door dit Cognitive Service-account gebruikt om op een veilige manier te communiceren met andere Azure-services, zoals Azure Key Vault, zonder dat u referenties hoeft te beheren. | Audit; Ontkennen; Invalide | 1.0.0 |
| Communication-serviceresource moet een beheerde identiteit gebruiken | Door een beheerde identiteit toe te wijzen aan uw Communication Service-resource, zorgt u voor veilige verificatie. Deze identiteit wordt door deze Communication Service-resource gebruikt om op een veilige manier te communiceren met andere Azure-services, zoals Azure Storage, zonder dat u referenties hoeft te beheren. | Audit; Ontkennen; Invalide | 1.0.0 |
| Een ingebouwde door de gebruiker toegewezen beheerde identiteit maken en toewijzen | Maak en wijs een ingebouwde door de gebruiker toegewezen beheerde identiteit op schaal toe aan virtuele SQL-machines. | AuditIfNotExists; DeployIfNotExists; Uitgeschakeld | 1.8.0 |
| Function-apps moeten beheerde identiteit gebruiken | Een beheerde identiteit gebruiken voor verbeterde verificatiebeveiliging | AuditIfNotExists; Invalide | 3.1.0 |
| [preview]: Beheerde identiteitsfedereerde referenties van Azure Kubernetes moeten afkomstig zijn uit vertrouwde bronnen | Dit beleid beperkt federeation met Azure Kubernetes-clusters tot alleen clusters van goedgekeurde tenants, goedgekeurde regio's en een specifieke uitzonderingslijst met extra clusters. | Audit; Invalide; Ontkennen | 1.0.0-preview |
| [preview]: Federatieve referenties voor beheerde identiteit van GitHub moeten afkomstig zijn van eigenaren van vertrouwde opslagplaatsen | Dit beleid beperkt federatie met GitHub opslagplaatsen tot alleen goedgekeurde eigenaren van opslagplaatsen. | Audit; Invalide; Ontkennen | 1.0.1-preview |
| [preview]: beheerde identiteit federatieve referenties moeten afkomstig zijn van toegestane typen verleners | Dit beleid beperkt of beheerde identiteiten federatieve referenties kunnen gebruiken, welke algemene typen verleners zijn toegestaan en een lijst met toegestane uitzonderingen voor verleners. | Audit; Invalide; Ontkennen | 1.0.0-preview |
| Beheerde identiteit moet zijn ingeschakeld voor Container Apps | Het afdwingen van beheerde identiteit zorgt ervoor dat Container Apps veilig kan worden geverifieerd bij elke resource die ondersteuning biedt voor Azure AD-verificatie | Audit; Ontkennen; Invalide | 1.0.1 |
| Stream Analytics-taak moet beheerde identiteit gebruiken om eindpunten te verifiëren | Zorg ervoor dat Stream Analytics-taken alleen verbinding maken met eindpunten met behulp van verificatie van beheerde identiteiten. | Ontkennen; Invalide; Audit | 1.0.0 |
| de gastconfiguratie-extensie van Virtual machines moet worden geïmplementeerd met door het systeem toegewezen beheerde identiteit | De gastconfiguratie-extensie vereist een door het systeem toegewezen beheerde identiteit. Azure virtuele machines binnen het bereik van dit beleid niet compatibel zijn wanneer de extensie Gastconfiguratie is geïnstalleerd, maar geen door het systeem toegewezen beheerde identiteit heeft. Meer informatie vindt u op Onderstand Azure Machine Configuration | AuditIfNotExists; Invalide | 1.0.1 |
IM-4: Server en services verifiëren
Zie Identiteitsbeheer: IM-4: Server en services verifiëren voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| API-eindpunten in Azure API Management moeten worden geverifieerd | API-eindpunten die zijn gepubliceerd in Azure API Management moeten verificatie afdwingen om beveiligingsrisico's te minimaliseren. Verificatiemechanismen worden soms onjuist geïmplementeerd of ontbreken. Hierdoor kunnen aanvallers misbruik maken van implementatiefouten en gegevens access. Meer informatie over de OWASP API Threat for Broken User Authentication vindt u hier: Aanbevelingen om OWASP API Security Top 10 bedreigingen te beperken met behulp van API Management | AuditIfNotExists; Invalide | 1.0.1 |
| API Management-aanroepen naar API-back-ends moeten worden geverifieerd | Aanroepen van API Management naar back-ends moeten een vorm van verificatie gebruiken, ongeacht of het nu gaat om certificaten of referenties. Is niet van toepassing op Service Fabric back-ends. | Audit; Invalide; Ontkennen | 1.0.1 |
| API Management aanroepen naar API-back-ends mogen geen vingerafdruk van certificaten of naamvalidatie overslaan | Om de API-beveiliging te verbeteren, moet API Management het back-endservercertificaat valideren voor alle API-aanroepen. Schakel vingerafdruk van SSL-certificaat en naamvalidatie in. | Audit; Invalide; Ontkennen | 1.0.2 |
| App Service-app-sites moeten clientcertificaten (binnenkomende clientcertificaten) hebben ingeschakeld | Met clientcertificaten kan de app een certificaat aanvragen voor binnenkomende aanvragen. Alleen clients die een geldig certificaat hebben, kunnen de app bereiken. Dit beleid is van toepassing op apps met Http-versie ingesteld op 1.1. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure SQL Database moet TLS-versie 1.2 of hoger worden uitgevoerd | Door TLS-versie in te stellen op 1.2 of hoger, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure SQL Database alleen toegankelijk is vanaf clients die TLS 1.2 of hoger gebruiken. Het is raadzaam geen lagere TLS-versies dan 1.2 te gebruiken, omdat deze goed gedocumenteerde beveiligingsproblemen hebben. | Audit; Invalide; Ontkennen | 2.0.0 |
IM-6: Krachtige verificatiecontroles gebruiken
Zie Identiteitsbeheer: IM-6: Krachtige verificatiebesturingselementen gebruiken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Authentication naar Linux-machines moeten SSH-sleutels vereisen | Hoewel SSH zelf een versleutelde verbinding biedt, blijft het gebruik van wachtwoorden met SSH de VM kwetsbaar voor beveiligingsaanvallen. De veiligste optie voor verificatie bij een Azure virtuele Linux-machine via SSH is met een openbaar-persoonlijk sleutelpaar, ook wel SSH-sleutels genoemd. Meer informatie: Detailed steps: Create and manage SSH keys for authentication to a Linux VM in Azure. | AuditIfNotExists; Invalide | 3.2.0 |
IM-8: De blootstelling van referenties en geheimen beperken
Zie Identiteitsbeheer: IM-8: De blootstelling van referenties en geheimen beperken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| API Management-geheim moet worden opgeslagen in Azure Key Vault | Benoemde waarden zijn een verzameling naam- en waardeparen in elke API Management-service. Geheime waarden kunnen worden opgeslagen als versleutelde tekst in API Management (aangepaste geheimen) of door te verwijzen naar geheimen in Azure Key Vault. Als u de beveiliging van API Management en geheimen wilt verbeteren, verwijst u naar geheim benoemde waarden uit Azure Key Vault. Azure Key Vault biedt ondersteuning voor gedetailleerd toegangsbeheer en beleidsregels voor geheimrotatie. | Audit; Invalide; Ontkennen | 1.0.2 |
| Machines moeten geheime bevindingen hebben opgelost | Controleert virtual machines of ze geheime bevindingen van de geheime scanoplossingen op uw virtual machines bevatten. | AuditIfNotExists; Invalide | 1.0.2 |
IR-2: Voorbereiding - incidentmelding instellen
Zie Incidentrespons: IR-2: Voorbereiding - Incidentmelding instellen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Emailmelding voor waarschuwingen met hoge ernst moet zijn ingeschakeld | Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, kunt u e-mailmeldingen inschakelen voor waarschuwingen met hoge urgentie in Security Center. | AuditIfNotExists; Invalide | 1.2.0 |
| Emailmelding aan abonnementseigenaar moet zijn ingeschakeld voor waarschuwingen met hoge ernst | Om ervoor te zorgen uw abonnementseigenaars worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in hun abonnement, kunt u e-mailmeldingen voor abonnementseigenaars instellen voor waarschuwingen met hoge urgentie in Security Center. | AuditIfNotExists; Invalide | 2.1.0 |
| Subscriptions moeten een e-mailadres voor contactpersonen hebben voor beveiligingsproblemen | Om ervoor te zorgen dat de relevante personen in uw organisatie worden gewaarschuwd wanneer er sprake is van een mogelijke schending van de beveiliging in een van uw abonnementen, moet u een veiligheidscontact instellen die e-mailmeldingen van Security Center ontvangt. | AuditIfNotExists; Invalide | 1.0.1 |
IR-3: Detectie en analyse : incidenten maken op basis van waarschuwingen van hoge kwaliteit
Zie Incidentrespons: IR-3: Detectie en analyse : incidenten maken op basis van waarschuwingen van hoge kwaliteit voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor App Service moet zijn ingeschakeld | Azure Defender voor App Service maakt gebruik van de schaal van de cloud en de zichtbaarheid die Azure als cloudprovider heeft om te controleren op veelvoorkomende web-app-aanvallen. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor Azure SQL Database servers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor Key Vault moet zijn ingeschakeld | Azure Defender voor Key Vault biedt een extra beveiligingslaag en beveiligingsinformatie door ongebruikelijke en mogelijk schadelijke pogingen te detecteren om toegang te krijgen tot of misbruik te maken van key vault accounts. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender moet zijn ingeschakeld voor Resource Manager | Azure Defender voor Resource Manager controleert automatisch de resourcebeheerbewerkingen in uw organisatie. Azure Defender bedreigingen detecteert en waarschuwt u over verdachte activiteiten. Meer informatie over de mogelijkheden van Azure Defender voor Resource Manager vindt u op Microsoft Defender voor Resource Manager - Voordelen en functies . Als u dit Azure Defender plan inschakelt, worden er kosten in rekening gebracht. Meer informatie over de prijsgegevens per regio op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud . | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL-servers op computers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Azure SQL servers | SQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 2.0.1 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele MySQL-servers | Flexibele MySQL-servers controleren zonder Advanced Data Security | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele PostgreSQL-servers | Flexibele PostgreSQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde SQL Managed Instances | Controleer elke SQL Managed Instance zonder geavanceerde gegevensbeveiliging. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor opensource-relationele databases moet zijn ingeschakeld | Azure Defender voor opensource-relationele databases detecteert afwijkende activiteiten die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. Meer informatie over de mogelijkheden van Azure Defender voor opensource-relationele databases vindt u in Overview van Defender voor Open-Source Relationele databases. Belangrijk: Als u dit plan inschakelt, worden kosten in rekening gebracht voor het beveiligen van uw opensource relationele databases. Meer informatie over de prijzen op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor servers moet zijn ingeschakeld | Azure Defender voor servers biedt realtime bedreigingsbeveiliging voor serverworkloads en genereert aanbevelingen voor beveiliging en waarschuwingen over verdachte activiteiten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft-Defender CSPM moet zijn ingeschakeld | Defender Cloud Security Posture Management (CSPM) biedt verbeterde postuurmogelijkheden en een nieuwe intelligente grafiek voor cloudbeveiliging om risico's te identificeren, te prioriteren en te verminderen. Defender CSPM is beschikbaar naast de gratis basisbeveiligingspostuurmogelijkheden die standaard zijn ingeschakeld in Defender voor Cloud. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor API's moet zijn ingeschakeld | Microsoft Defender voor API's biedt nieuwe detectie-, beschermings-, detectie- en responsdekking om te controleren op veelvoorkomende op API gebaseerde aanvallen en beveiligingsfouten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft Defender voor containers moet zijn ingeschakeld | Microsoft Defender voor containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en Multi-Cloud Kubernetes-omgevingen. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Synapse-werkruimten | Schakel Defender in voor SQL om uw Synapse-werkruimten te beveiligen. Defender voor SQL controleert uw Synapse SQL om afwijkende activiteiten te detecteren die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor Opslag moet zijn ingeschakeld | Microsoft Defender voor Storage detecteert mogelijke bedreigingen voor uw opslagaccounts. Hiermee voorkomt u de drie belangrijkste gevolgen voor uw gegevens en workload: schadelijke bestandsuploads, exfiltratie van gevoelige gegevens en beschadiging van gegevens. De nieuwe Defender voor opslagabonnement omvat malwarescans en detectie van gevoelige gegevensrisico's. Dit plan biedt ook een voorspelbare prijsstructuur (per storage account) voor controle over dekking en kosten. | AuditIfNotExists; Invalide | 1.0.0 |
| SQL server-gerichte automatische inrichting moet zijn ingeschakeld voor SQL-servers op machinesplan | Om ervoor te zorgen dat uw SQL-VM's en SQL-servers met Arc zijn beveiligd, moet u ervoor zorgen dat de sql-gerichte Azure Monitoring Agent is geconfigureerd om automatisch te implementeren. Dit is ook nodig als u de automatische inrichting van de Microsoft Monitoring Agent eerder hebt geconfigureerd, omdat dat onderdeel wordt afgeschaft. Meer informatie: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Invalide | 1.0.0 |
IR-4: Detectie en analyse - een incident onderzoeken
Zie Incidentrespons: IR-4: Detectie en analyse : een incident onderzoeken voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Network Watcher moet zijn ingeschakeld | Network Watcher is een regionale service waarmee u voorwaarden kunt bewaken en diagnosticeren op netwerkscenarioniveau in, van en naar Azure. Via controle op het scenarioniveau kunt u problemen analyseren met behulp van een weergave op het niveau van een end-to-end netwerk. Er moet een network watcher resourcegroep worden gemaakt in elke regio waar een virtual network aanwezig is. Een waarschuwing is ingeschakeld als een network watcher resourcegroep niet beschikbaar is in een bepaalde regio. | AuditIfNotExists; Invalide | 3.0.0 |
IR-5: Detectie en analyse - incidenten prioriteren
Zie Incidentrespons: IR-5: Detectie en analyse - prioriteit geven aan incidenten voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor App Service moet zijn ingeschakeld | Azure Defender voor App Service maakt gebruik van de schaal van de cloud en de zichtbaarheid die Azure als cloudprovider heeft om te controleren op veelvoorkomende web-app-aanvallen. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor Azure SQL Database servers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor Key Vault moet zijn ingeschakeld | Azure Defender voor Key Vault biedt een extra beveiligingslaag en beveiligingsinformatie door ongebruikelijke en mogelijk schadelijke pogingen te detecteren om toegang te krijgen tot of misbruik te maken van key vault accounts. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender moet zijn ingeschakeld voor Resource Manager | Azure Defender voor Resource Manager controleert automatisch de resourcebeheerbewerkingen in uw organisatie. Azure Defender bedreigingen detecteert en waarschuwt u over verdachte activiteiten. Meer informatie over de mogelijkheden van Azure Defender voor Resource Manager vindt u op Microsoft Defender voor Resource Manager - Voordelen en functies . Als u dit Azure Defender plan inschakelt, worden er kosten in rekening gebracht. Meer informatie over de prijsgegevens per regio op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud . | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL-servers op computers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Azure SQL servers | SQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 2.0.1 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele MySQL-servers | Flexibele MySQL-servers controleren zonder Advanced Data Security | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele PostgreSQL-servers | Flexibele PostgreSQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde SQL Managed Instances | Controleer elke SQL Managed Instance zonder geavanceerde gegevensbeveiliging. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor opensource-relationele databases moet zijn ingeschakeld | Azure Defender voor opensource-relationele databases detecteert afwijkende activiteiten die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. Meer informatie over de mogelijkheden van Azure Defender voor opensource-relationele databases vindt u in Overview van Defender voor Open-Source Relationele databases. Belangrijk: Als u dit plan inschakelt, worden kosten in rekening gebracht voor het beveiligen van uw opensource relationele databases. Meer informatie over de prijzen op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor servers moet zijn ingeschakeld | Azure Defender voor servers biedt realtime bedreigingsbeveiliging voor serverworkloads en genereert aanbevelingen voor beveiliging en waarschuwingen over verdachte activiteiten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft-Defender CSPM moet zijn ingeschakeld | Defender Cloud Security Posture Management (CSPM) biedt verbeterde postuurmogelijkheden en een nieuwe intelligente grafiek voor cloudbeveiliging om risico's te identificeren, te prioriteren en te verminderen. Defender CSPM is beschikbaar naast de gratis basisbeveiligingspostuurmogelijkheden die standaard zijn ingeschakeld in Defender voor Cloud. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor API's moet zijn ingeschakeld | Microsoft Defender voor API's biedt nieuwe detectie-, beschermings-, detectie- en responsdekking om te controleren op veelvoorkomende op API gebaseerde aanvallen en beveiligingsfouten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft Defender voor containers moet zijn ingeschakeld | Microsoft Defender voor containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en Multi-Cloud Kubernetes-omgevingen. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Synapse-werkruimten | Schakel Defender in voor SQL om uw Synapse-werkruimten te beveiligen. Defender voor SQL controleert uw Synapse SQL om afwijkende activiteiten te detecteren die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor Opslag moet zijn ingeschakeld | Microsoft Defender voor Storage detecteert mogelijke bedreigingen voor uw opslagaccounts. Hiermee voorkomt u de drie belangrijkste gevolgen voor uw gegevens en workload: schadelijke bestandsuploads, exfiltratie van gevoelige gegevens en beschadiging van gegevens. De nieuwe Defender voor opslagabonnement omvat malwarescans en detectie van gevoelige gegevensrisico's. Dit plan biedt ook een voorspelbare prijsstructuur (per storage account) voor controle over dekking en kosten. | AuditIfNotExists; Invalide | 1.0.0 |
| SQL server-gerichte automatische inrichting moet zijn ingeschakeld voor SQL-servers op machinesplan | Om ervoor te zorgen dat uw SQL-VM's en SQL-servers met Arc zijn beveiligd, moet u ervoor zorgen dat de sql-gerichte Azure Monitoring Agent is geconfigureerd om automatisch te implementeren. Dit is ook nodig als u de automatische inrichting van de Microsoft Monitoring Agent eerder hebt geconfigureerd, omdat dat onderdeel wordt afgeschaft. Meer informatie: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Invalide | 1.0.0 |
LT-1: Mogelijkheden voor detectie van bedreigingen inschakelen
Zie Logboekregistratie en detectie van bedreigingen: LT-1: Mogelijkheden voor detectie van bedreigingen inschakelen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| [preview]: Azure Arc kubernetes-clusters moeten Microsoft Defender voor Cloud extensie hebben geïnstalleerd | Microsoft Defender voor Cloud-extensie voor Azure Arc biedt bedreigingsbeveiliging voor uw Kubernetes-clusters met Arc. De extensie verzamelt gegevens van alle knooppunten in het cluster en verzendt deze naar de Azure Defender voor kubernetes-back-end in de cloud voor verdere analyse. Meer informatie vindt u in Secure-score in Defender voor Cloud. | AuditIfNotExists; Invalide | 6.0.0-preview |
| Azure Defender voor App Service moet zijn ingeschakeld | Azure Defender voor App Service maakt gebruik van de schaal van de cloud en de zichtbaarheid die Azure als cloudprovider heeft om te controleren op veelvoorkomende web-app-aanvallen. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor Azure SQL Database servers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor Key Vault moet zijn ingeschakeld | Azure Defender voor Key Vault biedt een extra beveiligingslaag en beveiligingsinformatie door ongebruikelijke en mogelijk schadelijke pogingen te detecteren om toegang te krijgen tot of misbruik te maken van key vault accounts. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor opensource-relationele databases moet zijn ingeschakeld | Azure Defender voor opensource-relationele databases detecteert afwijkende activiteiten die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. Meer informatie over de mogelijkheden van Azure Defender voor opensource-relationele databases vindt u in Overview van Defender voor Open-Source Relationele databases. Belangrijk: Als u dit plan inschakelt, worden kosten in rekening gebracht voor het beveiligen van uw opensource relationele databases. Meer informatie over de prijzen op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender moet zijn ingeschakeld voor Resource Manager | Azure Defender voor Resource Manager controleert automatisch de resourcebeheerbewerkingen in uw organisatie. Azure Defender bedreigingen detecteert en waarschuwt u over verdachte activiteiten. Meer informatie over de mogelijkheden van Azure Defender voor Resource Manager vindt u op Microsoft Defender voor Resource Manager - Voordelen en functies . Als u dit Azure Defender plan inschakelt, worden er kosten in rekening gebracht. Meer informatie over de prijsgegevens per regio op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud . | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor servers moet zijn ingeschakeld | Azure Defender voor servers biedt realtime bedreigingsbeveiliging voor serverworkloads en genereert aanbevelingen voor beveiliging en waarschuwingen over verdachte activiteiten. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor SQL-servers op computers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Azure SQL servers | SQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 2.0.1 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele MySQL-servers | Flexibele MySQL-servers controleren zonder Advanced Data Security | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele PostgreSQL-servers | Flexibele PostgreSQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde SQL Managed Instances | Controleer elke SQL Managed Instance zonder geavanceerde gegevensbeveiliging. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Kubernetes Service clusters moeten Defender profiel hebben ingeschakeld | Microsoft Defender voor containers biedt cloudeigen Kubernetes-beveiligingsmogelijkheden, waaronder omgevingsbeveiliging, workloadbeveiliging en runtime-beveiliging. Wanneer u SecurityProfile.AzureDefender inschakelt op uw Azure Kubernetes Service-cluster, wordt er een agent geïmplementeerd in uw cluster om gegevens van beveiligingsevenementen te verzamelen. Meer informatie over Microsoft Defender for Containers in Manage MCSB-aanbevelingen in Defender voor Cloud | Audit; Invalide | 2.0.1 |
| [Preview]: De ChangeTracking-extensie moet zijn geïnstalleerd op uw Linux Arc-computer | Installeer de ChangeTracking-extensie op Linux Arc-machines om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 1.0.0-preview |
| [Preview]: De ChangeTracking-extensie moet zijn geïnstalleerd op uw virtuele Linux-machine | Installeer de ChangeTracking-extensie op virtuele Linux-machines om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 2.0.0-preview |
| De ChangeTracking-extensie moet worden geïnstalleerd op uw virtuele Linux-machineschaalsets | Installeer de ChangeTracking-extensie in virtuele Linux-machineschaalsets om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 2.0.1 |
| [preview]: De ChangeTracking-extensie moet zijn geïnstalleerd op uw Windows Arc-machine | Installeer de ChangeTracking-extensie op Windows Arc-machines om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 1.0.0-preview |
| [preview]: De ChangeTracking-extensie moet zijn geïnstalleerd op uw Windows virtuele machine | Installeer de ChangeTracking-extensie op Windows virtuele machines om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 2.0.0-preview |
| ChangeTracking-extensie moet zijn geïnstalleerd op uw Windows virtuele-machineschaalsets | Installeer de ChangeTracking-extensie op Windows virtuele-machineschaalsets om FIM (File Integrity Monitoring) in te schakelen in Azure Security Center. FIM onderzoekt besturingssysteembestanden, Windows registers, toepassingssoftware, Linux-systeembestanden en meer, op wijzigingen die kunnen duiden op een aanval. De extensie kan worden geïnstalleerd op virtuele machines en locaties die worden ondersteund door Azure Monitoring Agent. | AuditIfNotExists; Invalide | 2.0.1 |
| Microsoft-Defender CSPM moet zijn ingeschakeld | Defender Cloud Security Posture Management (CSPM) biedt verbeterde postuurmogelijkheden en een nieuwe intelligente grafiek voor cloudbeveiliging om risico's te identificeren, te prioriteren en te verminderen. Defender CSPM is beschikbaar naast de gratis basisbeveiligingspostuurmogelijkheden die standaard zijn ingeschakeld in Defender voor Cloud. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor API's moet zijn ingeschakeld | Microsoft Defender voor API's biedt nieuwe detectie-, beschermings-, detectie- en responsdekking om te controleren op veelvoorkomende op API gebaseerde aanvallen en beveiligingsfouten. | AuditIfNotExists; Invalide | 1.0.3 |
| Microsoft Defender voor Azure Cosmos DB moet zijn ingeschakeld | Microsoft Defender voor Azure Cosmos DB is een systeemeigen Azure-beveiligingslaag die pogingen detecteert om databases in uw Azure Cosmos DB-accounts te misbruiken. Defender voor Azure Cosmos DB detecteert potentiële SQL-injecties, bekende slechte actoren op basis van Microsoft Bedreigingsinformatie, verdachte toegangspatronen en mogelijke exploitatie van uw database via verdachte identiteiten of kwaadwillende insiders. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor containers moet zijn ingeschakeld | Microsoft Defender voor containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en Multi-Cloud Kubernetes-omgevingen. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Synapse-werkruimten | Schakel Defender in voor SQL om uw Synapse-werkruimten te beveiligen. Defender voor SQL controleert uw Synapse SQL om afwijkende activiteiten te detecteren die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor Opslag moet zijn ingeschakeld | Microsoft Defender voor Storage detecteert mogelijke bedreigingen voor uw opslagaccounts. Hiermee voorkomt u de drie belangrijkste gevolgen voor uw gegevens en workload: schadelijke bestandsuploads, exfiltratie van gevoelige gegevens en beschadiging van gegevens. De nieuwe Defender voor opslagabonnement omvat malwarescans en detectie van gevoelige gegevensrisico's. Dit plan biedt ook een voorspelbare prijsstructuur (per storage account) voor controle over dekking en kosten. | AuditIfNotExists; Invalide | 1.0.0 |
| De prijscategorie Standard voor Security Center moet zijn geselecteerd | De prijscategorie Standard maakt detectie van bedreigingen mogelijk voor netwerken en virtuele machines, waarbij bedreigingsinformatie, anomaliedetectie en gedragsanalyses worden geboden in Azure Security Center | Audit; Invalide | 1.1.0 |
| SQL server-gerichte automatische inrichting moet zijn ingeschakeld voor SQL-servers op machinesplan | Om ervoor te zorgen dat uw SQL-VM's en SQL-servers met Arc zijn beveiligd, moet u ervoor zorgen dat de sql-gerichte Azure Monitoring Agent is geconfigureerd om automatisch te implementeren. Dit is ook nodig als u de automatische inrichting van de Microsoft Monitoring Agent eerder hebt geconfigureerd, omdat dat onderdeel wordt afgeschaft. Meer informatie: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Invalide | 1.0.0 |
| Windows Defender Exploit Guard moet zijn ingeschakeld op uw computers | Windows Defender Exploit Guard maakt gebruik van de Azure Policy-agent voor gastconfiguratie. Exploit Guard heeft vier onderdelen die zijn ontworpen om apparaten te vergrendelen tegen een groot aantal aanvalsvectoren en gedrag blokkeren dat vaak wordt gebruikt bij malwareaanvallen, terwijl ondernemingen hun beveiligingsrisico's en productiviteitsvereisten (alleen Windows) kunnen verdelen. | AuditIfNotExists; Invalide | 2.0.0 |
LT-2: Detectie van bedreigingen inschakelen voor identiteits- en access-beheer
Zie Logging and Threat Detection: LT-2: Threat Detection inschakelen voor identiteits- en access-beheer voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Defender voor App Service moet zijn ingeschakeld | Azure Defender voor App Service maakt gebruik van de schaal van de cloud en de zichtbaarheid die Azure als cloudprovider heeft om te controleren op veelvoorkomende web-app-aanvallen. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender voor Azure SQL Database servers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor Key Vault moet zijn ingeschakeld | Azure Defender voor Key Vault biedt een extra beveiligingslaag en beveiligingsinformatie door ongebruikelijke en mogelijk schadelijke pogingen te detecteren om toegang te krijgen tot of misbruik te maken van key vault accounts. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Defender moet zijn ingeschakeld voor Resource Manager | Azure Defender voor Resource Manager controleert automatisch de resourcebeheerbewerkingen in uw organisatie. Azure Defender bedreigingen detecteert en waarschuwt u over verdachte activiteiten. Meer informatie over de mogelijkheden van Azure Defender voor Resource Manager vindt u op Microsoft Defender voor Resource Manager - Voordelen en functies . Als u dit Azure Defender plan inschakelt, worden er kosten in rekening gebracht. Meer informatie over de prijsgegevens per regio op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud . | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL-servers op computers moet zijn ingeschakeld | Azure Defender voor SQL biedt functionaliteit voor het opsporen en beperken van potentiële beveiligingsproblemen in databases, het detecteren van afwijkende activiteiten die kunnen duiden op bedreigingen voor SQL-databases en het detecteren en classificeren van gevoelige gegevens. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Azure SQL servers | SQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 2.0.1 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele MySQL-servers | Flexibele MySQL-servers controleren zonder Advanced Data Security | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Flexibele PostgreSQL-servers | Flexibele PostgreSQL-servers zonder Advanced Data Security controleren | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde SQL Managed Instances | Controleer elke SQL Managed Instance zonder geavanceerde gegevensbeveiliging. | AuditIfNotExists; Invalide | 1.0.2 |
| Azure Defender voor opensource-relationele databases moet zijn ingeschakeld | Azure Defender voor opensource-relationele databases detecteert afwijkende activiteiten die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. Meer informatie over de mogelijkheden van Azure Defender voor opensource-relationele databases vindt u in Overview van Defender voor Open-Source Relationele databases. Belangrijk: Als u dit plan inschakelt, worden kosten in rekening gebracht voor het beveiligen van uw opensource relationele databases. Meer informatie over de prijzen op de pagina met prijzen van Security Center: Pricing - Microsoft Defender voor Cloud | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Defender voor servers moet zijn ingeschakeld | Azure Defender voor servers biedt realtime bedreigingsbeveiliging voor serverworkloads en genereert aanbevelingen voor beveiliging en waarschuwingen over verdachte activiteiten. | AuditIfNotExists; Invalide | 1.0.3 |
| Azure Kubernetes Service clusters moeten Defender profiel hebben ingeschakeld | Microsoft Defender voor containers biedt cloudeigen Kubernetes-beveiligingsmogelijkheden, waaronder omgevingsbeveiliging, workloadbeveiliging en runtime-beveiliging. Wanneer u SecurityProfile.AzureDefender inschakelt op uw Azure Kubernetes Service-cluster, wordt er een agent geïmplementeerd in uw cluster om gegevens van beveiligingsevenementen te verzamelen. Meer informatie over Microsoft Defender for Containers in Manage MCSB-aanbevelingen in Defender voor Cloud | Audit; Invalide | 2.0.1 |
| Microsoft-Defender CSPM moet zijn ingeschakeld | Defender Cloud Security Posture Management (CSPM) biedt verbeterde postuurmogelijkheden en een nieuwe intelligente grafiek voor cloudbeveiliging om risico's te identificeren, te prioriteren en te verminderen. Defender CSPM is beschikbaar naast de gratis basisbeveiligingspostuurmogelijkheden die standaard zijn ingeschakeld in Defender voor Cloud. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor containers moet zijn ingeschakeld | Microsoft Defender voor containers biedt beveiliging tegen beveiligingsproblemen, evaluatie van beveiligingsproblemen en runtimebeveiligingen voor uw Azure-, hybride en Multi-Cloud Kubernetes-omgevingen. | AuditIfNotExists; Invalide | 1.0.0 |
| Microsoft Defender voor SQL moet zijn ingeschakeld voor niet-beveiligde Synapse-werkruimten | Schakel Defender in voor SQL om uw Synapse-werkruimten te beveiligen. Defender voor SQL controleert uw Synapse SQL om afwijkende activiteiten te detecteren die duiden op ongebruikelijke en mogelijk schadelijke pogingen om toegang te krijgen tot of misbruik te maken van databases. | AuditIfNotExists; Invalide | 1.0.0 |
| SQL server-gerichte automatische inrichting moet zijn ingeschakeld voor SQL-servers op machinesplan | Om ervoor te zorgen dat uw SQL-VM's en SQL-servers met Arc zijn beveiligd, moet u ervoor zorgen dat de sql-gerichte Azure Monitoring Agent is geconfigureerd om automatisch te implementeren. Dit is ook nodig als u de automatische inrichting van de Microsoft Monitoring Agent eerder hebt geconfigureerd, omdat dat onderdeel wordt afgeschaft. Meer informatie: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Invalide | 1.0.0 |
| Windows Defender Exploit Guard moet zijn ingeschakeld op uw computers | Windows Defender Exploit Guard maakt gebruik van de Azure Policy-agent voor gastconfiguratie. Exploit Guard heeft vier onderdelen die zijn ontworpen om apparaten te vergrendelen tegen een groot aantal aanvalsvectoren en gedrag blokkeren dat vaak wordt gebruikt bij malwareaanvallen, terwijl ondernemingen hun beveiligingsrisico's en productiviteitsvereisten (alleen Windows) kunnen verdelen. | AuditIfNotExists; Invalide | 2.0.0 |
| [preview]: Azure Arc kubernetes-clusters moeten Microsoft Defender voor Cloud extensie hebben geïnstalleerd | Microsoft Defender voor Cloud-extensie voor Azure Arc biedt bedreigingsbeveiliging voor uw Kubernetes-clusters met Arc. De extensie verzamelt gegevens van alle knooppunten in het cluster en verzendt deze naar de Azure Defender voor kubernetes-back-end in de cloud voor verdere analyse. Meer informatie vindt u in Secure-score in Defender voor Cloud. | AuditIfNotExists; Invalide | 6.0.0-preview |
LT-3: Logboekregistratie inschakelen voor beveiligingsonderzoek
Zie Logboekregistratie en detectie van bedreigingen: LT-3: Logboekregistratie inschakelen voor beveiligingsonderzoek voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Het activiteitenlogboek moet ten minste één jaar worden bewaard | Met dit beleid wordt het activiteitenlogboek gecontroleerd als de bewaarperiode niet is ingesteld op 365 dagen of permanent (bewaarperiode ingesteld op 0). | AuditIfNotExists; Invalide | 1.0.0 |
| Er moet een waarschuwing voor activiteitenlogboeken bestaan voor specifieke beheerbewerkingen | Met dit beleid worden specifieke beheerbewerkingen gecontroleerd waarvoor geen waarschuwingen voor activiteitenlogboeken zijn geconfigureerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Er moet een waarschuwing voor activiteitenlogboeken bestaan voor specifieke beleidsbewerkingen | Met dit beleid worden specifieke beleidsbewerkingen gecontroleerd waarvoor geen waarschuwingen voor activiteitenlogboeken zijn geconfigureerd. | AuditIfNotExists; Invalide | 3.0.0 |
| Er moet een waarschuwing voor activiteitenlogboeken bestaan voor specifieke beveiligingsbewerkingen | Met dit beleid worden specifieke beveiligingsbewerkingen gecontroleerd waarvoor geen waarschuwingen voor activiteitenlogboeken zijn geconfigureerd. | AuditIfNotExists; Invalide | 1.1.0 |
| App Service-app-slots moeten resourcelogs ingeschakeld hebben | Controleer het inschakelen van bronnenlogboeken in de app. Hierdoor kunt u activiteitenpaden opnieuw maken voor onderzoeksdoeleinden als er een beveiligingsincident optreedt of uw netwerk is aangetast. | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-apps moeten resourcelogboeken hebben ingeschakeld | Controleer het inschakelen van bronnenlogboeken in de app. Hierdoor kunt u activiteitenpaden opnieuw maken voor onderzoeksdoeleinden als er een beveiligingsincident optreedt of uw netwerk is aangetast. | AuditIfNotExists; Invalide | 2.0.1 |
| Auditing op SQL server moet zijn ingeschakeld | Controle op uw SQL Server moet zijn ingeschakeld om databaseactiviteiten in alle databases op de server bij te houden en op te slaan in een auditlogboek. | AuditIfNotExists; Invalide | 2.0.0 |
| De resource-logboeken moeten ingeschakeld zijn voor Azure Application Gateway | Schakel resourcelogboeken in voor Azure Application Gateway (plus WAF) en stream naar een Log Analytics werkruimte. Krijg gedetailleerde inzicht in inkomend webverkeer en acties die worden ondernomen om aanvallen te beperken. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Front Door moet resourcelogboeken zijn ingeschakeld | Schakel resourcelogboeken in voor Azure Front Door (plus WAF) en stream naar een Log Analytics werkruimte. Krijg gedetailleerde inzicht in inkomend webverkeer en acties die worden ondernomen om aanvallen te beperken. | AuditIfNotExists; Invalide | 1.0.0 |
| Met het Azure Monitor-logboekprofiel moeten logboeken worden verzameld voor de categorieën ‘schrijven’, ‘verwijderen’ en ‘actie’ | Met dit beleid wordt ervoor gezorgd dat in een logboekprofiel logboeken worden verzameld voor de categorieën 'schrijven', 'verwijderen' en 'actie' | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Monitor-logboeken voor Application Insights moeten worden gekoppeld aan een Log Analytics-werkruimte | Koppel het Application Insights-onderdeel aan een Log Analytics-werkruimte voor logboekversleuteling. Door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving en voor meer controle over de toegang tot uw gegevens in Azure Monitor. Als u uw onderdeel koppelt aan een Log Analytics werkruimte die is ingeschakeld met een door de klant beheerde sleutel, zorgt u ervoor dat uw Application Insights-logboeken voldoen aan deze nalevingsvereiste. Zie /azure/azure-monitor/platform/door de klant beheerde sleutels. | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure Monitor moet activiteitenlogboeken uit alle regio's verzamelen | Met dit beleid wordt het Azure Monitor-logboekprofiel gecontroleerd waarbij geen activiteiten worden geëxporteerd uit alle door Azure ondersteunde regio's, inclusief wereldwijd. | AuditIfNotExists; Invalide | 2.0.0 |
| Azure Monitor oplossing 'Beveiliging en controle' moet worden geïmplementeerd | Dit beleid zorgt ervoor dat Beveiliging en audit wordt geïmplementeerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure SignalR Service moet diagnostische logboeken inschakelen | Het inschakelen van diagnostische logboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 1.0.0 |
| Azure-abonnementen moeten een logboekprofiel voor het activiteitenlogboek hebben | Dit beleid zorgt ervoor dat een logboekprofiel is ingeschakeld voor het exporteren van activiteitenlogboeken. Het controleert of er geen logboekprofiel is gemaakt om de logboeken te exporteren naar een opslagaccount of een Event Hub. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Web PubSub Service moet diagnostische logboeken inschakelen | Het inschakelen van diagnostische logboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 1.0.0 |
| [Preview]: Abonnementen configureren om de bewakingsregel voor servicestatuswaarschuwingen in te schakelen | Dit beleid kan worden toegewezen op abonnements- of beheergroepsniveau en zorgt ervoor dat elk abonnement een waarschuwingsregel voor de servicestatus heeft geconfigureerd met waarschuwingsvoorwaarden en toewijzing aan actiegroepen zoals opgegeven in de beleidsparameters. Standaard wordt een resourcegroep, waarschuwingsregel en actiegroep gemaakt die is geconfigureerd voor het verzenden van e-mailberichten naar abonnementseigenaren voor alle servicestatusgebeurtenissen. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.4.0-preview |
| Diagnostische logboeken in Azure AI-services resources moeten zijn ingeschakeld | Schakel logboeken in voor Azure AI-services resources. Hiermee kunt u activiteitenpaden opnieuw maken voor onderzoeksdoeleinden, wanneer er een beveiligingsincident optreedt of uw netwerk wordt aangetast | AuditIfNotExists; Invalide | 1.0.0 |
| Resource-logboeken in Azure Data Lake Store moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Azure Databricks Werkruimten moeten zijn ingeschakeld | Met resourcelogboeken kunnen activiteitentrails opnieuw worden gemaakt voor onderzoeksdoeleinden wanneer er een beveiligingsincident optreedt of wanneer uw netwerk wordt aangetast. | AuditIfNotExists; Invalide | 1.0.1 |
| Resourcelogboeken in beheerde HSM van Azure Key Vault moeten zijn ingeschakeld | Als u activiteitentrails voor onderzoeksdoeleinden opnieuw wilt maken wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast, wilt u mogelijk controleren door resourcelogboeken in te schakelen op beheerde HSM's. Volg de instructies hier: /azure/key-vault/managed-hsm/logging. | AuditIfNotExists; Invalide | 1.1.0 |
| Resource-logboeken in Azure Kubernetes Service moeten zijn ingeschakeld | Azure Kubernetes Service resourcelogboeken kunnen helpen bij het opnieuw maken van activiteitentrails bij het onderzoeken van beveiligingsincidenten. Schakel deze in om ervoor te zorgen dat de logboeken bestaan wanneer dat nodig is | AuditIfNotExists; Invalide | 1.0.0 |
| Resource-logboeken in Azure Machine Learning Werkruimten moeten zijn ingeschakeld | Met resourcelogboeken kunnen activiteitentrails opnieuw worden gemaakt voor onderzoeksdoeleinden wanneer er een beveiligingsincident optreedt of wanneer uw netwerk wordt aangetast. | AuditIfNotExists; Invalide | 1.0.1 |
| Resource-logboeken in Azure Stream Analytics moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Batch-accounts moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Data Lake Analytics moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Event Hub moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in IoT Hub moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 3.1.0 |
| Resource-logboeken in Key Vault moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Logic Apps moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.1.0 |
| Resource-logboeken in zoekservices moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
| Resource-logboeken in Service Bus moeten zijn ingeschakeld | Het inschakelen van resourcelogboeken controleren. Hiermee kunt u een activiteitenspoor opnieuw maken om te gebruiken voor onderzoeksdoeleinden wanneer een beveiligingsincident optreedt of wanneer uw netwerk is aangetast | AuditIfNotExists; Invalide | 5.0.0 |
LT-4: Netwerklogboekregistratie inschakelen voor beveiligingsonderzoek
Zie Logboekregistratie en detectie van bedreigingen: LT-4: Netwerklogboekregistratie inschakelen voor beveiligingsonderzoek voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Alle resources voor stroomlogboeken moeten de status Ingeschakeld hebben | Controleer of stroomlogboekbronnen zijn ingeschakeld om te controleren of de status van het stroomlogboek is ingeschakeld. Als u stroomlogboeken inschakelt, kunt u logboekinformatie over HET IP-verkeer vastleggen. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer. | Audit; Invalide | 1.0.1 |
| Configuratie van stroomlogboeken voor elk virtueel netwerk controleren | Controleer of stroomlogboeken zijn geconfigureerd voor een virtueel netwerk. Als u stroomlogboeken inschakelt, kunt u informatie vastleggen over IP-verkeer dat via een virtueel netwerk stroomt. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer. | Audit; Invalide | 1.0.1 |
| Logboekregistratie inschakelen op categoriegroep voor toepassingsgateways (microsoft.network/applicationgateways) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Toepassingsgateways (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Enable logging by category group for Application Gateways (microsoft.network/applicationgateways) to Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor Toepassingsgateways (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor toepassingsgateways (microsoft.network/applicationgateways) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor toepassingsgateways (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor Bastions (microsoft.network/bastionhosts) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.2.0 |
| Logboekregistratie op categoriegroep inschakelen voor Bastions (microsoft.network/bastionhosts) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken naar een Log Analytics werkruimte voor Bastions (microsoft.network/bastionhosts) te routeren. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor Bastions (microsoft.network/bastionhosts) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor eindpunten (microsoft.cdn/profiles/endpoints) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Eindpunten (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor Eindpunten (microsoft.cdn/profiles/endpoints) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken naar een Log Analytics werkruimte voor eindpunten (microsoft.cdn/profiles/endpoints) te routeren. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor eindpunten (microsoft.cdn/profiles/endpoints) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor eindpunten (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor ExpressRoute-circuits (microsoft.network/expressroutecircuits) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor ExpressRoute-circuits (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie per categoriegroep inschakelen voor ExpressRoute-circuits (microsoft.network/expressroutecircuits) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor ExpressRoute-circuits (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor ExpressRoute-circuits (microsoft.network/expressroutecircuits) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor ExpressRoute-circuits (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor Firewall (microsoft.network/azurefirewalls) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor Firewall (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor firewalls (microsoft.network/azurefirewalls) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie per categoriegroep inschakelen voor firewalls (microsoft.network/azurefirewalls) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor firewalls (microsoft.network/azurefirewalls) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.cdn/profiles) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Front Door- en CDN-profielen (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.2.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.cdn/profiles) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor Front Door- en CDN-profielen (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.cdn/profiles) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor Front Door- en CDN-profielen (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.network/frontdoors) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Front Door- en CDN-profielen (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.2.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.network/frontdoors) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor Front Door- en CDN-profielen (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor Front Door- en CDN-profielen (microsoft.network/frontdoors) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor Front Door- en CDN-profielen (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor load balancers (microsoft.network/loadbalancers) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Load balancers (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie per categoriegroep inschakelen voor load balancers (microsoft.network/loadbalancers) om te Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor load balancers (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor load balancers (microsoft.network/loadbalancers) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor load balancers (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.cdn/cdnwebapplicationfirewallpolicies naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken naar een Event Hub te routeren voor microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor microsoft.cdn/cdnwebapplicationfirewallpolicies om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.cdn/cdnwebapplicationfirewallpolicies naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/dnsresolverpolicies naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor microsoft.network/dnsresolverpolicies om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/dnsresolverpolicies naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/networkmanagers/ipampools naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/networkmanagers/ipampools om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/networkmanagers/ipampools naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/networksecurityperimeters naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor microsoft.network/networksecurityperimeters om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/networksecurityperimeters naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/p2svpngateways naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.2.0 |
| Schakel logboekregistratie in op categoriegroep voor microsoft.network/p2svpngateways om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/p2svpngateways naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/vpngateways naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/vpngateways om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.network/vpngateways naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.networkfunction/azuretrafficcollectors naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.networkfunction/azuretrafficcollectors om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor microsoft.networkfunction/azuretrafficcollectors naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor netwerkbeheerders (microsoft.network/networkmanagers) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor netwerkbeheerders (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor netwerkbeheerders (microsoft.network/networkmanagers) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor netwerkbeheerders (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor netwerkbeheerders (microsoft.network/networkmanagers) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor netwerkbeheerders (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor netwerkbeveiligingsgroepen (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-adressen (microsoft.network/publicipaddresses) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor openbare IP-adressen (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.2.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-adressen (microsoft.network/publicipaddresses) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor openbare IP-adressen (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-adressen (microsoft.network/publicipaddresses) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor openbare IP-adressen (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes) om te Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken naar een Log Analytics werkruimte te routeren voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor openbare IP-voorvoegsels (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor Traffic Manager-profielen (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.0.0 |
| Logboekregistratie inschakelen op categoriegroep voor virtuele netwerkgateways (microsoft.network/virtualnetworkgateways) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken naar een Event Hub voor virtuele netwerkgateways (microsoft.network/virtualnetworkgateways) te routeren. | DeployIfNotExists; AuditIfNotExists; Handicap | 1.2.0 |
| Geenable logging by category group for Virtual network gateways (microsoft.network/virtualnetworkgateways) to Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor virtuele netwerkgateways (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor virtuele netwerkgateways (microsoft.network/virtualnetworkgateways) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor virtuele netwerkgateways (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor virtuele netwerken (microsoft.network/virtualnetworks) naar Event Hub | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Event Hub voor virtuele netwerken (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Schakel logboekregistratie in op categoriegroep voor virtuele netwerken (microsoft.network/virtualnetworks) om Log Analytics | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een Log Analytics werkruimte voor virtuele netwerken (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Uitgeschakeld | 1.1.0 |
| Logboekregistratie inschakelen op categoriegroep voor virtuele netwerken (microsoft.network/virtualnetworks) naar Storage | Resourcelogboeken moeten zijn ingeschakeld om activiteiten en gebeurtenissen bij te houden die plaatsvinden op uw resources en om u inzicht te geven in wijzigingen die zich voordoen. Met dit beleid wordt een diagnostische instelling geïmplementeerd met behulp van een categoriegroep om logboeken te routeren naar een opslagaccount voor virtuele netwerken (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Handicap | 1.0.0 |
| Stroomlogboeken moeten worden geconfigureerd voor elke netwerkbeveiligingsgroep | Controleer of stroomlogboeken zijn geconfigureerd voor netwerkbeveiligingsgroepen. Als u stroomlogboeken inschakelt, kunt u logboekgegevens vastleggen over IP-verkeer dat via de netwerkbeveiligingsgroep stroomt. Het kan worden gebruikt voor het optimaliseren van netwerkstromen, het controleren van de doorvoer, het controleren van de naleving, het detecteren van inbraakpogingen en meer. | Audit; Invalide | 1.1.0 |
| [preview]: de agent voor het verzamelen van netwerkverkeersgegevens moet zijn geïnstalleerd op Linux-virtual machines | Security Center gebruikt de Microsoft Dependency Agent om netwerkverkeersgegevens van uw Azure virtuele machines te verzamelen om geavanceerde netwerkbeveiligingsfuncties in te schakelen, zoals verkeersvisualisatie op de netwerkkaart, aanbevelingen voor netwerkbeveiliging en specifieke netwerkbedreigingen. | AuditIfNotExists; Invalide | 1.0.2-preview |
| [preview]: de agent voor het verzamelen van netwerkverkeersgegevens moet worden geïnstalleerd op Windows virtuele machines | Security Center gebruikt de Microsoft Dependency Agent om netwerkverkeersgegevens van uw Azure virtuele machines te verzamelen om geavanceerde netwerkbeveiligingsfuncties in te schakelen, zoals verkeersvisualisatie op de netwerkkaart, aanbevelingen voor netwerkbeveiliging en specifieke netwerkbedreigingen. | AuditIfNotExists; Invalide | 1.0.2-preview |
| Netwerk Watcher-stroomlogboeken moeten verkeeranalyse ingeschakeld hebben | Traffic Analytics analyseert stroomlogboeken om inzicht te krijgen in de verkeersstroom in uw Azure cloud. Het kan worden gebruikt om netwerkactiviteit in uw Azure abonnementen te visualiseren en hotspots te identificeren, beveiligingsrisico's te identificeren, inzicht te hebben in verkeersstroompatronen, netwerkfouten vast te stellen en meer. | Audit; Invalide | 1.0.1 |
| Openbare IP-adressen moeten resourcelogboeken ingeschakeld hebben voor Azure DDoS Protection | Schakel resourcelogboeken in voor openbare IP-adressen in diagnostische instellingen om naar een Log Analytics werkruimte te streamen. Krijg gedetailleerde zichtbaarheid van aanvalsverkeer en acties die worden uitgevoerd om DDoS-aanvallen te beperken via meldingen, rapporten en stroomlogboeken. | AuditIfNotExists; DeployIfNotExists; Uitgeschakeld | 1.0.1 |
LT-5: Beheer en analyse van beveiligingslogboeken centraliseren
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Linux Arc-machines moeten Azure Monitor Agent hebben geïnstalleerd | Linux Arc-machines moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Met dit beleid worden machines met Arc in ondersteunde regio's gecontroleerd. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 1.2.0 |
| Linux virtuele-machineschaalsets moeten Azure Monitor Agent zijn geïnstalleerd | Virtuele Linux-machineschaalsets moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Met dit beleid worden virtuele-machineschaalsets gecontroleerd met ondersteunde installatiekopieën van besturingssystemen in ondersteunde regio's. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 3.6.0 |
| Linux virtuele machines moeten Azure Monitor Agent hebben geïnstalleerd | Virtuele Linux-machines moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Met dit beleid worden virtuele machines gecontroleerd met ondersteunde installatiekopieën van besturingssystemen in ondersteunde regio's. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 3.6.0 |
| Log Analytics-agent moet zijn geïnstalleerd op uw rolinstanties van Cloud Services (uitgebreide ondersteuning | Security Center verzamelt gegevens van uw rolinstanties van Cloud Services (uitgebreide ondersteuning) om te controleren op beveiligingsproblemen en bedreigingen. | AuditIfNotExists; Invalide | 2.0.0 |
| Opgeslagen query's in Azure Monitor moeten worden opgeslagen in het opslagaccount van de klant voor versleuteling van logboeken | Koppel het opslagaccount aan Log Analytics werkruimte om opgeslagen query's te beveiligen met opslagaccountversleuteling. Door de klant beheerde sleutels zijn doorgaans vereist om te voldoen aan naleving van regelgeving en voor meer controle over de toegang tot uw opgeslagen query's in Azure Monitor. Zie Customer-beheerde sleutel voor opgeslagen query's in Azure Monitor voor meer informatie over het bovenstaande. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Windows Voor Arc geschikte machines moeten Azure Monitor Agent zijn geïnstalleerd | Windows Machines met Arc moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Windows machines met Arc in ondersteunde regio's worden bewaakt voor Azure Monitor agentimplementatie. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 1.4.0 |
| Windows virtuele-machineschaalsets moeten Azure Monitor Agent hebben geïnstalleerd | Windows virtuele-machineschaalsets moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Virtuele-machineschaalsets met ondersteund besturingssysteem en in ondersteunde regio's worden bewaakt voor Azure Monitor agentimplementatie. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 3.5.0 |
| Windows virtuele machines moeten Azure Monitor Agent hebben geïnstalleerd | Windows virtuele machines moeten worden bewaakt en beveiligd via de geïmplementeerde Azure Monitor Agent. De Azure Monitor-agent verzamelt telemetriegegevens van het gastbesturingssystemen. Windows virtuele machines met ondersteund besturingssysteem en in ondersteunde regio's worden bewaakt voor Azure Monitor Agent-implementatie. Meer informatie: https://aka.ms/AMAOverview. | AuditIfNotExists; Invalide | 3.5.0 |
LT-6: Logboekretentie configureren storage
Zie Logging and Threat Detection: LT-6: Configure log storage retention voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| SQL-servers met controle voor storage accountbestemming moeten worden geconfigureerd met een bewaarperiode van 90 dagen of hoger | Voor onderzoeksdoeleinden voor incidenten raden we u aan om de gegevensretentie in te stellen voor de controle van uw SQL Server op de bestemming van het opslagaccount tot ten minste 90 dagen. Controleer of u voldoet aan de benodigde bewaarregels voor de regio's waarin u werkt. Dit is soms vereist voor naleving van regelgevingsstandaarden. | AuditIfNotExists; Invalide | 3.0.0 |
NS-1: netwerksegmentatiegrenzen vaststellen
Zie Netwerkbeveiliging: NS-1: Netwerksegmentatiegrenzen instellen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Alle netwerkpoorten moeten worden beperkt voor netwerkbeveiligingsgroepen die zijn gekoppeld aan uw virtuele machine | Azure Security Center heeft vastgesteld dat bepaalde binnenkomende regels van uw netwerkbeveiligingsgroepen te permissief zijn. Regels voor binnenkomend verkeer mogen geen access van de bereiken 'Any' of 'Internet' toestaan. Dit kan mogelijke kwaadwillende personen in staat stellen om uw resources aan te vallen. | AuditIfNotExists; Invalide | 3.0.0 |
| Azure Kubernetes-clusters moeten gebruikmaken van Azure CNI | Azure CNI is een vereiste voor sommige Azure Kubernetes Service functies, waaronder Azure netwerkbeleid, Windows knooppuntgroepen en virtuele knooppuntinvoegtoepassingen. Meer informatie vindt u op: https://aka.ms/aks-azure-cni | Audit; Invalide | 1.0.1 |
| Internetgerichte virtual machines moet worden beveiligd met netwerkbeveiligingsgroepen | Bescherm uw virtual machines tegen mogelijke bedreigingen door access te beperken tot deze met netwerkbeveiligingsgroepen (NSG). Meer informatie over het beheren van verkeer met NSG's vindt u in Azure overzicht van netwerkbeveiligingsgroepen | AuditIfNotExists; Invalide | 3.0.0 |
| [Preview]: Machines moeten poorten hebben gesloten die aanvalsvectoren mogelijk blootstellen | Azure gebruiksrechtovereenkomst verbiedt het gebruik van Azure services op manieren die schade kunnen aanbrengen, uitschakelen, overbelasten of verstoren Microsoft server of het netwerk. De weergegeven poorten die door deze aanbeveling worden geïdentificeerd, moeten worden gesloten voor uw continue beveiliging. Voor elke geïdentificeerde poort biedt de aanbeveling ook een uitleg van de mogelijke bedreiging. | AuditIfNotExists; Invalide | 1.0.0-preview |
| On-internetgerichte virtual machines moet worden beveiligd met netwerkbeveiligingsgroepen | Bescherm uw niet-internetgerichte virtual machines tegen mogelijke bedreigingen door access te beperken met netwerkbeveiligingsgroepen (NSG). Meer informatie over het beheren van verkeer met NSG's vindt u in Azure overzicht van netwerkbeveiligingsgroepen | AuditIfNotExists; Invalide | 3.0.0 |
| Subnets moeten worden gekoppeld aan een netwerkbeveiligingsgroep | Beveilig uw subnet tegen mogelijke bedreigingen door access te beperken tot het met een netwerkbeveiligingsgroep (NSG). NSG's bevatten een lijst met ACL-regels (Access Control List) waarmee netwerkverkeer naar uw subnet wordt toegestaan of geweigerd. | AuditIfNotExists; Invalide | 3.0.0 |
| Virtuele machines moeten zijn verbonden met een goedgekeurd virtueel netwerk | Met dit beleid worden virtuele machines gecontroleerd die zijn verbonden met een niet-goedgekeurd virtueel netwerk. | Audit; Ontkennen; Invalide | 1.0.0 |
| Virtuele netwerken moeten gebruikmaken van de opgegeven virtuele-netwerkgateway | Met dit beleid worden alle virtuele netwerken gecontroleerd als de standaardroute niet verwijst naar de opgegeven virtuele-netwerkgateway. | AuditIfNotExists; Invalide | 1.0.0 |
NS-2: Cloudeigen services beveiligen met netwerkbesturingselementen
Zie Netwerkbeveiliging: NS-2: Cloudeigen services beveiligen met netwerkbesturingselementen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| API Management-services moeten gebruikmaken van een virtual network | Azure Virtual Network implementatie biedt verbeterde beveiliging, isolatie en kunt u uw API Management-service in een niet-internet routeerbaar netwerk plaatsen waartoe u de toegang kunt beheren. Deze netwerken kunnen vervolgens worden verbonden met uw on-premises netwerken met behulp van verschillende VPN-technologieën, waardoor access met uw back-endservices binnen het netwerk en/of on-premises. De ontwikkelaarsportal en API-gateway kunnen worden geconfigureerd om toegankelijk te zijn via internet of alleen binnen de virtual network. | Audit; Ontkennen; Invalide | 1.0.2 |
| API Management moet het openbare netwerk access uitschakelen voor de serviceconfiguratie-eindpunten | Om de beveiliging van API Management services te verbeteren, beperkt u de connectiviteit met serviceconfiguratie-eindpunten, zoals directe access beheer-API, Eindpunt voor Git-configuratiebeheer of zelf-hostende gatewayconfiguratie-eindpunten. | AuditIfNotExists; Invalide | 1.0.1 |
| App Configuration moet het openbare netwerk uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Privé-eindpunten gebruiken voor Azure App Configuration. | Audit; Ontkennen; Invalide | 1.0.0 |
| App Configuration moet een SKU gebruiken die ondersteuning biedt voor private link | Wanneer u een ondersteunde SKU gebruikt, kunt u met Azure Private Link uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw app configuration exemplaren in plaats van de hele service, wordt u ook beschermd tegen risico's van gegevenslekken. Meer informatie vindt u op: Privé-eindpunten gebruiken voor Azure App Configuration. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw app configuration exemplaren in plaats van de hele service, wordt u ook beschermd tegen risico's van gegevenslekken. Meer informatie vindt u op: Privé-eindpunten gebruiken voor Azure App Configuration. | AuditIfNotExists; Invalide | 1.0.2 | |
| App Service-app-sites moeten worden geïnjecteerd in een virtueel netwerk | Het injecteren van App Service-apps in een virtueel netwerk ontgrendelt geavanceerde App Service-netwerk- en beveiligingsfuncties en biedt u meer controle over uw netwerkbeveiligingsconfiguratie. Meer informatie vindt u op: /azure/app-service/web-sites-integrate-with-vnet. | Audit; Ontkennen; Invalide | 1.2.0 |
| App Service app-sites moeten openbare netwerken uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de App Service niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van een App Service beperken. Meer informatie vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Invalide; Ontkennen | 1.0.0 |
| Standaard wordt app-configuratie, zoals het ophalen van containerinstallatiekopieën en het koppelen van inhoudsopslag, niet gerouteerd via regionale VNET-integratie. Voor API-versies vóór 2024-11-01 stelt u 'vnetImagePullEnabled' en 'vnetContentShareEnabled' in op true. Stel voor 2024-11-01+ 'outboundVnetRouting.imagePullTraffic' en 'outboundVnetRouting.contentShareTraffic' in op true. Meer informatie vindt u op https://aka.ms/appservice-vnet-configuration-routing. | Audit; Ontkennen; Invalide | 1.1.0 | |
| Regionale VNET-integratie routeert standaard alleen RFC1918 verkeer naar het virtuele netwerk. Voor API-versies vóór 2024-11-01 stelt u vnetRouteAllEnabled in op true om al het uitgaande verkeer naar de Azure Virtual Network in te schakelen. Stel voor 2024-11-01+ 'outboundVnetRouting.applicationTraffic' in op true. Hierdoor kunnen netwerkbeveiligingsgroepen en door de gebruiker gedefinieerde routes voor al het uitgaande verkeer worden gebruikt. | Audit; Ontkennen; Invalide | 1.1.0 | |
| App Service-apps moeten worden geïnjecteerd in een virtueel netwerk | Het injecteren van App Service-apps in een virtueel netwerk ontgrendelt geavanceerde App Service-netwerk- en beveiligingsfuncties en biedt u meer controle over uw netwerkbeveiligingsconfiguratie. Meer informatie vindt u op: /azure/app-service/web-sites-integrate-with-vnet. | Audit; Ontkennen; Invalide | 3.2.0 |
| App Service-apps moeten het openbare netwerk uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de App Service niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van een App Service beperken. Meer informatie vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Invalide; Ontkennen | 1.1.0 |
| Standaard wordt app-configuratie, zoals het ophalen van containerinstallatiekopieën en het koppelen van inhoudsopslag, niet gerouteerd via regionale VNET-integratie. Voor API-versies vóór 2024-11-01 stelt u 'vnetImagePullEnabled' en 'vnetContentShareEnabled' in op true. Stel voor 2024-11-01+ 'outboundVnetRouting.imagePullTraffic' en 'outboundVnetRouting.contentShareTraffic' in op true. Meer informatie vindt u op https://aka.ms/appservice-vnet-configuration-routing. | Audit; Ontkennen; Invalide | 1.1.0 | |
| Regionale VNET-integratie routeert standaard alleen RFC1918 verkeer naar het virtuele netwerk. Voor API-versies vóór 2024-11-01 stelt u vnetRouteAllEnabled in op true om al het uitgaande verkeer naar de Azure Virtual Network in te schakelen. Stel voor 2024-11-01+ 'outboundVnetRouting.applicationTraffic' in op true. Hierdoor kunnen netwerkbeveiligingsgroepen en door de gebruiker gedefinieerde routes voor al het uitgaande verkeer worden gebruikt. | Audit; Ontkennen; Invalide | 1.1.0 | |
| App Service-apps moeten een SKU gebruiken die ondersteuning biedt voor private link | Met ondersteunde SKU's kunt u Azure Private Link uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan apps, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Ontkennen; Invalide | 4.3.0 |
| App Service-apps moeten een service-eindpunt voor een virtueel netwerk gebruiken | Gebruik service-eindpunten voor virtuele netwerken om de toegang tot uw app te beperken vanuit geselecteerde subnetten van een virtueel Azure-netwerk. Ga voor meer informatie over App Service-service-eindpunten naar https://aka.ms/appservice-vnet-service-endpoint. | AuditIfNotExists; Invalide | 2.0.1 |
| App Service-apps moeten gebruikmaken van private link | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te App Service, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Privé-eindpunten voor apps gebruiken. | AuditIfNotExists; Invalide | 1.0.1 |
| App Service Environment apps mogen niet bereikbaar zijn via openbaar internet | Om ervoor te zorgen dat apps die zijn geïmplementeerd in een App Service Environment niet toegankelijk zijn via openbaar internet, moet u App Service Environment implementeren met een IP-adres in het virtuele netwerk. Als u het IP-adres wilt instellen op een ip-adres van een virtueel netwerk, moet de App Service Environment worden geïmplementeerd met een interne load balancer. | Audit; Ontkennen; Invalide | 3.0.0 |
| Inzichtonderdelen van Toepassingsinzichten moeten logboekopname en query's vanuit openbare netwerken blokkeren | Verbeter de beveiliging van Application Insights door logboekopname en query's vanuit openbare netwerken te blokkeren. Alleen met private link verbonden netwerken kunnen logboeken van dit onderdeel opnemen en er query's op uitvoeren. Meer informatie vindt u op Gebruik Azure Private Link om netwerken te verbinden met Azure Monitor. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Application Insights-onderdelen waarvoor Private Link is ingeschakeld, moeten Gebruikmaken van Bring Your Own Storage-accounts voor profiler en foutopsporingsprogramma. | Maak uw eigen opslagaccount voor profiler en foutopsporingsprogramma om private link- en door de klant beheerd sleutelbeleid te ondersteunen. Meer informatie in /azure/azure-monitor/app/profiler-bring-your-own-storage | Ontkennen; Audit; Invalide | 1.0.0 |
| Authorized IP-bereiken moeten worden gedefinieerd in Kubernetes Services | Beperk access tot de Kubernetes Service Management-API door API-access alleen toe te kennen aan IP-adressen in specifieke bereiken. Het wordt aanbevolen om access te beperken tot geautoriseerde IP-bereiken om ervoor te zorgen dat alleen toepassingen van toegestane netwerken het cluster kunnen access. | Audit; Invalide | 2.0.1 |
| Automation-accounts moeten openbare netwerken uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw Automation-accountbronnen beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Gebruik Azure Private Link om netwerken veilig te verbinden met Azure Automation. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure AI Zoeken-service moet een SKU gebruiken die ondersteuning biedt voor Private Link | Met ondersteunde SKU's van Azure AI Zoeken kunt u Azure Private Link uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Search service, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Maak een privé-eindpunt voor een beveiligde verbinding. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure AI Zoeken-services moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw Azure AI Zoeken-service niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van uw Search service beperken. Meer informatie vindt u op: Maak een privé-eindpunt voor een beveiligde verbinding. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure AI Services-resources moeten netwerktoegang beperken | Door netwerk access te beperken, kunt u ervoor zorgen dat alleen toegestane netwerken de service kunnen access. Dit kan worden bereikt door netwerkregels te configureren, zodat alleen toepassingen van toegestane netwerken toegang hebben tot het hulpprogramma Microsoft Foundry. | Audit; Ontkennen; Invalide | 3.3.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform vermindert risico's voor gegevenslekken door de connectiviteit tussen de consument en services via het Azure backbone-netwerk te verwerken. Meer informatie over privékoppelingen vindt u op: Wat is Azure Private Link? | Audit; Invalide | 1.0.0 | |
| Azure API for FHIR moet gebruikmaken van private link | Azure API for FHIR moet ten minste één goedgekeurde privé-eindpuntverbinding hebben. Clients in een virtual network kunnen veilig access resources met privé-eindpuntverbindingen via privékoppelingen. Ga voor meer informatie naar: Configure Private Link voor Azure Health Data Services. | Audit; Invalide | 1.0.0 |
| Azure Arc Private Link Bereiken moeten worden geconfigureerd met een privé-eindpunt | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Azure Arc Private Link Bereiken, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Audit; Invalide | 1.0.0 |
| Azure Arc Private Link Bereiken moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat Azure Arc resources geen verbinding kunnen maken via het openbare internet. Het maken van privé-eindpunten kan de blootstelling van Azure Arc resources beperken. Meer informatie vindt u op: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Audit; Ontkennen; Invalide | 1.0.0 |
| kubernetes-clusters met Azure Arc moeten worden geconfigureerd met een Azure Arc Private Link Bereik | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door servers met Azure Arc-functionaliteit toe te staan aan een Azure Arc Private Link Bereik dat is geconfigureerd met een privé-eindpunt, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Arc servers moeten worden geconfigureerd met een Azure Arc Private Link Bereik | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door servers met Azure Arc-functionaliteit toe te staan aan een Azure Arc Private Link Bereik dat is geconfigureerd met een privé-eindpunt, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Use Azure Private Link to Connect Servers to Azure Arc by Using a Private Endpoint. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Attestation providers moeten openbare netwerktoegang uitschakelen | Om de beveiliging van Azure Attestation Service te verbeteren, moet u ervoor zorgen dat deze niet beschikbaar is voor het openbare internet en alleen toegankelijk is vanaf een privé-eindpunt. Schakel de eigenschap access van het openbare netwerk uit zoals beschreven in aka.ms/azureattestation. Met deze optie wordt de toegang uitgeschakeld vanuit een openbare adresruimte buiten het Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. Dit vermindert risico's voor gegevenslekken. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Cache voor Redis Enterprise moet private link gebruiken | Met privé-eindpunten kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Door privé-eindpunten toe te voegen aan uw Azure Cache voor Redis Enterprise-exemplaren, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Wat is Azure Cache voor Redis met Azure Private Link?. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Cache voor Redis moet openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat de Azure Cache voor Redis niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw Azure Cache voor Redis beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Wat is Azure Cache voor Redis met Azure Private Link?. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Cache voor Redis moet private link gebruiken | Met privé-eindpunten kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Door privé-eindpunten toe te voegen aan uw Azure Cache voor Redis instanties, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Wat is Azure Cache voor Redis met Azure Private Link?. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Container Instance-containergroep moet worden geïmplementeerd in een virtueel netwerk | Beveilig de communicatie tussen uw containers met Azure Virtuele netwerken. Wanneer u een virtueel netwerk opgeeft, kunnen resources binnen het virtuele netwerk veilig en privé met elkaar communiceren. | Audit; Invalide; Ontkennen | 2.0.0 |
| Azure Cosmos DB-accounts moeten firewallregels hebben | Firewallregels moeten worden gedefinieerd voor uw Azure Cosmos DB-accounts om te voorkomen dat verkeer van niet-geautoriseerde bronnen is. Accounts met ten minste één IP-regel die is gedefinieerd met het ingeschakelde virtual network-filter, worden als compatibel beschouwd. Accounts die openbare access uitschakelen, worden ook beschouwd als compatibel. | Audit; Ontkennen; Invalide | 2.1.0 |
| Azure Cosmos DB moet openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat uw CosmosDB-account niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van uw CosmosDB-account beperken. Meer informatie vindt u op: Blokkering van openbare netwerktoegang tijdens het maken van Azure Cosmos DB account. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Data Explorer cluster moet gebruikmaken van private link | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Azure Data Explorer-cluster, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Private-eindpunten voor Azure Data Explorer. | Audit; Invalide | 1.0.0 |
| Azure Data Explorer moet een SKU gebruiken die ondersteuning biedt voor private link | Met ondersteunde SKU's kunt u Azure Private Link uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan apps, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Data Factory moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Azure Data Factory, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Azure Private Link voor Azure Data Factory. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Databricks Clusters moeten openbare IP-adressen uitschakelen | Als u het openbare IP-adres van clusters in Azure Databricks Werkruimten uitschakelt, wordt de beveiliging verbeterd door ervoor te zorgen dat de clusters niet beschikbaar zijn op het openbare internet. Meer informatie vindt u op: Enable beveiligde clusterconnectiviteit. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Databricks Werkruimten moeten zich in een virtueel netwerk bevinden | Azure Virtuele netwerken bieden verbeterde beveiliging en isolatie voor uw Azure Databricks werkruimten, evenals subnetten, toegangsbeheerbeleid en andere functies om de toegang verder te beperken. Meer informatie vindt u op: Deploy-Azure Databricks in uw Azure virtuele netwerk (VNet-injectie). | Audit; Ontkennen; Invalide | 1.0.2 |
| Azure Databricks werkruimten moeten Premium SKU zijn die ondersteuning biedt voor functies zoals Private Link, door de klant beheerde sleutel voor versleuteling | Sta alleen Databricks-werkruimte toe met Premium SKU die uw organisatie kan implementeren ter ondersteuning van functies zoals Private Link, door de klant beheerde sleutel voor versleuteling. Meer informatie vindt u op: Configure back-end private connectivity to Azure Databricks. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Databricks Werkruimten moeten openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beheren door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Azure Private Link concepten. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Databricks Werkruimten moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan Azure Databricks werkruimten, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Configure back-end private connectivity to Azure Databricks. | Audit; Invalide | 1.0.2 |
| Azure Device Update voor IoT Hub-accounts moet gebruikmaken van private link | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Azure Device Update voor IoT Hub accounts, worden risico's voor gegevenslekken verminderd. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Event Grid-domeinen moeten openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid-domeinen moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Event Grid-domein in plaats van de hele service, wordt u ook beschermd tegen risico's voor gegevenslekken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Invalide | 1.0.2 |
| Azure Event Grid naamruimte MQTT-broker moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Event Grid-naamruimte in plaats van de hele service, wordt u ook beschermd tegen gegevenslekken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Invalide | 1.0.0 |
| Azure Event Grid naamruimteonderwerpbroker moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Event Grid-naamruimte in plaats van de hele service, wordt u ook beschermd tegen gegevenslekken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Invalide | 1.0.0 |
| Azure Event Grid naamruimten moeten openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid onderwerpen moeten openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Event Grid onderwerpen moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Event Grid-onderwerp in plaats van de hele service, bent u ook beschermd tegen gegevenslekken. Meer informatie vindt u op: Privé-eindpunten configureren voor onderwerpen of domeinen. | Audit; Invalide | 1.0.2 |
| Azure File Sync moet private link gebruiken | Door een privé-eindpunt te maken voor de aangegeven Storage synchronisatieserviceresource, kunt u uw Storage Sync Service-resource aanpakken vanuit de privé-IP-adresruimte van het netwerk van uw organisatie, in plaats van via het openbare eindpunt dat toegankelijk is voor internet. Als u een privé-eindpunt zelf maakt, wordt het openbare eindpunt niet uitgeschakeld. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Front Door-profielen moeten gebruikmaken van de Premium-laag die beheerde WAF-regels en private link ondersteunt | Azure Front Door Premium ondersteunt Azure beheerde WAF-regels en private link naar ondersteunde Azure origins. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure HDInsight moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan Azure HDInsight clusters, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Enable Private Link op een Azure HDInsight-cluster. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Health Data Services de identificatieservice moet openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. | Audit; Invalide | 1.0.0 |
| Azure Health Data Services de identificatieservice moet gebruikmaken van private link | Azure Health Data Services de identificatieservice ten minste één goedgekeurde privé-eindpuntverbinding moet hebben. Clients in een virtual network kunnen veilig access resources met privé-eindpuntverbindingen via privékoppelingen. | Audit; Invalide | 1.0.0 |
| Azure Health Data Services werkruimte moet private link gebruiken | Health Data Services-werkruimte moet ten minste één goedgekeurde privé-eindpuntverbinding hebben. Clients in een virtual network kunnen veilig access resources met privé-eindpuntverbindingen via privékoppelingen. Ga voor meer informatie naar: Configure Private Link voor Azure Health Data Services. | Audit; Invalide | 1.0.0 |
| [preview]: Azure Key Vault beheerde HSM openbare netwerktoegang moet uitschakelen | Schakel openbare netwerktoegang voor uw Azure Key Vault beheerde HSM uit, zodat deze niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Meer informatie vindt u op: Vertrouwde services access Beheerde HSM. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| [preview]: Azure Key Vault beheerde HSM moet private link gebruiken | Private Link biedt een manier om Azure Key Vault beheerde HSM te verbinden met uw Azure resources zonder verkeer via het openbare internet te verzenden. Private link biedt diepgaande bescherming tegen gegevensexfiltratie. Meer informatie vindt u op: Integrate Managed HSM met Azure Private Link | Audit; Invalide | 1.0.0-preview |
| Azure Key Vault moet openbare netwerktoegang uitschakelen | Schakel het openbare netwerk access uit voor uw key vault zodat het niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. Meer informatie vindt u op: Integrate Key Vault met Azure Private Link. | Audit; Ontkennen; Invalide | 1.1.0 |
| Azure Key Vault moet firewall zijn ingeschakeld of openbare netwerktoegang moet zijn uitgeschakeld | Schakel de key vault firewall in zodat de key vault niet standaard toegankelijk is voor openbare IP-adressen of schakel access uit voor uw key vault zodat deze niet toegankelijk is via het openbare internet. U kunt desgewenst specifieke IP-bereiken configureren om access te beperken tot die netwerken. Meer informatie vindt u op: Network-beveiliging voor Azure Key Vault en Integrate Key Vault met Azure Private Link | Audit; Ontkennen; Invalide | 3.3.0 |
| Azure Key Vaults moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan key vault, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Integrate Key Vault met Azure Private Link. | Audit; Ontkennen; Invalide | 1.2.1 |
| Azure Kubernetes Service privéclusters moeten zijn ingeschakeld | Schakel de functie privécluster voor uw Azure Kubernetes Service-cluster in om ervoor te zorgen dat netwerkverkeer tussen uw API-server en uw knooppuntgroepen alleen in het privénetwerk blijft. Dit is een algemene vereiste in veel regelgevings- en compliancestandaarden. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Machine Learning en Ai Studio moeten de modus Alleen goedgekeurde beheerde VNet-modus toestaan gebruiken | Beheerde VNet-isolatie stroomlijnt en automatiseert uw netwerkisolatieconfiguratie met een ingebouwd, op werkruimteniveau Azure Machine Learning beheerd VNet. Het beheerde VNet beveiligt uw beheerde Azure Machine Learning resources, zoals rekeninstanties, rekenclusters, serverloze berekeningen en beheerde online-eindpunten. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Machine Learning Berekeningen moeten zich in een virtueel netwerk bevinden | Azure Virtuele netwerken bieden verbeterde beveiliging en isolatie voor uw Azure Machine Learning Compute-clusters en -exemplaren, evenals subnetten, beleidsregels voor toegangsbeheer en andere functies om de toegang verder te beperken. Wanneer een berekening is geconfigureerd met een virtual network, is deze niet openbaar adresseerbaar en kan deze alleen worden geopend vanuit virtual machines en toepassingen binnen de virtual network. | Audit; Invalide | 1.0.1 |
| Azure Machine Learning Werkruimten moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat de Machine Learning Werkruimten niet beschikbaar zijn op het openbare internet. U kunt de blootstelling van uw werkruimten beheren door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Configure a private endpoint for an Azure Machine Learning workspace. | Audit; Ontkennen; Invalide | 2.0.1 |
| Azure Machine Learning werkruimten moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Azure Machine Learning werkruimten, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Configure a private endpoint for an Azure Machine Learning workspace. | Audit; Invalide | 1.0.0 |
| Azure Managed Grafana werkruimten moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw Azure Managed Grafana werkruimte niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van uw werkruimten beperken. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Managed Grafana werkruimten moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te brengen aan Managed Grafana, kunt u risico's voor gegevenslekken verminderen. | Audit; Invalide | 1.0.1 |
| Azure Monitor Private Link Bereik moet de toegang tot niet-private link resources blokkeren | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure resources via een privé-eindpunt met een Azure Monitor Private Link bereik (AMPLS). Private Link Toegangsmodi zijn ingesteld op uw AMPLS om te bepalen of opname- en queryaanvragen van uw netwerken alle resources kunnen bereiken of alleen Private Link resources (om gegevensexfiltratie te voorkomen). Meer informatie over privékoppelingen vindt u op: Azure Private Link-toegangsmodi (alleen-privé versus openen). | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te wijden aan Azure Monitor Bereik voor privékoppelingen, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Gebruik Azure Private Link om netwerken te verbinden met Azure Monitor. | AuditIfNotExists; Invalide | 1.0.0 | |
| Azure Purview-accounts moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Azure Purview-accounts in plaats van de hele service, wordt u ook beschermd tegen risico's voor gegevenslekken. Meer informatie vindt u op: Privé-eindpunten gebruiken in de klassieke Microsoft Purview-beheerportal. | Audit; Invalide | 1.0.0 |
| [Preview]: Azure Recovery Services-kluizen moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat de Recovery Services-kluis niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van de Recovery Services-kluis beperken. Meer informatie vindt u op: https://aka.ms/AB-PublicNetworkAccess-Deny. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| [preview]: Azure Recovery Services-kluizen moeten private link gebruiken voor back-up | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te passen aan Azure Recovery Services-kluizen, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Privé-eindpunten maken en gebruiken voor Azure Backup. | Audit; Invalide | 2.0.0-preview |
| Azure Service Bus naamruimten moeten private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Service Bus naamruimten, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Toegang tot Azure Service Bus naamruimten via privé-eindpunten. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure SignalR Service moet openbare netwerktoegang uitschakelen | Om de beveiliging van Azure SignalR Service resource te verbeteren, moet u ervoor zorgen dat deze niet beschikbaar is voor het openbare internet en alleen toegankelijk is vanaf een privé-eindpunt. Schakel de eigenschap access van het openbare netwerk uit, zoals beschreven in Netwerk configureren access control. Met deze optie wordt de toegang uitgeschakeld vanuit een openbare adresruimte buiten het Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. Dit vermindert risico's voor gegevenslekken. | Audit; Ontkennen; Invalide | 1.2.0 |
| Azure SignalR Service moet een Private Link ingeschakelde SKU gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming die uw resources beschermen tegen risico's voor het lekken van openbare gegevens. Het beleid beperkt u tot Private Link ingeschakelde SKU's voor Azure SignalR Service. Meer informatie over private link vindt u op: Privé-eindpunten gebruiken. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure SignalR Service moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Azure SignalR Service resource in plaats van de hele service, vermindert u de risico's voor het lekken van gegevens. Meer informatie over privékoppelingen vindt u op: Privé-eindpunten gebruiken. | Audit; Invalide | 1.0.0 |
| Azure Spring Cloud moet netwerkinjectie gebruiken | Azure Spring Cloud-exemplaren moeten virtuele netwerkinjectie gebruiken voor de volgende doeleinden: 1. Isoleer Azure Spring Cloud van internet. 2. Schakel Azure Spring Cloud in om te communiceren met systemen in on-premises datacenters of Azure service in andere virtuele netwerken. 3. Klanten in staat stellen binnenkomende en uitgaande netwerkcommunicatie te beheren voor Azure Spring Cloud. | Audit; Invalide; Ontkennen | 1.2.0 |
| Azure SQL Beheerde exemplaren moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang (openbaar eindpunt) op Azure SQL Managed Instances verbetert de beveiliging door ervoor te zorgen dat ze alleen toegankelijk zijn vanuit hun virtuele netwerken of via privé-eindpunten. Ga naar Configure Public Endpoint voor meer informatie over het openbare netwerk access. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Synapse werkruimten mogen uitgaand gegevensverkeer alleen naar goedgekeurde doelen toestaan | Verhoog de beveiliging van uw Synapse-werkruimte door uitgaand gegevensverkeer alleen toe te staan aan goedgekeurde doelen. Dit helpt preventie tegen gegevensexfiltratie door het doel te valideren voordat gegevens worden verzonden. | Audit; Invalide; Ontkennen | 1.0.0 |
| Azure Synapse werkruimten moeten openbare netwerktoegang uitschakelen | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de Synapse-werkruimte niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van uw Synapse-werkruimten beperken. Meer informatie vindt u op: Azure Synapse Analytics connectiviteitsinstellingen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Synapse werkruimten moeten gebruikmaken van private link | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Azure Synapse werkruimte, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Connect to your Azure Synapse workspace using private links. | Audit; Invalide | 1.0.1 |
| Azure Virtual Desktop hostpools moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging en houdt uw gegevens veilig door ervoor te zorgen dat de toegang tot de Azure Virtual Desktop-service niet beschikbaar is voor het openbare internet. Meer informatie vindt u op: Set up Private Link with Azure Virtual Desktop. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Virtual Desktop hostpools mogen alleen openbare netwerktoegang uitschakelen op sessiehosts | Het uitschakelen van openbare netwerktoegang voor uw Azure Virtual Desktop hostpoolsessiehosts, maar het toestaan van openbare toegang voor eindgebruikers verbetert de beveiliging door blootstelling aan het openbare internet te beperken. Meer informatie vindt u op: Set up Private Link with Azure Virtual Desktop. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Virtual Desktop-service moet gebruikmaken van private link | Het gebruik van Azure Private Link met uw Azure Virtual Desktop resources kan de beveiliging verbeteren en uw gegevens veilig houden. Meer informatie over privékoppelingen vindt u op: Set up Private Link met Azure Virtual Desktop. | Audit; Invalide | 1.0.0 |
| Azure Virtual Desktop werkruimten moeten openbare netwerktoegang uitschakelen | Als u openbare netwerktoegang uitschakelt voor uw Azure Virtual Desktop werkruimteresource, voorkomt u dat de feed toegankelijk is via het openbare internet. Alleen privénetwerk access de beveiliging verbeteren en uw gegevens veilig houden. Meer informatie vindt u op: Set up Private Link with Azure Virtual Desktop. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Web PubSub Service moet openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat Azure Web PubSub service niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van Azure Web PubSub service beperken. Meer informatie vindt u op: Azure Web PubSub netwerktoegangsbeheer. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Web PubSub Service moet een SKU gebruiken die ondersteuning biedt voor Private Link | Met ondersteunde SKU kunt u met Azure Private Link uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te laten aan Azure Web PubSub service, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Azure Web PubSub privé-eindpunt van de service. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Web PubSub Service moet private link gebruiken | Azure Private Link kunt u uw virtuele netwerken verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw Azure Web PubSub Service, kunt u risico's voor gegevenslekken verminderen. Meer informatie over privékoppelingen vindt u op: Azure Web PubSub privé-eindpunt van de service. | Audit; Invalide | 1.0.0 |
| Bot Service moet de geïsoleerde modus hebben ingeschakeld | Bots moeten worden ingesteld op de modus Alleen geïsoleerd. Met deze instelling configureert u Bot Service kanalen waarvoor verkeer via het openbare internet moet worden uitgeschakeld. | Audit; Ontkennen; Invalide | 2.1.0 |
| Bot Service moet openbare netwerktoegang hebben uitgeschakeld | Bots moeten worden ingesteld op de modus Alleen geïsoleerd. Met deze instelling configureert u Bot Service kanalen waarvoor verkeer via het openbare internet moet worden uitgeschakeld. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw BotService-resource, worden risico's voor gegevenslekken verminderd. | Audit; Invalide | 1.0.0 | |
| Container App-omgevingen moeten gebruikmaken van netwerkinjectie | Container Apps-omgevingen moeten gebruikmaken van virtuele netwerkinjectie om: 1.Isoleer Container Apps van het openbare internet 2.Schakel netwerkintegratie in met on-premises resources of in andere Azure virtuele netwerken 3. Bereik gedetailleerdere controle over netwerkverkeer dat van en naar de omgeving stroomt. | Audit; Invalide; Ontkennen | 1.0.2 |
| Container Apps-omgeving moet het openbare netwerk uitschakelen access | Schakel het openbare netwerk access uit om de beveiliging te verbeteren door de Container Apps-omgeving beschikbaar te maken via een interne load balancer. Hierdoor is er geen openbaar IP-adres meer nodig en wordt internet-access voor alle Container Apps in de omgeving voorkomen. | Audit; Ontkennen; Invalide | 1.1.0 |
| Container Apps moet externe netwerktoegang uitschakelen | Schakel externe netwerktoegang tot uw Container Apps uit door inkomend verkeer alleen intern af te dwingen. Dit zorgt ervoor dat binnenkomende communicatie voor Container Apps is beperkt tot bellers in de Container Apps-omgeving. | Audit; Ontkennen; Invalide | 1.1.0 |
| Containerregisters moeten SKU's hebben die ondersteuning bieden voor Privékoppelingen | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw containerregisters in plaats van de hele service, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Privé-eindpunt instellen met Private Link voor ACR. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure containerregisters accepteren standaard verbindingen via internet vanaf hosts op elk netwerk. Als u uw registers wilt beschermen tegen mogelijke bedreigingen, staat u access toe van alleen specifieke privé-eindpunten, openbare IP-adressen of adresbereiken. Als uw register geen netwerkregels heeft geconfigureerd, wordt dit weergegeven in de beschadigde resources. Meer informatie over containerregisternetwerkregels vindt u hier: Privé-eindpunt instellen met Private Link voor ACR, Configure Public Registry Access in Azure and Restrict Access to Azure Container Registry Using Service Endpoints. | Audit; Ontkennen; Invalide | 2.0.0 | |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw containerregisters in plaats van de hele service, wordt u ook beschermd tegen gegevenslekken. Meer informatie vindt u op: Privé-eindpunt instellen met Private Link voor ACR. | Audit; Invalide | 1.0.1 | |
| [Preview]: Container Registry moet een service-eindpunt voor een virtueel netwerk gebruiken | Met dit beleid worden alle exemplaren van Container Registry gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk. | Audit; Invalide | 1.0.0-preview |
| Cosmos DB moet gebruikmaken van een service-eindpunt voor een virtueel netwerk | Met dit beleid worden alle exemplaren van Cosmos DB gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk. | Audit; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw CosmosDB-account, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Configure Azure Private Link voor een Azure Cosmos DB-account. | Audit; Invalide | 1.0.0 | |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan diskAccesses, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Restrict import/export access naar managed disks. | AuditIfNotExists; Invalide | 1.0.0 | |
| ElasticSan moet het openbare netwerk uitschakelen access | Schakel het openbare netwerk access uit voor uw ElasticSan, zodat het niet toegankelijk is via het openbare internet. Dit kan de risico's voor gegevenslekken verminderen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Event Hub-naamruimten moeten openbare netwerken uitschakelen access | Azure Event Hub moet openbare netwerktoegang hebben uitgeschakeld. Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Low access to Azure Event Hubs namespaces via privé-eindpunten | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan Event Hub-naamruimten, worden risico's voor gegevenslekken verminderd. Meer informatie vindt u op: Toegang tot Azure Event Hubs naamruimten via privé-eindpunten. | AuditIfNotExists; Invalide | 1.0.0 | |
| Event Hub moet gebruikmaken van een service-eindpunt voor een virtueel netwerk | Met dit beleid worden alle instanties van Event Hub gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk. | AuditIfNotExists; Invalide | 1.0.0 |
| Function-app-sites moeten het openbare netwerk uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de functie-app niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van een functie-app beperken. Meer informatie vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Invalide; Ontkennen | 1.1.0 |
| Function-apps moeten het openbare netwerk uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de functie-app niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van een functie-app beperken. Meer informatie vindt u op: Privé-eindpunten voor apps gebruiken. | Audit; Invalide; Ontkennen | 1.1.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link-platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw IoT Central-toepassing in plaats van de hele service, vermindert u uw risico's voor gegevenslekken. Meer informatie over privékoppelingen vindt u op: Netwerkbeveiliging met behulp van privé-eindpunten in IoT Central. | Audit; Ontkennen; Invalide | 1.0.0 | |
| IoT Hub apparaatinrichtingsserviceexemplaren moeten openbare netwerktoegang uitschakelen | Het uitschakelen van openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat IoT Hub exemplaar van de device provisioning service niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van de IoT Hub inrichtingsexemplaren van apparaten beperken. Meer informatie vindt u op: Virtual network verbindingen voor DPS. | Audit; Ontkennen; Invalide | 1.0.0 |
| IoT Hub device provisioning service-exemplaren moeten gebruikmaken van Private Link | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te staan aan de IoT Hub device provisioning service, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Virtual network verbindingen voor DPS. | Audit; Invalide | 1.0.0 |
| De IP-firewallregels voor Azure Synapse-werkruimten moeten worden verwijderd | Als u alle IP-firewallregels verwijdert, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure Synapse werkruimte alleen toegankelijk is vanuit een privé-eindpunt. Deze configuratie controleert het maken van firewallregels die openbare netwerktoegang in de werkruimte toestaan. | Audit; Invalide | 1.0.0 |
| Key Vault moet gebruikmaken van een virtuele-netwerkservice-eindpunt | Met dit beleid worden alle Key Vault niet geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk gecontroleerd. | Audit; Invalide | 1.0.0 |
| Log Analytics werkruimten moeten logboekopname en query's vanuit openbare netwerken blokkeren | Verbeter de beveiliging van werkruimten door logboekopname en query's vanuit openbare netwerken te blokkeren. Alleen met private link verbonden netwerken kunnen logboeken in deze werkruimte opnemen en er query's op uitvoeren. Meer informatie vindt u op Gebruik Azure Private Link om netwerken te verbinden met Azure Monitor. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 1.1.0 |
| Managed disks moet het openbare netwerk uitschakelen access | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat een beheerde schijf niet beschikbaar is op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van managed disks beperken. Meer informatie vindt u op: Restrict import/export access naar managed disks. | Audit; Ontkennen; Invalide | 2.1.0 |
| Het virtuele netwerk van een beheerde werkruimte in Azure Synapse werkruimten moet zijn ingeschakeld | Als u een virtueel netwerk voor een beheerde werkruimte inschakelt, zorgt u ervoor dat uw werkruimte is geïsoleerd van andere werkruimten. Gegevensintegratie en Spark-resources die in dit virtuele netwerk zijn geïmplementeerd, bieden ook isolatie op gebruikersniveau voor Spark-activiteiten. | Audit; Ontkennen; Invalide | 1.0.0 |
| MariaDB-server moet een service-eindpunt voor een virtueel netwerk gebruiken | Firewallregels op basis van een virtueel netwerk worden gebruikt om verkeer van een specifiek subnet naar Azure Database for MariaDB in te schakelen en ervoor te zorgen dat het verkeer binnen de Azure grens blijft. Dit beleid biedt een manier om te controleren of het Azure Database for MariaDB service-eindpunt voor virtuele netwerken gebruikt. | AuditIfNotExists; Invalide | 1.0.2 |
| MySQL-server moet een service-eindpunt voor een virtueel netwerk gebruiken | Firewallregels op basis van een virtueel netwerk worden gebruikt om verkeer van een specifiek subnet naar Azure Database for MySQL in te schakelen en ervoor te zorgen dat het verkeer binnen de Azure grens blijft. Dit beleid biedt een manier om te controleren of het Azure Database for MySQL service-eindpunt voor virtuele netwerken gebruikt. | AuditIfNotExists; Invalide | 1.0.2 |
| PostgreSQL-server moet een service-eindpunt voor een virtueel netwerk gebruiken | Firewallregels op basis van een virtueel netwerk worden gebruikt om verkeer van een specifiek subnet naar Azure Database for PostgreSQL in te schakelen en ervoor te zorgen dat het verkeer binnen de Azure grens blijft. Dit beleid biedt een manier om te controleren of het Azure Database for PostgreSQL service-eindpunt voor virtuele netwerken gebruikt. | AuditIfNotExists; Invalide | 1.0.2 |
| Privé-eindpuntverbindingen voor Automation-accounts moeten zijn ingeschakeld | Met privé-eindpuntverbindingen kunt u beveiligde communicatie mogelijk maken door privéconnectiviteit met Automation-accounts in te schakelen zonder dat openbare IP-adressen bij de bron of bestemming nodig zijn. Meer informatie over privé-eindpunten in Azure Automation op /azure/automation/how-to/private-link-security | AuditIfNotExists; Invalide | 1.0.0 |
| Private-eindpuntverbindingen op Azure SQL Database moeten zijn ingeschakeld | Privé-eindpuntverbindingen dwingen beveiligde communicatie af door privéconnectiviteit in te schakelen voor Azure SQL Database. | Audit; Invalide | 1.1.0 |
| Privé-eindpuntverbindingen voor Batch-accounts moeten zijn ingeschakeld | Privé-eindpuntverbindingen maken beveiligde communicatie mogelijk door privéconnectiviteit met Batch-accounts in te schakelen zonder dat openbare IP-adressen nodig zijn bij de bron of bestemming. Meer informatie over privé-eindpunten in Batch vindt u op /azure/batch/privéconnectiviteit. | AuditIfNotExists; Invalide | 1.0.0 |
| Privé-eindpunt moet zijn ingeschakeld voor IoT Hub | Privé-eindpuntverbindingen dwingen beveiligde communicatie af door privéconnectiviteit in te schakelen voor IoT Hub. Configureer een privé-eindpuntverbinding om toegang tot verkeer dat alleen afkomstig is van bekende netwerken in te schakelen en toegang te voorkomen vanaf alle andere IP-adressen, inclusief binnen Azure. | Audit; Invalide | 1.0.0 |
| Het privé-eindpunt moet worden ingeschakeld voor MariaDB-servers | Met privé-eindpuntverbindingen wordt beveiligde communicatie afgedwongen door middel van het inschakelen van privéconnectiviteit met Azure Database for MariaDB. Configureer een privé-eindpuntverbinding om toegang tot verkeer dat alleen afkomstig is van bekende netwerken in te schakelen en toegang te voorkomen vanaf alle andere IP-adressen, inclusief binnen Azure. | AuditIfNotExists; Invalide | 1.0.2 |
| Private-eindpunt moet zijn ingeschakeld voor MySQL-servers | Privé-eindpuntverbindingen dwingen beveiligde communicatie af door privéconnectiviteit in te schakelen voor Azure Database for MySQL. Configureer een privé-eindpuntverbinding om toegang tot verkeer dat alleen afkomstig is van bekende netwerken in te schakelen en toegang te voorkomen vanaf alle andere IP-adressen, inclusief binnen Azure. | AuditIfNotExists; Invalide | 1.0.2 |
| Private-eindpunt moet zijn ingeschakeld voor PostgreSQL-servers | Privé-eindpuntverbindingen dwingen beveiligde communicatie af door privéconnectiviteit met Azure Database for PostgreSQL in te schakelen. Configureer een privé-eindpuntverbinding om toegang tot verkeer dat alleen afkomstig is van bekende netwerken in te schakelen en toegang te voorkomen vanaf alle andere IP-adressen, inclusief binnen Azure. | AuditIfNotExists; Invalide | 1.0.2 |
| Openbare netwerktoegang voor Azure Device Update voor IoT Hub-accounts moet worden uitgeschakeld | Als u de eigenschap voor openbare netwerktoegang uitschakelt, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure Device Update voor IoT Hub-accounts alleen toegankelijk zijn vanaf een privé-eindpunt. | Audit; Ontkennen; Invalide | 1.0.0 |
| Toegang tot openbare netwerken op Azure Data Explorer moet worden uitgeschakeld | Het uitschakelen van de eigenschap openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat Azure Data Explorer alleen toegankelijk is vanaf een privé-eindpunt. Deze configuratie weigert alle aanmeldingen die overeenkomen met IP- of virtual network-firewallregels. | Audit; Ontkennen; Invalide | 1.0.0 |
| Public netwerktoegang op Azure Data Factory moet zijn uitgeschakeld | Als u de eigenschap voor openbare netwerktoegang uitschakelt, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure Data Factory alleen toegankelijk is vanaf een privé-eindpunt. | Audit; Ontkennen; Invalide | 1.0.0 |
| Toegang tot het netwerk op Azure IoT Hub moet zijn uitgeschakeld | Als u de eigenschap voor openbare netwerktoegang uitschakelt, verbetert u de beveiliging door ervoor te zorgen dat uw Azure IoT Hub alleen toegankelijk is vanuit een privé-eindpunt. | Audit; Ontkennen; Invalide | 1.0.0 |
| Openbare netwerktoegang voor Azure SQL Database moet zijn uitgeschakeld | Als u de eigenschap voor openbare netwerktoegang uitschakelt, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Azure SQL Database alleen toegankelijk is vanuit een privé-eindpunt. Deze configuratie weigert alle aanmeldingen die overeenkomen met IP- of virtual network-firewallregels. | Audit; Ontkennen; Invalide | 1.1.0 |
| Toegang tot openbare netwerken moet zijn uitgeschakeld voor Azure File Sync | Als u het openbare eindpunt uitschakelt, kunt u access beperken tot uw Storage Sync Service-resource voor aanvragen die zijn bestemd voor goedgekeurde privé-eindpunten in het netwerk van uw organisatie. Er is niets inherent onveilig over het toestaan van aanvragen voor het openbare eindpunt, maar u kunt het uitschakelen om te voldoen aan wettelijke, juridische of organisatiebeleidsvereisten. U kunt het openbare eindpunt voor een Storage Sync-service uitschakelen door de inkomendeTrafficPolicy van de resource in te stellen op AllowVirtualNetworksOnly. | Audit; Ontkennen; Invalide | 1.0.0 |
| Public network access moet zijn uitgeschakeld voor Batch-accounts | Als u het openbare netwerk uitschakelt access op een Batch-account, wordt de beveiliging verbeterd door ervoor te zorgen dat uw Batch-account alleen toegankelijk is vanaf een privé-eindpunt. Meer informatie over het uitschakelen van openbare netwerktoegang op Gebruik privé-eindpunten met Azure Batch accounts. | Audit; Ontkennen; Invalide | 1.0.0 |
| Public network access moet zijn uitgeschakeld voor containerregisters | Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat containerregisters niet worden weergegeven op het openbare internet. Het maken van privé-eindpunten kan de blootstelling van containerregisterbronnen beperken. Meer informatie vindt u op: Configure Public Registry Access in Azure and Set Up Private Endpoint with Private Link for ACR. | Audit; Ontkennen; Invalide | 1.0.0 |
| Public network access moet zijn uitgeschakeld voor IoT Central | Om de beveiliging van IoT Central te verbeteren, moet u ervoor zorgen dat ioT Central niet wordt blootgesteld aan het openbare internet en alleen toegankelijk is vanaf een privé-eindpunt. Schakel de eigenschap openbare netwerktoegang uit zoals beschreven in Maak een privé-eindpunt voor Azure IoT Central. Met deze optie wordt de toegang uitgeschakeld vanuit een openbare adresruimte buiten het Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. Dit vermindert risico's voor gegevenslekken. | Audit; Ontkennen; Invalide | 1.0.0 |
| Openbare netwerktoegang moet worden uitgeschakeld voor MariaDB-servers | Schakel de eigenschap openbare netwerktoegang uit om de beveiliging te verbeteren en zorg ervoor dat uw Azure Database for MariaDB alleen toegankelijk is vanaf een privé-eindpunt. Deze configuratie schakelt de toegang strikt uit vanuit elke openbare adresruimte buiten Azure IP-bereik en weigert alle aanmeldingen die overeenkomen met ip- of virtuele netwerkfirewallregels. | Audit; Ontkennen; Invalide | 2.0.0 |
| Public network access moet zijn uitgeschakeld voor flexibele MySQL-servers | Het uitschakelen van de eigenschap openbare netwerktoegang verbetert de beveiliging door ervoor te zorgen dat uw Azure Database for MySQL flexibele servers alleen toegankelijk zijn vanaf een privé-eindpunt. Met deze configuratie wordt de toegang strikt uitgeschakeld vanuit een openbare adresruimte buiten Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. | Audit; Ontkennen; Invalide | 2.3.0 |
| Public network access moet zijn uitgeschakeld voor MySQL-servers | Schakel de eigenschap openbare netwerktoegang uit om de beveiliging te verbeteren en zorg ervoor dat uw Azure Database for MySQL alleen toegankelijk is vanaf een privé-eindpunt. Deze configuratie schakelt de toegang strikt uit vanuit elke openbare adresruimte buiten Azure IP-bereik en weigert alle aanmeldingen die overeenkomen met ip- of virtuele netwerkfirewallregels. | Audit; Ontkennen; Invalide | 2.0.0 |
| Public network access moet zijn uitgeschakeld voor flexibele PostgreSQL-servers | Als u de eigenschap voor openbare netwerktoegang uitschakelt, verbetert u de beveiliging door ervoor te zorgen dat uw Azure Database for PostgreSQL flexibele servers alleen toegankelijk zijn vanaf een privé-eindpunt. Met deze configuratie wordt de toegang strikt uitgeschakeld vanuit een openbare adresruimte buiten Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met firewallregels op basis van IP. | Audit; Ontkennen; Invalide | 3.1.0 |
| Public network access moet zijn uitgeschakeld voor PostgreSQL-servers | Schakel de eigenschap openbare netwerktoegang uit om de beveiliging te verbeteren en zorg ervoor dat uw Azure Database for PostgreSQL alleen toegankelijk is vanaf een privé-eindpunt. Met deze configuratie wordt de toegang uitgeschakeld vanuit een openbare adresruimte buiten Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. | Audit; Ontkennen; Invalide | 2.0.1 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te passen aan Azure Recovery Services-kluizen, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen voor Azure Site Recovery op: Enable replication for on-premises machines with private endpoints and Enable replication for private endpoints in Azure Site Recovery. | Audit; Invalide | 1.0.0-preview | |
| Service Bus Naamruimten moeten openbare netwerktoegang uitschakelen | Azure Service Bus moet openbare netwerktoegang hebben uitgeschakeld. Als u het openbare netwerk uitschakelt access de beveiliging verbetert door ervoor te zorgen dat de resource niet beschikbaar is op het openbare internet. U kunt de blootstelling van uw resources beperken door in plaats daarvan privé-eindpunten te maken. Meer informatie vindt u op: Low access to Azure Service Bus namespaces via privé-eindpunten | Audit; Ontkennen; Invalide | 1.1.0 |
| SQL Server Integration Services integratieruntimes op Azure Data Factory moeten worden toegevoegd aan een virtueel netwerk | Azure Virtual Network implementatie biedt verbeterde beveiliging en isolatie voor uw SQL Server Integration Services Integration Runtimes op Azure Data Factory, evenals subnetten, toegangsbeheerbeleid en andere functies om de toegang verder te beperken. | Audit; Ontkennen; Invalide | 2.3.0 |
| SQL Server moet gebruikmaken van een virtuele-netwerkservice-eindpunt | Met dit beleid worden alle SQL Server niet geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk gecontroleerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Storage openbare access account moet niet zijn toegestaan | Anonieme openbare leestoegang tot containers en blobs in Azure Storage is een handige manier om gegevens te delen, maar kan beveiligingsrisico's opleveren. Als u gegevensschendingen wilt voorkomen die worden veroorzaakt door ongewenste anonieme toegang, raadt Microsoft aan om openbare toegang tot een opslagaccount te voorkomen, tenzij dit in uw scenario is vereist. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 3.1.1 |
| Opslagaccounts moeten toegang uit vertrouwde Microsoft-services toestaan | Sommige Microsoft-services die communiceren met opslagaccounts werken vanuit netwerken die geen toegang kunnen krijgen via netwerkregels. Om dit type service naar behoren te laten werken, staat u de set vertrouwde Microsoft-services toe om de netwerkregels te omzeilen. Deze services gebruiken vervolgens sterke verificatie om toegang te krijgen tot het opslagaccount. | Audit; Ontkennen; Invalide | 1.0.0 |
| Storage-accounts moeten openbare netwerken uitschakelen access | Om de beveiliging van Storage Accounts te verbeteren, moet u ervoor zorgen dat ze niet worden blootgesteld aan het openbare internet en alleen toegankelijk zijn vanaf een privé-eindpunt. Schakel de eigenschap access van het openbare netwerk uit, zoals beschreven in Storage openbare netwerkaccount access. Met deze optie wordt de toegang uitgeschakeld vanuit een openbare adresruimte buiten het Azure IP-bereik en worden alle aanmeldingen geweigerd die overeenkomen met ip- of virtuele netwerkfirewallregels. Dit vermindert risico's voor gegevenslekken. | Audit; Ontkennen; Invalide | 1.0.1 |
| Netwerk access voor storage accounts moet worden beperkt. Netwerkregels configureren zodat alleen toepassingen van toegestane netwerken het storage-account kunnen access. Om verbindingen van specifieke internet- of on-premises clients toe te staan, kan toegang worden verleend aan verkeer van specifieke Azure virtuele netwerken of tot ip-adresbereiken voor openbaar internet | Audit; Ontkennen; Invalide | 1.1.1 | |
| Opslagaccounts moeten alleen netwerktoegang beperken via de netwerk-ACL-bypassconfiguratie. | Als u de beveiliging van opslagaccounts wilt verbeteren, schakelt u alleen toegang in via netwerk-ACL-bypass. Dit beleid moet worden gebruikt in combinatie met een privé-eindpunt voor toegang tot het opslagaccount. | Audit; Ontkennen; Invalide | 1.0.0 |
| Storage-accounts moeten netwerk-access beperken met behulp van virtual network regels | Beveilig uw storage-accounts tegen mogelijke bedreigingen met behulp van virtual network regels als voorkeursmethode in plaats van filteren op basis van IP. Als u filteren op basis van IP uitschakelt, voorkomt u dat openbare IP-adressen toegang hebben tot uw storage-accounts. | Audit; Ontkennen; Invalide | 1.0.1 |
| Storage-accounts moeten netwerk-access beperken met behulp van virtual network regels (met uitzondering van storage accounts die zijn gemaakt door Databricks) | Beveilig uw storage-accounts tegen mogelijke bedreigingen met behulp van virtual network regels als voorkeursmethode in plaats van filteren op basis van IP. Als u filteren op basis van IP uitschakelt, voorkomt u dat openbare IP-adressen toegang hebben tot uw storage-accounts. | Audit; Ontkennen; Invalide | 1.0.0 |
| Opslagaccounts moeten gebruikmaken van een virtuele-netwerkservice-eindpunt | Met dit beleid worden alle opslagaccounts gecontroleerd die niet zijn geconfigureerd voor het gebruik van een service-eindpunt voor een virtueel netwerk. | Audit; Invalide | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw storage-account, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op - Wat is Azure Private Link? | AuditIfNotExists; Invalide | 2.0.0 | |
| Storage-accounts moeten private link gebruiken (met uitzondering van storage accounts die zijn gemaakt door Databricks) | Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw storage-account, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op - Wat is Azure Private Link? | AuditIfNotExists; Invalide | 1.0.0 |
| Door Synapse beheerde privé-eindpunten mogen alleen verbinding maken met resources in goedgekeurde Azure Active Directory tenants | Beveilig uw Synapse-werkruimte door alleen verbindingen met resources in goedgekeurde Azure Active Directory (Azure AD)-tenants toe te staan. De goedgekeurde Azure AD-tenants kunnen worden gedefinieerd tijdens de beleidstoewijzing. | Audit; Invalide; Ontkennen | 1.0.0 |
| Azure Private Link kunt u uw virtuele netwerk verbinden met Azure services zonder een openbaar IP-adres bij de bron of bestemming. Het Private Link platform verwerkt de connectiviteit tussen de consument en services via het Azure backbone-netwerk. Door privé-eindpunten toe te voegen aan uw VM Image Builder-bouwresources, worden risico's voor gegevenslekken verminderd. Meer informatie over privékoppelingen vindt u op: Azure VM Image Builder-netwerkopties - Implementeren met behulp van een bestaand VNET. | Audit; Invalide; Ontkennen | 1.1.0 |
NS-3: Firewall implementeren aan de rand van het bedrijfsnetwerk
Zie Netwerkbeveiliging: NS-3: Firewall implementeren aan de rand van het bedrijfsnetwerk voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| IP Forwarding op uw virtuele machine moet zijn uitgeschakeld | Door doorsturen via IP in te schakelen op de NIC van een virtuele machine kan de computer verkeer ontvangen dat is geadresseerd aan andere bestemmingen. Doorsturen via IP is zelden vereist (bijvoorbeeld wanneer de VM wordt gebruikt als een virtueel netwerkapparaat). Daarom moet dit worden gecontroleerd door het netwerkbeveiligingsteam. | AuditIfNotExists; Invalide | 3.0.0 |
| Beheerpoorten van virtual machines moeten worden beveiligd met Just-In-Time-netwerk access control | Mogelijke JIT-toegang (Network Just In Time) wordt als aanbevelingen bewaakt door Azure Security Center | AuditIfNotExists; Invalide | 3.0.0 |
| Beheerpoorten moeten worden gesloten op uw virtual machines | Open poorten voor extern beheer stellen uw virtuele machine bloot aan een verhoogd risico op aanvallen via internet. Deze aanvallen proberen referenties brute forceren om beheerders access op de computer te krijgen. | AuditIfNotExists; Invalide | 3.0.0 |
| [preview]: al het internetverkeer moet worden gerouteerd via uw geïmplementeerde Azure Firewall | Azure Security Center heeft vastgesteld dat sommige subnetten niet zijn beveiligd met een firewall van de volgende generatie. Bescherm uw subnetten tegen mogelijke bedreigingen door de toegang tot deze subnetten te beperken met Azure Firewall of een ondersteunde firewall van de volgende generatie | AuditIfNotExists; Invalide | 3.0.0-preview |
NS-5: DDOS-beveiliging implementeren
Zie Netwerkbeveiliging: NS-5: DDOS-beveiliging implementeren voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure DDoS-beveiliging moet zijn ingeschakeld | DDoS-beveiliging moet zijn ingeschakeld voor alle virtuele netwerken met een subnet dat deel uitmaakt van een application gateway met een openbaar IP-adres. | AuditIfNotExists; Invalide | 3.0.1 |
| Frequentielimietregel inschakelen om te beveiligen tegen DDoS-aanvallen in Azure Front Door WAF | De frequentielimietregel voor Azure Web Application Firewall (WAF) voor Azure Front Door bepaalt het aantal aanvragen dat vanaf een bepaald CLIENT-IP-adres aan de toepassing is toegestaan tijdens een duur van de frequentielimiet. | Audit; Ontkennen; Invalide | 1.0.0 |
| Virtual-netwerken moeten worden beveiligd door Azure DDoS Protection | Bescherm uw virtuele netwerken tegen volumetrische en protocolaanvallen met Azure DDoS Protection. Ga naar Azure DDoS Protection Overview voor meer informatie. | Modificeren; Audit; Invalide | 1.0.1 |
NS-6: web application firewall implementeren
Zie Network Security: NS-6: Deploy web application firewall voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure Front Door Standard of Premium (Plus WAF) moeten bronlogboeken ingeschakeld zijn | Schakel resourcelogboeken in voor Azure Front Door Standard of Premium (plus WAF) en stream naar een Log Analytics-werkruimte. Krijg gedetailleerde inzicht in inkomend webverkeer en acties die worden ondernomen om aanvallen te beperken. | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Web Application Firewall op Azure-toepassing Gateway moet de controle van de hoofdtekst van de aanvraag hebben ingeschakeld | Zorg ervoor dat Web Application Firewalls die zijn gekoppeld aan Azure-toepassing Gateways de inspectie van de aanvraagbody hebben ingeschakeld. Hierdoor kan de WAF eigenschappen in de HTTP-hoofdtekst inspecteren die mogelijk niet worden geëvalueerd in de HTTP-headers, cookies of URI. | Audit; Ontkennen; Invalide | 1.0.0 |
| Voor Azure Web Application Firewall in Azure Front Door moet de controle van de aanvraagbody zijn ingeschakeld | Zorg ervoor dat Web Application Firewalls die zijn gekoppeld aan Azure Front Doors de controle van de aanvraagbody hebben ingeschakeld. Hierdoor kan de WAF eigenschappen in de HTTP-hoofdtekst inspecteren die mogelijk niet worden geëvalueerd in de HTTP-headers, cookies of URI. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Web Application Firewall moet zijn ingeschakeld voor Azure Front Door invoerpunten | Implementeer Azure Web Application Firewall (WAF) vóór openbare webtoepassingen voor aanvullende inspectie van binnenkomend verkeer. Web Application Firewall (WAF) biedt gecentraliseerde beveiliging van uw webtoepassingen tegen veelvoorkomende aanvallen en beveiligingsproblemen, zoals SQL-injecties, cross-site scripting, lokale en externe bestandsuitvoeringen. U kunt access ook beperken tot uw webtoepassingen op basis van landen/regio's, IP-adresbereiken en andere HTTP-parameters via aangepaste regels. | Audit; Ontkennen; Invalide | 1.0.2 |
| Frequentielimietregel inschakelen om te beveiligen tegen DDoS-aanvallen in Azure Front Door WAF | De frequentielimietregel voor Azure Web Application Firewall (WAF) voor Azure Front Door bepaalt het aantal aanvragen dat vanaf een bepaald CLIENT-IP-adres aan de toepassing is toegestaan tijdens een duur van de frequentielimiet. | Audit; Ontkennen; Invalide | 1.0.0 |
| WAF migreren van WAF-configuratie naar WAF-beleid in Application Gateway | Als u WAF-configuratie hebt in plaats van WAF-beleid, kunt u overschakelen naar het nieuwe WAF-beleid. In de toekomst biedt het firewallbeleid ondersteuning voor WAF-beleidsinstellingen, beheerde regelsets, uitsluitingen en uitgeschakelde regelgroepen. | Audit; Ontkennen; Invalide | 1.0.0 |
| Web Application Firewall (WAF) moet zijn ingeschakeld voor Application Gateway | Implementeer Azure Web Application Firewall (WAF) vóór openbare webtoepassingen voor aanvullende inspectie van binnenkomend verkeer. Web Application Firewall (WAF) biedt gecentraliseerde beveiliging van uw webtoepassingen tegen veelvoorkomende aanvallen en beveiligingsproblemen, zoals SQL-injecties, cross-site scripting, lokale en externe bestandsuitvoeringen. U kunt access ook beperken tot uw webtoepassingen op basis van landen/regio's, IP-adresbereiken en andere HTTP-parameters via aangepaste regels. | Audit; Ontkennen; Invalide | 2.0.0 |
| Web Application Firewall (WAF) moet de opgegeven modus gebruiken voor Application Gateway | Vereist het gebruik van de modus Detectie of Preventie om actief te zijn voor alle Web Application Firewall beleidsregels voor Application Gateway. | Audit; Ontkennen; Invalide | 1.0.0 |
| Web Application Firewall (WAF) moet de opgegeven modus gebruiken voor Azure Front Door Service | Verplicht het gebruik van de modus Detectie of Preventie om actief te zijn voor alle Web Application Firewall beleidsregels voor Azure Front Door Service. | Audit; Ontkennen; Invalide | 1.0.0 |
NS-8: onveilige services en protocollen detecteren en uitschakelen
Zie Netwerkbeveiliging: NS-8: Onveilige services en protocollen detecteren en uitschakelen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| App Service-apps moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor App Service-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 2.2.0 |
| Azure-VPN-gateways mogen geen Basic-SKU's gebruiken | Dit beleid zorgt ervoor dat VPN-gateways geen Basic-SKU's gebruiken. | Audit; Invalide | 1.0.0 |
| Function-apps moeten de nieuwste TLS-versie gebruiken | Regelmatig worden nieuwere versies voor TLS uitgebracht vanwege beveiligingsfouten, bevatten extra functionaliteit en verbeter de snelheid. Voer een upgrade uit naar de nieuwste TLS-versie voor functie-apps om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 2.3.0 |
PA-1: Scheid en beperk gebruikers met hoge bevoegdheden/beheerdersrechten
Zie Privileged Access: PA-1: Afzonderlijke en beperkte gebruikers met hoge bevoegdheden/beheerdersrechten voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| A maximum van 3 eigenaren moet worden aangewezen voor uw abonnement | Het wordt aanbevolen maximaal 3 abonnementseigenaren aan te wijzen om het risico dat een gecompromitteerde eigenaar inbreuk kan plegen te beperken. | AuditIfNotExists; Invalide | 3.0.0 |
| Blocked accounts met eigenaarsmachtigingen voor Azure resources moeten worden verwijderd | Afgeschafte accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Accounts met eigenaarsmachtigingen voor Azure resources moeten worden verwijderd | Externe accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement om niet-bewaakte access te voorkomen. | AuditIfNotExists; Invalide | 1.0.0 |
| [Preview]: MUA (Multi-User Authorization) moet zijn ingeschakeld voor Recovery Services-kluizen. | Dit beleid controleert of MUA (Multi-User Authorization) is ingeschakeld voor Recovery Services-kluizen. MUA helpt bij het beveiligen van uw Recovery Services-kluizen door een extra beveiligingslaag toe te voegen aan kritieke bewerkingen. Ga voor meer informatie naar https://aka.ms/MUAforRSV. | Audit; Invalide | 1.0.0-preview |
| Moet meer dan één eigenaar zijn toegewezen aan uw abonnement | Het wordt aanbevolen om meer dan één abonnementseigenaar aan te wijzen om beheerder access redundantie te hebben. | AuditIfNotExists; Invalide | 3.0.0 |
PA-2: Vermijd staande access voor gebruikersaccounts en -machtigingen
Zie Privileged Access: PA-2: Voorkomen dat access voor gebruikersaccounts en -machtigingen staan voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Beheerpoorten van virtual machines moeten worden beveiligd met Just-In-Time-netwerk access control | Mogelijke JIT-toegang (Network Just In Time) wordt als aanbevelingen bewaakt door Azure Security Center | AuditIfNotExists; Invalide | 3.0.0 |
PA-4: Gebruikers access regelmatig controleren en afstemmen
Zie Privileged Access: PA-4: Gebruiker access regelmatig controleren en afstemmen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Blocked accounts met eigenaarsmachtigingen voor Azure resources moeten worden verwijderd | Afgeschafte accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Blocked accounts met lees- en schrijfmachtigingen voor Azure resources moeten worden verwijderd | Afgeschafte accounts moeten worden verwijderd uit uw abonnement. Afgeschafte accounts zijn accounts waarvoor het aanmelden is geblokkeerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Accounts met eigenaarsmachtigingen voor Azure resources moeten worden verwijderd | Externe accounts met eigenaarsmachtigingen moeten worden verwijderd uit uw abonnement om niet-bewaakte access te voorkomen. | AuditIfNotExists; Invalide | 1.0.0 |
| Accounts met leesmachtigingen voor Azure resources moeten worden verwijderd | Externe accounts met leesbevoegdheden moeten worden verwijderd uit uw abonnement om niet-bewaakte access te voorkomen. | AuditIfNotExists; Invalide | 1.0.0 |
| Accounts met schrijfmachtigingen voor Azure resources moeten worden verwijderd | Externe accounts met schrijfbevoegdheden moeten worden verwijderd uit uw abonnement om niet-bewaakte access te voorkomen. | AuditIfNotExists; Invalide | 1.0.0 |
PA-7: Volg slechts voldoende beheerprincipe (minimale bevoegdheden)
Zie Privileged Access: PA-7: Volg voldoende beheerprincipe (minimale bevoegdheden voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Alle autorisatieregels behalve RootManageSharedAccessKey moeten worden verwijderd uit de Event hub-naamruimte | Event Hub-clients mogen geen toegangsbeleid op naamruimteniveau gebruiken dat toegang biedt tot alle wachtrijen en onderwerpen in een naamruimte. Overeenkomstig het beveiligingsmodel met minimale bevoegdheden, moet u voor wachtrijen en onderwerpen toegangsbeleid maken op entiteitsniveau, om alleen toegang te verlenen aan de specifieke entiteit | Audit; Ontkennen; Invalide | 1.0.1 |
| Alle autorisatieregels behalve RootManageSharedAccessKey moeten worden verwijderd uit Service Bus naamruimte | Service Bus clients mogen geen toegangsbeleid op naamruimteniveau gebruiken dat toegang biedt tot alle wachtrijen en onderwerpen in een naamruimte. Overeenkomstig het beveiligingsmodel met minimale bevoegdheden, moet u voor wachtrijen en onderwerpen toegangsbeleid maken op entiteitsniveau, om alleen toegang te verlenen aan de specifieke entiteit | Audit; Ontkennen; Invalide | 1.0.1 |
| API Management-abonnementen mogen niet worden beperkt tot alle API's | API Management abonnementen moeten worden afgestemd op een product of een afzonderlijke API in plaats van alle API's, wat kan leiden tot overmatige blootstelling aan gegevens. | Audit; Invalide; Ontkennen | 1.1.0 |
| Audit-gebruik van aangepaste RBAC-rollen | Ingebouwde rollen controleren, zoals Eigenaar, Bijdrager, Lezer, in plaats van aangepaste RBAC-rollen, die gevoelig zijn voor fouten. Het gebruik van aangepaste rollen wordt behandeld als een uitzondering en vereist een rigoureuze beoordeling en bedreigingsmodellering | Audit; Invalide | 1.0.1 |
| Er moeten autorisatieregels worden gedefinieerd voor de Event Hub-instantie | De aanwezigheid van autorisatieregels in Event Hub-entiteiten controleren om toegang met de minste machtigingen te verlenen | AuditIfNotExists; Invalide | 1.0.0 |
| Azure Key Vault moet het RBAC-machtigingsmodel gebruiken | RBAC-machtigingsmodel inschakelen in Key Vaults. Meer informatie vindt u op: Migrate from vault access policy to an Azure role-based access control permission model | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Kubernetes Service clusters moeten opdracht aanroepen uitschakelen | Het aanroepen van opdrachten kan de beveiliging verbeteren door te voorkomen dat beperkte netwerktoegang of op rollen gebaseerd toegangsbeheer van Kubernetes wordt overgeslagen | Audit; Invalide | 1.0.1 |
| Kubernetes-clusters moeten ervoor zorgen dat de rol clusterbeheerder alleen wordt gebruikt waar nodig | De rol 'clusterbeheerder' biedt uitgebreide bevoegdheden over de omgeving en moet alleen worden gebruikt wanneer en wanneer dat nodig is. | Audit; Invalide | 1.1.0 |
| Kubernetes-clusters moeten het gebruik van jokertekens in rol- en clusterrol minimaliseren | Het gebruik van jokertekens '*' kan een beveiligingsrisico zijn omdat hiermee brede machtigingen worden verleend die mogelijk niet nodig zijn voor een specifieke rol. Als een rol te veel machtigingen heeft, kan deze mogelijk worden misbruikt door een aanvaller of gecompromitteerde gebruiker om onbevoegde toegang te krijgen tot resources in het cluster. | Audit; Invalide | 1.1.0 |
| Role-Based Access Control (RBAC) moet worden gebruikt voor Kubernetes Services | Als u gedetailleerde filters wilt bieden voor de acties die gebruikers kunnen uitvoeren, gebruikt u Role-Based Access Control (RBAC) voor het beheren van machtigingen in Kubernetes Service-clusters en configureert u relevante autorisatiebeleidsregels. | Audit; Invalide | 1.1.0 |
Het controleren en afdwingen van veilige configuraties
Zie Postuur- en beveiligingsproblemenbeheer: PV-2: Veilige configuraties controleren en afdwingen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| [Preview]: [Afbeeldingsintegriteit] Kubernetes-clusters mogen alleen afbeeldingen gebruiken die zijn ondertekend door notatie | Gebruik afbeeldingen die zijn ondertekend door notatie om ervoor te zorgen dat afbeeldingen afkomstig zijn van vertrouwde bronnen en niet schadelijk worden gewijzigd. Ga voor meer informatie naar https://aka.ms/aks/image-integrity | Audit; Invalide | 1.1.0-preview |
| API Management direct beheereindpunt mag niet worden ingeschakeld | De REST API voor direct beheer in Azure API Management slaat Azure Resource Manager op rollen gebaseerd toegangsbeheer, autorisatie en beperkingsmechanismen over, waardoor het beveiligingsprobleem van uw service toeneemt. | Audit; Invalide; Ontkennen | 1.0.2 |
| App Service-app-sites moeten externe foutopsporing uitschakelen | Voor externe foutopsporing moeten binnenkomende poorten worden geopend in een App Service-app. Externe foutopsporing moet worden uitgeschakeld. | AuditIfNotExists; Invalide | 1.0.1 |
| App Service-app-sites mogen niet zijn geconfigureerd voor CORS, zodat elke resource toegang heeft tot uw apps | CorS (Cross-Origin Resource Sharing) mag niet toestaan dat alle domeinen uw app access. Sta alleen vereiste domeinen toe om te communiceren met uw app. | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-app-sites moeten de nieuwste HTTP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-app-sites die PHP gebruiken, moeten een opgegeven PHP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor PHP-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste PHP-versie voor App Service-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een PHP-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 1.0.0 |
| Er worden regelmatig nieuwere versies uitgebracht voor Python-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Python-versie voor App Service-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Python-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 1.0.0 | |
| App Service-apps moeten clientcertificaten (binnenkomende clientcertificaten) hebben ingeschakeld | Met clientcertificaten kan de app een certificaat aanvragen voor binnenkomende aanvragen. Alleen clients die een geldig certificaat hebben, kunnen de app bereiken. Dit beleid is van toepassing op apps met Http-versie ingesteld op 1.1. | AuditIfNotExists; Invalide | 1.0.0 |
| App Service-apps moeten externe foutopsporing hebben uitgeschakeld | Voor externe foutopsporing moeten binnenkomende poorten worden geopend in een App Service-app. Externe foutopsporing moet worden uitgeschakeld. | AuditIfNotExists; Invalide | 2.0.0 |
| App Service-apps mogen cors niet hebben geconfigureerd zodat elke resource uw apps kan access | CorS (Cross-Origin Resource Sharing) mag niet toestaan dat alle domeinen uw app access. Sta alleen vereiste domeinen toe om te communiceren met uw app. | AuditIfNotExists; Invalide | 2.0.0 |
| App Service-apps moeten de nieuwste HTTP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 4.0.0 |
| App Service-apps die gebruikmaken van Java, moeten een opgegeven Java-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor Java-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Java-versie voor App Service-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Java-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 3.1.0 |
| App Service-apps die PHP gebruiken, moeten een opgegeven PHP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor PHP-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste PHP-versie voor App Service-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een PHP-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 3.2.0 |
| App Service-apps die gebruikmaken van Python, moeten een opgegeven Python-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor Python-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Python-versie voor App Service-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Python-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 4.1.0 |
| [Preview]: Toewijzing van automatisch beheerprofiel moet conform zijn | Resources die worden beheerd door Automanage moeten de status Conformant of ConformantCorrected hebben. | AuditIfNotExists; Invalide | 1.0.0-preview |
| Azure API Management platformversie moet stv2 | Azure API Management stv1-rekenplatformversie wordt vanaf 31 augustus 2024 buiten gebruik gesteld en moeten deze exemplaren worden gemigreerd naar het stv2-rekenplatform voor continue ondersteuning. Meer informatie vindt u op API Management stv1 platform buitengebruikstelling - Global Azure cloud (augustus 2024) | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Arc ingeschakelde Kubernetes-clusters moet de Azure Policy-extensie hebben geïnstalleerd | De Azure Policy-extensie voor Azure Arc biedt op schaal afdwinging en beveiliging op uw Kubernetes-clusters met Arc op een gecentraliseerde, consistente manier. Meer informatie vindt u op Onderstand-Azure Policy voor Kubernetes-clusters. | AuditIfNotExists; Invalide | 1.1.0 |
| Azure Data Factory moet een Git-opslagplaats gebruiken voor broncodebeheer | Configureer alleen uw ontwikkelingsgegevensfabriek met Git-integratie. Wijzigingen in testen en productie moeten worden geïmplementeerd via CI/CD en mogen geen Git-integratie hebben. PAS dit beleid NIET toe op uw QA/Test/Productiegegevensfactory's. | Audit; Ontkennen; Invalide | 1.0.1 |
| Azure Machine Learning Compute Instance moet inactief zijn afgesloten. | Als u een inactiviteitsschema hebt, vermindert u de kosten door berekeningen af te sluiten die niet actief zijn na een vooraf bepaalde periode van activiteit. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Machine Learning rekeninstanties moeten opnieuw worden gemaakt om de meest recente software-updates op te halen | Zorg ervoor dat Azure Machine Learning rekeninstanties worden uitgevoerd op het meest recente beschikbare besturingssysteem. Beveiliging wordt verbeterd en beveiligingsproblemen worden verminderd door te worden uitgevoerd met de nieuwste beveiligingspatches. U vindt meer informatie op https://aka.ms/azureml-ci-updates/. | Audit; Invalide | 1.0.3 |
| Azure Machine Learning-werkruimten moeten V1LegacyMode inschakelen om achterwaartse compatibiliteit met netwerkisolatie te ondersteunen | Azure ML maakt een overgang naar een nieuw V2 API-platform in Azure Resource Manager en u kunt de VERSIE van het API-platform beheren met behulp van de parameter V1LegacyMode. Als u de parameter V1LegacyMode inschakelt, kunt u uw werkruimten in dezelfde netwerkisolatie houden als V1, maar u hebt geen gebruik van de nieuwe V2-functies. Het is raadzaam om de verouderde V1-modus alleen in te schakelen wanneer u de gegevens van het AzureML-besturingsvlak in uw privénetwerken wilt bewaren. Meer informatie vindt u op: https://aka.ms/V1LegacyMode. | Audit; Ontkennen; Invalide | 1.0.0 |
| Azure Policy-invoegtoepassing voor Kubernetes Service (AKS) moet zijn geïnstalleerd en ingeschakeld op uw clusters | Azure Policy invoegtoepassing voor Kubernetes Service (AKS) breidt Gatekeeper v3, een toegangscontrollerwebhook voor Open Policy Agent (OPA), uit om op schaal afdwinging en beveiliging op uw clusters op een gecentraliseerde, consistente manier toe te passen. | Audit; Invalide | 1.0.2 |
| [Preview]: Diagnostische gegevens over opstarten moeten zijn ingeschakeld op virtuele machines | Azure virtuele machines moeten opstartdiagniostiek hebben ingeschakeld. | Audit; Invalide | 1.0.0-preview |
| Kan afzonderlijke knooppunten niet bewerken | Kan afzonderlijke knooppunten niet bewerken. Gebruikers mogen afzonderlijke knooppunten niet bewerken. Bewerk knooppuntgroepen. Het wijzigen van afzonderlijke knooppunten kan leiden tot inconsistente instellingen, operationele uitdagingen en potentiële beveiligingsrisico's. | Audit; Ontkennen; Invalide | 1.3.1 |
| Verbindingsbeperking moet zijn ingeschakeld voor PostgreSQL-databaseservers | Dit beleid helpt bij het controleren van postgreSQL-databases in uw omgeving zonder verbindingsbeperking ingeschakeld. Met deze instelling kunt u tijdelijke verbindingsbeperking per IP inschakelen voor te veel ongeldige mislukte wachtwoordaanmeldingsfouten. | AuditIfNotExists; Invalide | 1.0.0 |
| Voor containerregisters moeten exports zijn uitgeschakeld | Het uitschakelen van exports verbetert de beveiliging door ervoor te zorgen dat gegevens in een register alleen toegankelijk zijn via het dataplane ('docker pull'). Gegevens kunnen niet uit de register worden verplaatst via de 'acr import' of via de 'acr transfer'. Als u exports wilt uitschakelen, moet openbare netwerktoegang worden uitgeschakeld. Meer informatie vindt u op: https://aka.ms/acr/export-policy. | Audit; Ontkennen; Invalide | 1.0.0 |
| Zorg ervoor dat clustercontainers gereedheids- of livenesstests hebben geconfigureerd | Dit beleid dwingt af dat alle pods gereedheids- en/of livenesstests hebben geconfigureerd. Testtypen kunnen elk van tcpSocket, httpGet en exec zijn. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Ga voor instructies voor de toepassing van dit beleid naar https://aka.ms/kubepolicydoc. | Audit; Ontkennen; Invalide | 3.3.0 |
| Sites voor functie-apps moeten externe foutopsporing zijn uitgeschakeld | Voor externe foutopsporing moeten binnenkomende poorten worden geopend in Functie-apps. Externe foutopsporing moet worden uitgeschakeld. | AuditIfNotExists; Invalide | 1.1.0 |
| CorS-sites voor functie-apps mogen niet zodanig zijn geconfigureerd dat elke resource toegang heeft tot uw apps | CorS (Cross-Origin Resource Sharing) mag niet toestaan dat alle domeinen uw functie-app access. Sta alleen de vereiste domeinen toe om met uw Function-app te communiceren. | AuditIfNotExists; Invalide | 1.1.0 |
| Sites voor functie-apps moeten de nieuwste HTTP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 1.1.0 |
| Function-app-sites die gebruikmaken van Java een opgegeven 'Java-versie' | Er worden regelmatig nieuwere versies uitgebracht voor Java-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Java-versie voor Function-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Java-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 1.0.0 |
| Function-apps moeten clientcertificaten (binnenkomende clientcertificaten) hebben ingeschakeld | Met clientcertificaten kan de app een certificaat aanvragen voor binnenkomende aanvragen. Alleen clients die een geldig certificaat hebben, kunnen de app bereiken. Dit beleid is van toepassing op apps met Http-versie ingesteld op 1.1. | AuditIfNotExists; Invalide | 1.1.0 |
| Function-apps moeten externe foutopsporing hebben uitgeschakeld | Voor externe foutopsporing moeten binnenkomende poorten worden geopend in Functie-apps. Externe foutopsporing moet worden uitgeschakeld. | AuditIfNotExists; Invalide | 2.1.0 |
| Function-apps mogen cors niet zodanig hebben geconfigureerd dat elke resource uw apps kan access | CorS (Cross-Origin Resource Sharing) mag niet toestaan dat alle domeinen uw functie-app access. Sta alleen de vereiste domeinen toe om met uw Function-app te communiceren. | AuditIfNotExists; Invalide | 2.1.0 |
| Functie-apps moeten de nieuwste HTTP-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor HTTP, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste HTTP-versie voor web-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. | AuditIfNotExists; Invalide | 4.1.0 |
| Functie-apps die java gebruiken, moeten een opgegeven Java-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor Java-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Java-versie voor Function-apps wordt aanbevolen om te profiteren van beveiligingsfixes, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Java-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 3.1.0 |
| Functie-apps die gebruikmaken van Python, moeten een opgegeven Python-versie gebruiken | Er worden regelmatig nieuwere versies uitgebracht voor Python-software, ofwel vanwege de beveiligingsfouten ofwel om extra functionaliteit toe te voegen. Het gebruik van de nieuwste Python-versie voor Function-apps wordt aanbevolen om te profiteren van beveiligingsoplossingen, indien van toepassing, en/of nieuwe functies van de nieuwste versie. Dit beleid is alleen van toepassing op Linux-apps. Voor dit beleid moet u een Python-versie opgeven die voldoet aan uw vereisten. | AuditIfNotExists; Invalide | 4.1.0 |
| Containerinstallatiekopieën van Kubernetes-clusters mogen niet de meest recente installatiekopieën van de installatiekopieën bevatten | Vereist dat containerinstallatiekopieën niet gebruikmaken van de meest recente tag in Kubernetes. Het is een best practice om reproduceerbaarheid te garanderen, onbedoelde updates te voorkomen en eenvoudiger foutopsporing en terugdraaiacties te vergemakkelijken met behulp van expliciete en geversiede containerinstallatiekopieën. | Audit; Ontkennen; Invalide | 2.0.1 |
| Kubernetes-clustercontainers cpu- en geheugenresourcelimieten mogen niet hoger zijn dan de opgegeven limieten | Dwing limieten voor cpu- en geheugenresources van containers af om uitputtingsaanvallen van resources in een Kubernetes-cluster te voorkomen. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 9.3.0 |
| Cpu- en geheugenresourceaanvragen voor Kubernetes-clustercontainers moeten worden gedefinieerd | Dwing container-CPU- en geheugenresourceaanvragen af om ervoor te zorgen dat het geplande knooppunt over vereiste resources beschikt. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| Kubernetes-clustercontainers mogen geen hostnaamruimten delen | Voorkomen dat podcontainers de hostproces-id-naamruimte, host-IPC-naamruimte en hostnetwerknaamruimte delen in een Kubernetes-cluster. Deze aanbeveling is afgestemd op de Kubernetes Pod-beveiligingsstandaarden voor hostnaamruimten en maakt deel uit van CIS 5.2.1, 5.2.2 en 5.2.3 die zijn bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | Audit; Ontkennen; Invalide | 6.0.0 |
| Kubernetes-clustercontainers mogen alleen toegestane AppArmor-profielen gebruiken | Containers mogen alleen toegestane AppArmor-profielen gebruiken in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 6.2.1 |
| Kubernetes-clustercontainers mogen alleen toegestane mogelijkheden gebruiken | Beperk de mogelijkheden om de aanval surface van containers in een Kubernetes-cluster te verminderen. Deze aanbeveling maakt deel uit van CIS 5.2.8 en CIS 5.2.9 die zijn bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 6.2.0 |
| Kubernetes-clustercontainers mogen alleen toegestane installatiekopieën gebruiken | Gebruik installatiekopieën van vertrouwde registers om het blootstellingsrisico van het Kubernetes-cluster te beperken tot onbekende beveiligingsproblemen, beveiligingsproblemen en schadelijke installatiekopieën. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 9.3.0 |
| Kubernetes cluster containers should only use allowed ProcMountType (Kubernetes-clustercontainers mogen alleen gebruik maken van het toegestane ProcMountType) | Podcontainers kunnen alleen toegestane ProcMountTypes gebruiken in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 8.2.0 |
| Kubernetes-clustercontainers mogen alleen toegestane pull-beleid gebruiken | Het pull-beleid van containers beperken om containers af te dwingen om alleen toegestane installatiekopieën voor implementaties te gebruiken | Audit; Ontkennen; Invalide | 3.2.0 |
| Kubernetes cluster containers should only use allowed seccomp profiles (Kubernetes-clustercontainers mogen alleen gebruik maken van toegestane seccomp-profielen) | Podcontainers kunnen alleen toegestane seccomp-profielen gebruiken in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 7.2.0 |
| Kubernetes-clustercontainers moeten worden uitgevoerd met een alleen-lezen hoofdbestandssysteem | Voer containers uit met een alleen-lezen hoofdbestandssysteem om te beveiligen tegen wijzigingen tijdens de runtime, waarbij schadelijke binaire bestanden worden toegevoegd aan PATH in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 6.3.0 |
| [Preview]: Kubernetes-clustercontainers mogen alleen toegestane sysctl-interfaces gebruiken | Containers mogen alleen toegestane sysctl-interfaces gebruiken in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 1.0.0-preview |
| Kubernetes-clusterpodhostPath-volumes mogen alleen toegestane hostpaden gebruiken | Beperk pod HostPath-volumekoppelingen naar de toegestane hostpaden in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 6.3.0 |
| Kubernetes-clusterpods en -containers moeten voldoen aan SELinux-beveiligingsstandaarden | Dit beleid dwingt Kubernetes Pod Security Standards af voor SELinux-opties. Onder de PSS-modus moeten de velden Gebruiker en Rol leeg zijn en moet het veld Type een van de toegestane waarden zijn. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 8.0.0 |
| Kubernetes-clusterpods en -containers mogen alleen worden uitgevoerd met goedgekeurde gebruikers- en groeps-id's | Beheer de gebruikers-, primaire groep-, aanvullende groep- en bestandssysteemgroep-id's die pods en containers kunnen gebruiken om te worden uitgevoerd in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 6.2.0 |
| Kubernetes cluster pods should only use allowed volume types (Kubernetes-clusterpods mogen alleen toegestane volumetypen gebruiken) | Pods kunnen alleen toegestane volumetypen gebruiken in een Kubernetes-cluster. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 5.2.0 |
| Kubernetes-clusterpods mogen alleen goedgekeurde hostnetwerk- en poortlijst gebruiken | Beperk pod access naar het hostnetwerk en de toegestane hostpoorten in een Kubernetes-cluster. Deze aanbeveling maakt deel uit van CIS 5.2.4 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren en in overeenstemming te zijn met PSS (Pod Security Standards) voor hostPorts. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | Audit; Ontkennen; Invalide | 7.0.0 |
| Kubernetes-clusterservices mogen alleen luisteren op toegestane poorten | Beperk services om alleen te luisteren op toegestane poorten om access naar het Kubernetes-cluster te beveiligen. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 8.2.0 |
| Kubernetes-clusterservices mogen alleen toegestane externe IP-adressen gebruiken | Gebruik toegestane externe IP-adressen om de mogelijke aanval (CVE-2020-8554) in een Kubernetes-cluster te voorkomen. Zie https://aka.ms/kubepolicydoc voor meer informatie. | Audit; Ontkennen; Invalide | 5.2.0 |
| Kubernetes-clusterservices moeten gebruikmaken van unieke selectors | Zorg ervoor dat services in een naamruimte unieke selectors hebben. Een unieke serviceselector zorgt ervoor dat elke service in een naamruimte uniek identificeerbaar is op basis van specifieke criteria. Dit beleid synchroniseert servicebronnen naar OPA via Gatekeeper. Voordat u dit toepast, controleert u of de geheugencapaciteit van Gatekeeper-pods niet wordt overschreden. Parameters zijn van toepassing op specifieke naamruimten, maar synchroniseert alle resources van dat type in alle naamruimten. Momenteel in preview voor Kubernetes Service (AKS). | Audit; Ontkennen; Invalide | 1.2.2 |
| Kubernetes-cluster mag geen bevoegde containers toestaan | Sta het maken van bevoegde containers in een Kubernetes-cluster niet toe. Deze aanbeveling maakt deel uit van CIS 5.2.1 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 9.2.0 |
| Kubernetes-cluster mag geen naakte pods gebruiken | Gebruik van naakte pods blokkeren. Naakte pods worden niet opnieuw gepland in het geval van een knooppuntfout. Pods moeten worden beheerd door Implementatie, Replicset, Daemonset of Taken | Audit; Ontkennen; Invalide | 2.3.1 |
| Kubernetes-cluster Windows-containers mogen niet worden uitgevoerd als ContainerAdministrator | Voorkom het gebruik van ContainerAdministrator als de gebruiker om de containerprocessen voor Windows pods of containers uit te voeren. Deze aanbeveling is bedoeld om de beveiliging van Windows knooppunten te verbeteren. Zie voor meer informatie https://kubernetes.io/docs/concepts/windows/intro/ . | Audit; Ontkennen; Invalide | 1.2.0 |
| Kubernetes-cluster Windows pods mogen geen HostProcess-containers uitvoeren | Voorkom prviledged toegang tot het Windows-knooppunt. Deze aanbeveling is bedoeld om de beveiliging van Windows knooppunten te verbeteren. Zie voor meer informatie https://kubernetes.io/docs/concepts/windows/intro/ . | Audit; Ontkennen; Invalide | 1.0.0 |
| Kubernetes-clusters moeten api-referenties automatisch koppelen uitschakelen | Schakel het automatisch koppelen van API-referenties uit om te voorkomen dat een mogelijk gemanipuleerde Pod-resource API-opdrachten uitvoert met Kubernetes-clusters. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 4.2.0 |
| Kubernetes-clusters mogen geen escalatie van containerbevoegdheden toestaan | Sta niet toe dat containers worden uitgevoerd met escalatie van bevoegdheden naar de hoofdmap in een Kubernetes-cluster. Deze aanbeveling maakt deel uit van CIS 5.2.5 die is bedoeld om de beveiliging van uw Kubernetes-omgevingen te verbeteren. Dit beleid is algemeen beschikbaar voor Kubernetes Service (AKS) en preview voor Azure Arc ingeschakelde Kubernetes. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | Audit; Ontkennen; Invalide | 8.0.0 |
| Kubernetes-clusters mogen geen CAP_SYS_ADMIN beveiligingsmogelijkheden verlenen | Beperk CAP_SYS_ADMIN Linux-mogelijkheden om de aanval surface van uw containers te verminderen. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 5.1.0 |
| Kubernetes-clusters mogen de standaardnaamruimte niet gebruiken | Voorkom het gebruik van de standaardnaamruimte in Kubernetes-clusters om te beveiligen tegen onbevoegde access voor resourcetypen ConfigMap, Pod, Secret, Service en ServiceAccount. Zie Onderstand-Azure Policy voor Kubernetes-clusters voor meer informatie. | audit; Audit; ontkennen; Ontkennen; invalide; Invalide | 4.2.0 |
| Kubernetes-clusters moeten gebruikmaken van het stuurprogramma StorageClass (Container Storage Interface) (CSI) | De Container Storage Interface (CSI) is een standaard voor het blootstellen van willekeurige blok- en bestandopslagsystemen aan workloads in containers op Kubernetes. In-tree provisioner StorageClass moet worden afgeschaft sinds AKS versie 1.21. Voor meer informatie, https://aka.ms/aks-csi-driver | Audit; Ontkennen; Invalide | 2.3.0 |
| Er moeten antiaffiniteitsregels of topologiebeperkingen zijn ingesteld | Dit beleid zorgt ervoor dat pods worden gepland op verschillende knooppunten in het cluster. Door antiaffiniteitsregels of beperkingen voor podtopologie af te dwingen, blijft de beschikbaarheid behouden, zelfs als een van de knooppunten niet meer beschikbaar is. Pods blijven worden uitgevoerd op andere knooppunten, waardoor de tolerantie wordt verbeterd. | Audit; Ontkennen; Invalide | 1.2.2 |
| Alleen goedgekeurde VM-extensies mogen worden geïnstalleerd | Dit beleid is van toepassing op extensies van virtuele machines die niet zijn goedgekeurd. | Audit; Ontkennen; Invalide | 1.0.0 |
| Een bericht afdrukken als een mutatie wordt toegepast | Zoekt de mutatieaantekeningen op die zijn toegepast en drukt een bericht af als er annotatie bestaat. | Audit; Invalide | 1.2.1 |
| Opslagaccounts moeten replicatie van meerdere tenantobjecten voorkomen | Controleer de beperking van objectreplicatie voor uw opslagaccount. Standaard kunnen gebruikers objectreplicatie configureren met een bronopslagaccount in één Azure AD-tenant en een doelaccount in een andere tenant. Het is een beveiligingsprobleem omdat de gegevens van de klant kunnen worden gerepliceerd naar een opslagaccount dat eigendom is van de klant. Door allowCrossTenantReplication in te stellen op false, kan de replicatie van objecten alleen worden geconfigureerd als beide bron- en doelaccounts zich in dezelfde Azure AD-tenant bevinden. | Audit; Ontkennen; Invalide | 1.0.0 |
PV-4: Veilige configuraties voor rekenresources controleren en afdwingen
Zie Postuur- en beveiligingsproblemenbeheer: PV-4: Veilige configuraties voor rekenresources controleren en afdwingen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Linux-machines controleren waarvoor externe verbindingen van accounts zonder wachtwoorden zijn toegestaan | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines voldoen niet als Linux-machines externe verbindingen van accounts zonder wachtwoorden toestaan | AuditIfNotExists; Invalide | 3.1.0 |
| Linux-machines controleren waarvoor machtigingen in het passwd-bestand niet op 0644 zijn ingesteld | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines voldoen niet als Linux-machines geen machtigingen in het passwd-bestand op 0644 ingesteld hebben | AuditIfNotExists; Invalide | 3.1.0 |
| Linux-machines controleren met accounts zonder wachtwoorden | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines voldoen niet als Linux-machines accounts hebben zonder wachtwoorden | AuditIfNotExists; Invalide | 3.1.0 |
| Windows-machines controleren die het hergebruik van de wachtwoorden na het opgegeven aantal unieke wachtwoorden toestaan | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines zijn niet-compatibel als Windows machines die het hergebruik van de wachtwoorden na het opgegeven aantal unieke wachtwoorden toestaan. De standaardwaarde voor unieke wachtwoorden is 24 | AuditIfNotExists; Invalide | 2.1.0 |
| Windows-computers controleren waarvoor de maximale wachtwoordduur niet is ingesteld op het opgegeven aantal dagen | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines zijn niet-compatibel als Windows machines waarvoor de maximale wachtwoordduur niet is ingesteld op het opgegeven aantal dagen. De standaardwaarde voor de maximale wachtwoordduur is 70 dagen | AuditIfNotExists; Invalide | 2.1.0 |
| Windows-computers controleren waarvoor de minimale wachtwoordduur niet is ingesteld op het opgegeven aantal dagen | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines zijn niet-compatibel als Windows machines waarvoor de minimale wachtwoordduur niet is ingesteld op het opgegeven aantal dagen. De standaardwaarde voor de minimale wachtwoordduur is 1 dag | AuditIfNotExists; Invalide | 2.1.0 |
| Windows-machines controleren waarop de instelling voor wachtwoordcomplexiteit niet is ingeschakeld | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines voldoen niet als Windows machines waarvoor de instelling wachtwoordcomplexiteit niet is ingeschakeld | AuditIfNotExists; Invalide | 2.0.0 |
| Windows-computers controleren die de minimale wachtwoordlengte niet beperken tot het opgegeven aantal tekens | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines zijn niet compatibel als Windows machines die de minimale wachtwoordlengte niet beperken tot het opgegeven aantal tekens. De standaardwaarde voor de minimale wachtwoordlengte is 14 tekens | AuditIfNotExists; Invalide | 2.1.0 |
| Windows-machines controleren waarop wachtwoorden niet worden opgeslagen met omkeerbare versleuteling | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. Machines zijn niet-compatibel als Windows machines die geen wachtwoorden opslaan met omkeerbare versleuteling | AuditIfNotExists; Invalide | 2.0.0 |
| [preview]: Azure Stack HCI-servers consistent beleid voor toepassingsbeheer moeten hebben afgedwongen | Pas minimaal het Microsoft WDAC-basisbeleid toe in de afgedwongen modus op alle Azure Stack HCI-servers. Toegepaste Windows Defender WDAC-beleid (Application Control) moet consistent zijn op alle servers in hetzelfde cluster. | Audit; Invalide; AuditIfNotExists | 1.0.0-preview |
| [preview]: Azure Stack HCI-servers moeten voldoen aan de vereisten voor beveiligde kernen | Zorg ervoor dat alle Azure Stack HCI-servers voldoen aan de vereisten voor beveiligde kernen. De vereisten voor de Secured Core-server inschakelen: 1. Ga op de pagina Azure Stack HCI-clusters naar Windows Admin Center en selecteer Verbinding maken. 2. Ga naar de beveiligingsextensie en selecteer Secured-core. 3. Selecteer een instelling die niet is ingeschakeld en klik op Inschakelen. | Audit; Invalide; AuditIfNotExists | 1.0.0-preview |
| Rolinstanties van Cloud Services (uitgebreide ondersteuning) moeten veilig worden geconfigureerd | Bescherm uw rolinstanties van cloudservices (uitgebreide ondersteuning) tegen aanvallen door ervoor te zorgen dat ze niet worden blootgesteld aan beveiligingsproblemen in het besturingssysteem. | AuditIfNotExists; Invalide | 1.0.0 |
| Schijven en installatiekopieën van het besturingssysteem moeten trustedLaunch ondersteunen | TrustedLaunch verbetert de beveiliging van een virtuele machine waarvoor besturingssysteemschijf en installatiekopieën van het besturingssysteem moeten worden ondersteund (Gen 2). Ga voor meer informatie over TrustedLaunch naar https://aka.ms/trustedlaunch | Audit; Invalide | 1.0.0 |
| [preview]: de extensie gastverklaring moet worden geïnstalleerd op ondersteunde Linux-virtual machines | Installeer de gastattestextensie op ondersteunde virtuele Linux-machines zodat Azure Security Center proactief de opstartintegriteit kan bevestigen en bewaken. Zodra de opstartintegriteit is geïnstalleerd, wordt de opstartintegriteit getest via Remote Attestation. Deze evaluatie is van toepassing op vertrouwde start en vertrouwelijke Linux-virtual machines. | AuditIfNotExists; Invalide | 6.0.0-preview |
| [preview]: de gastverklaringsextensie moet worden geïnstalleerd op ondersteunde Linux-virtual machines schaalsets | Installeer de gastattestextensie op ondersteunde virtuele Linux-machinesschaalsets om Azure Security Center proactief te kunnen bevestigen en de opstartintegriteit te bewaken. Zodra de opstartintegriteit is geïnstalleerd, wordt de opstartintegriteit getest via Remote Attestation. Deze evaluatie is van toepassing op vertrouwde start en vertrouwelijke Linux-virtual machine scale sets. | AuditIfNotExists; Invalide | 5.1.0-preview |
| [preview]: de extensie gastverklaring moet worden geïnstalleerd op ondersteunde Windows virtuele machines | Installeer de extensie Guest Attestation op ondersteunde virtuele machines zodat Azure Security Center proactief de opstartintegriteit kan bevestigen en bewaken. Zodra de opstartintegriteit is geïnstalleerd, wordt de opstartintegriteit getest via Remote Attestation. Deze evaluatie is van toepassing op vertrouwde start en vertrouwelijke Windows virtuele machines. | AuditIfNotExists; Invalide | 4.0.0-preview |
| [preview]: de gastverklaringsextensie moet worden geïnstalleerd op ondersteunde Windows virtuele-machineschaalsets | Installeer de gastattestextensie op ondersteunde virtuele-machineschaalsets, zodat Azure Security Center proactief de opstartintegriteit kan bevestigen en bewaken. Zodra de opstartintegriteit is geïnstalleerd, wordt de opstartintegriteit getest via Remote Attestation. Deze evaluatie is van toepassing op vertrouwde start en vertrouwelijke Windows virtuele-machineschaalsets. | AuditIfNotExists; Invalide | 3.1.0-preview |
| Guest Configuration-extensie moet zijn geïnstalleerd op uw computers | Installeer de extensie Gastconfiguratie om beveiligde configuraties van in-gastinstellingen van uw computer te garanderen. In-gastinstellingen die door de extensie worden bewaakt, omvatten de configuratie van het besturingssysteem, de toepassingsconfiguratie of aanwezigheids- en omgevingsinstellingen. Na de installatie zijn in-guest-beleidsregels beschikbaar, zoals 'Windows Exploit Guard moet zijn ingeschakeld'. Meer informatie vindt u op Understand Azure Machine Configuration. | AuditIfNotExists; Invalide | 1.0.3 |
| Linux-machines moeten voldoen aan de vereisten voor de Azure rekenbeveiligingsbasislijn | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar Onderstand Azure Machine Configuration voor meer informatie. Machines zijn niet-compatibel als de machine niet correct is geconfigureerd voor een van de aanbevelingen in de Azure rekenbeveiligingsbasislijn. | AuditIfNotExists; Invalide | 2.3.0 |
| [preview]: Linux-virtual machines mag alleen ondertekende en vertrouwde opstartonderdelen gebruiken | Alle opstartonderdelen van het besturingssysteem (opstartlaadprogramma, kernel, kernelstuurprogramma's) moeten worden ondertekend door vertrouwde uitgevers. Defender voor Cloud heeft niet-vertrouwde opstartonderdelen van het besturingssysteem geïdentificeerd op een of meer van uw Linux-machines. Als u uw computers wilt beschermen tegen mogelijk schadelijke onderdelen, voegt u deze toe aan uw acceptatielijst of verwijdert u de geïdentificeerde onderdelen. | AuditIfNotExists; Invalide | 1.0.0-preview |
| [preview]: Beveiligd opstarten moet zijn ingeschakeld op ondersteunde Windows virtuele machines | Schakel Beveiligd opstarten in op ondersteunde Windows virtuele machines om schadelijke en niet-geautoriseerde wijzigingen in de opstartketen te beperken. Als dit is ingeschakeld, mogen alleen vertrouwde bootloaders, kernel- en kernelstuurprogramma's worden uitgevoerd. Deze evaluatie is van toepassing op vertrouwde start en vertrouwelijke Windows virtuele machines. | Audit; Invalide | 4.0.0-preview |
| Voor virtuele machine moet TrustedLaunch zijn ingeschakeld | Schakel TrustedLaunch in op de virtuele machine voor verbeterde beveiliging, gebruik de VM SKU (Gen 2) die TrustedLaunch ondersteunt. Ga naar /azure/virtual-machines/trusted-launch voor meer informatie over TrustedLaunch | Audit; Invalide | 1.0.0 |
| de gastconfiguratie-extensie van Virtual machines moet worden geïmplementeerd met door het systeem toegewezen beheerde identiteit | De gastconfiguratie-extensie vereist een door het systeem toegewezen beheerde identiteit. Azure virtuele machines binnen het bereik van dit beleid niet compatibel zijn wanneer de extensie Gastconfiguratie is geïnstalleerd, maar geen door het systeem toegewezen beheerde identiteit heeft. Meer informatie vindt u op Onderstand Azure Machine Configuration | AuditIfNotExists; Invalide | 1.0.1 |
| [preview]: vTPM moet zijn ingeschakeld op ondersteunde virtual machines | Schakel het virtuele TPM-apparaat in op ondersteunde virtual machines om gemeten opstart- en andere besturingssysteembeveiligingsfuncties te vergemakkelijken waarvoor een TPM is vereist. Zodra vTPM is ingeschakeld, kan vTPM worden gebruikt om de opstartintegriteit te bevestigen. Deze evaluatie is alleen van toepassing op vertrouwde start ingeschakeld virtual machines. | Audit; Invalide | 2.0.0-preview |
| Windows-computers moeten Windows Defender configureren om beveiligingshandtekeningen binnen één dag bij te werken | Om voldoende bescherming te bieden tegen nieuw uitgebrachte malware, moeten Windows Defender beveiligingshandtekeningen regelmatig worden bijgewerkt om rekening te houden met nieuw uitgebrachte malware. Dit beleid wordt niet toegepast op servers die zijn verbonden met Arc en vereist dat de vereisten voor gastconfiguratie zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpol voor meer informatie over gastconfiguratie. | AuditIfNotExists; Invalide | 1.0.1 |
| Windows-computers moeten Realtime-beveiliging van Windows Defender inschakelen | Windows machines moeten de realtime-beveiliging in de Windows Defender inschakelen om voldoende bescherming te bieden tegen nieuw uitgebrachte malware. Dit beleid is niet van toepassing op verbonden arc-servers en vereist dat de vereisten voor gastconfiguratie zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpol voor meer informatie over gastconfiguratie. | AuditIfNotExists; Invalide | 1.0.1 |
| Windows machines moeten voldoen aan de vereisten voor 'Beheersjablonen - Configuratiescherm' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beheersjablonen - Configuratiescherm voor persoonlijke invoer en preventie van het inschakelen van vergrendelingsschermen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beheersjablonen - MSS (verouderd)' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beheersjablonen - MSS (verouderd) voor automatische aanmelding, schermbeveiliging, netwerkgedrag, veilig DLL- en gebeurtenislogboek. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beheersjablonen - Netwerk' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beheersjablonen - Netwerk voor gastaanmeldingen, gelijktijdige verbindingen, netwerkbrug, ICS en multicast-naamomzetting. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beheersjablonen - Systeem' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beheersjablonen - Systeem voor instellingen die de beheerervaring en Hulp op afstand beheren. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Beveiligingsopties - Accounts' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Accounts voor het beperken van het gebruik van lege wachtwoorden en de status van het gastaccount. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-machines moeten voldoen aan vereisten voor 'Beveiligingsopties - Controle' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Controle voor het afdwingen van subcategorie controlebeleid en afsluiten als er geen beveiligingscontroles kunnen worden vastgelegd. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beveiligingsopties - Apparaten' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Apparaten voor het loskoppelen zonder zich aan te melden, printerstuurprogramma's te installeren en media op te maken/uit te werpen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Beveiligingsopties - Interactieve aanmelding' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Interactieve aanmelding voor het weergeven van de achternaam en het vereisen van Ctrl-alt-del. Dit beleid vereist dat de vereisten voor gastconfiguratie zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beveiligingsopties - Microsoft netwerkclient' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Microsoft netwerkclient voor Microsoft netwerkclient/-server en SMB v1. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Beveiligingsopties - Microsoft-netwerkserver' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Beveiligingsopties - Microsoft netwerkserver' voor het uitschakelen van SMB v1-server. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Beveiligingsopties - Netwerktoegang' | Windows computers moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Beveiligingsopties - netwerktoegang' voor inclusief toegang voor anonieme gebruikers, lokale accounts en externe toegang tot het register. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Beveiligingsopties - Netwerkbeveiliging' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Beveiligingsopties - Netwerkbeveiliging' voor het opnemen van lokaal systeemgedrag, PKU2U, LAN Manager, LDAP-client en NTLM SSP. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Beveiligingsopties - Herstelconsole' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Herstelconsole voor het toestaan van diskettekopie en toegang tot alle stations en mappen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beveiligingsopties - Afsluiten' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Afsluiten voor het toestaan van afsluiten zonder aanmelding en het wissen van het wisselbestand voor virtueel geheugen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beveiligingsopties - Systeemobjecten' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Systeemobjecten voor niet-Windows subsystemen en machtigingen van interne systeemobjecten. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Beveiligingsopties - Systeeminstellingen' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Systeeminstellingen voor certificaatregels voor uitvoerbare bestanden voor SRP en optionele subsystemen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Beveiligingsopties - Gebruikersaccountbeheer' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsopties - Gebruikersaccountbeheer voor de modus voor beheerders, gedrag van vragen om benodigde bevoegdheden en het virtualiseren van schrijffouten in bestanden en registers. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Beveiligingsinstellingen - Accountbeleid' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Beveiligingsinstellingen - Accountbeleid voor wachtwoordgeschiedenis, leeftijd, lengte, complexiteit en het opslaan van wachtwoorden met omkeerbare versleuteling. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-machines moeten voldoen aan de vereisten voor 'Systeemcontrolebeleid - Accountaanmelding' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Accountaanmelding voor het controleren van referentievalidatie en andere accountaanmeldingsgebeurtenissen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-machines moeten voldoen aan vereisten voor 'Systeemcontrolebeleid - Accountbeheer' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Accountbeheer voor het controleren van toepassings-, beveiligings- en gebruikersgroepbeheer en andere beheergebeurtenissen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Systeemcontrolebeleid - Uitvoerige tracering' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Gedetailleerd bijhouden voor het controleren van DPAPI, proces maken/beëindigen, RPC-gebeurtenissen en PNP-activiteit. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-machines moeten voldoen aan de vereisten voor systeemcontrolebeleid - Aanmelden-afmelden | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Aanmelden-Afmelden voor het controleren van IPSec, netwerkbeleid, claims, accountvergrendeling, groepslidmaatschap en aanmeldings-/afmeldingsgebeurtenissen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-machines moeten voldoen aan de vereisten voor Systeemcontrolebeleid - Objecttoegang | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Objecttoegang voor controlebestand, register, SAM, opslag, filteren, kernel en andere systeemtypen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Systeemcontrolebeleid - Beleidswijziging' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Beleidswijziging voor het controleren van wijzigingen in systeemcontrolebeleid. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Systeemcontrolebeleid - Gebruik van bevoegdheden' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Privilege Use voor het controleren van niet-gevoelige en andere bevoegdheden. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor 'Systeemcontrolebeleid - Systeem' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie Systeemcontrolebeleid - Systeem voor het controleren van IPsec-stuurprogramma, systeemintegriteit, systeemextensie, statuswijziging en andere systeemgebeurtenissen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan de vereisten voor 'Toewijzing van gebruikersrechten' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Toewijzing van gebruikersrechten' voor het toestaan van lokaal aanmelden, RDP, toegang vanaf het netwerk en vele andere gebruikersactiviteiten. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten voor Windows Onderdelen | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Windows Onderdelen' voor basisverificatie, niet-versleuteld verkeer, Microsoft accounts, telemetrie, Cortana en andere Windows gedrag. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows-computers moeten voldoen aan vereisten voor 'Eigenschappen van Windows Firewall' | Windows machines moeten beschikken over de opgegeven groepsbeleidsinstellingen in de categorie 'Windows Firewalleigenschappen' voor firewallstatus, verbindingen, regelbeheer en meldingen. Dit beleid vereist dat de Gastconfiguratie-vereisten zijn geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar https://aka.ms/gcpolvoor meer informatie. | AuditIfNotExists; Invalide | 3.0.0 |
| Windows machines moeten voldoen aan de vereisten van de Azure basislijn voor rekenbeveiliging | Hiertoe moeten vereiste onderdelen worden geïmplementeerd in het bereik van de beleidstoewijzing. Ga naar Onderstand Azure Machine Configuration voor meer informatie. Machines zijn niet-compatibel als de machine niet correct is geconfigureerd voor een van de aanbevelingen in de Azure rekenbeveiligingsbasislijn. | AuditIfNotExists; Invalide | 2.1.0 |
PV-5: Evaluaties van beveiligingsproblemen uitvoeren
Zie Postuur- en beveiligingsproblemenbeheer: PV-5: Evaluaties van beveiligingsproblemen uitvoeren voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| A-oplossing voor evaluatie van beveiligingsproblemen moet zijn ingeschakeld op uw virtual machines | Controleert virtual machines of er een ondersteunde oplossing voor evaluatie van beveiligingsproblemen wordt uitgevoerd. Een kernonderdeel van elk cyberrisico en beveiligingsprogramma is het identificeren en analyseren van beveiligingsproblemen. de standaardprijscategorie van Azure Security Center omvat het scannen op beveiligingsproblemen voor uw virtuele machines zonder extra kosten. Daarnaast kan dit hulpprogramma automatisch worden geïmplementeerd. | AuditIfNotExists; Invalide | 3.0.0 |
| Machines moeten geheime bevindingen hebben opgelost | Controleert virtual machines of ze geheime bevindingen van de geheime scanoplossingen op uw virtual machines bevatten. | AuditIfNotExists; Invalide | 1.0.2 |
| Vulnerability-evaluatie moet zijn ingeschakeld op SQL Managed Instance | Controleer elke SQL Managed Instance waarvoor geen terugkerende scans voor de evaluatie van beveiligingsproblemen zijn ingeschakeld. Met een evaluatie van beveiligingsproblemen kunt u potentiële beveiligingsproblemen van de database detecteren, bijhouden en herstellen. | AuditIfNotExists; Invalide | 1.0.1 |
| Beoordeling voorvulnerabiliteit moet zijn ingeschakeld op uw SQL-servers | Controleer Azure SQL servers waarop de evaluatie van beveiligingsproblemen niet juist is geconfigureerd. Met een evaluatie van beveiligingsproblemen kunt u potentiële beveiligingsproblemen van de database detecteren, bijhouden en herstellen. | AuditIfNotExists; Invalide | 3.0.0 |
| Evaluatie van beveiligingsproblemen moet zijn ingeschakeld voor uw Synapse-werkruimten | Detecteer, traceer en herstel potentiële beveiligingsproblemen door terugkerende SQL-evaluatie van beveiligingsproblemen te configureren in uw Synapse-werkruimten. | AuditIfNotExists; Invalide | 1.0.0 |
PV-6: Beveiligingsproblemen snel en automatisch herstellen
Zie Postuur- en beveiligingsproblemenbeheer: PV-6: Beveiligingsproblemen snel en automatisch herstellen voor meer informatie.
| Naam | Description | Effect(s) | Versie |
|---|---|---|---|
| Azure registercontainerinstallatiekopieën moeten beveiligingsproblemen hebben opgelost (mogelijk gemaakt door Microsoft Defender Vulnerability Management) | Evaluatie van beveiligingsproblemen van containerinstallatiekopieën scant uw register op bekende beveiligingsproblemen (CVE's) en biedt een gedetailleerd beveiligingsrapport voor elke installatiekopie. Het oplossen van kwetsbaarheden kan uw beveiligingspostuur aanzienlijk verbeteren, waarmee u ervoor zorgt dat afbeeldingen veilig kunnen worden gebruikt vóór de implementatie. | AuditIfNotExists; Invalide | 1.0.1 |
| Azure waarop containerinstallatiekopieën worden uitgevoerd, moeten beveiligingsproblemen zijn opgelost (mogelijk gemaakt door Microsoft Defender Vulnerability Management) | Evaluatie van beveiligingsproblemen van containerinstallatiekopieën scant uw register op bekende beveiligingsproblemen (CVE's) en biedt een gedetailleerd beveiligingsrapport voor elke installatiekopie. Deze aanbeveling biedt inzicht in kwetsbare installatiekopieën die momenteel worden uitgevoerd in uw Kubernetes-clusters. Het oplossen van beveiligingsproblemen in containerinstallatiekopieën die momenteel worden uitgevoerd, is essentieel voor het verbeteren van uw beveiligingspostuur, waardoor de aanval surface voor uw in containers geplaatste workloads aanzienlijk wordt verminderd. | AuditIfNotExists; Invalide | 1.0.1 |
| Voor rolinstanties van Cloud Services (uitgebreide ondersteuning) moeten systeemupdates zijn geïnstalleerd | Beveilig uw rolinstanties voor Cloud Services (uitgebreide ondersteuning) door ervoor te zorgen dat de meest recente beveiligings- en essentiële updates erop zijn geïnstalleerd. | AuditIfNotExists; Invalide | 1.0.0 |
| Hotpatch moet zijn ingeschakeld voor Windows Server Azure Edition-VM's | Minimaliseer opnieuw opstarten en installeer updates snel met hotpatch. Meer informatie op /azure/automanage/automanage-hotpatch | Audit; Ontkennen; Invalide | 1.0.0 |
| Kubernetes-services moeten worden geüpgraded naar een niet-kwetsbare Kubernetes-versie | Voer een upgrade van uw Kubernetes-servicecluster uit naar een nieuwere Kubernetes-versie om het cluster te beschermen tegen bekende beveiligingsproblemen in de huidige Kubernetes-versie. Beveiligingsprobleem CVE-2019-9946 is opgelost in Kubernetes-versies 1.11.9+, 1.12.7+, 1.13.5+ en 1.14.0+ | Audit; Invalide | 1.0.2 |
| Machines moeten worden geconfigureerd om periodiek te controleren op ontbrekende systeemupdates | Om ervoor te zorgen dat periodieke evaluaties voor ontbrekende systeemupdates elke 24 uur automatisch worden geactiveerd, moet de eigenschap AssessmentMode worden ingesteld op 'AutomaticByPlatform'. Meer informatie over de eigenschap AssessmentMode voor Windows: Windows patchevaluatiemodus voor Linux: Linux-patchevaluatiemodus. | Audit; Ontkennen; Invalide | 3.9.0 |
| SQL-databases moeten vinden dat beveiligingsproblemen zijn opgelost | Scanresultaten en aanbevelingen voor evaluatie van beveiligingsproblemen bewaken voor het oplossen van beveiligingsproblemen in databases. | AuditIfNotExists; Invalide | 4.1.0 |
| SQL-servers op computers moeten problemen oplossen | Sql-evaluatie van beveiligingsproblemen scant uw database op beveiligingsproblemen en maakt eventuele afwijkingen van best practices beschikbaar, zoals onjuiste configuraties, overmatige machtigingen en onbeveiligde gevoelige gegevens. Het verhelpen van de gevonden kwetsbaarheden en problemen kan de status van uw databasebeveiliging aanzienlijk verbeteren. | AuditIfNotExists; Invalide | 1.0.0 |
| Systeemupdates moeten worden geïnstalleerd op uw computers (mogelijk gemaakt door Update Center) | Op uw machines ontbreken systeem, beveiligings- en essentiële updates. Software-updates bevatten vaak essentiële patches voor beveiligingslekken. Dergelijke lekken worden vaak misbruikt in malware-aanvallen, zodat het essentieel is om uw software bijgewerkt te worden. Als u alle openstaande patches wilt installeren en uw computers wilt beveiligen, volgt u de herstelstappen. | AuditIfNotExists; Invalide | 1.0.1 |
Volgende stappen
- Raadpleeg de Microsoft cloudbeveiligingsbenchmark voor meer informatie over controledetails.
- Zie de toewijzing van MCSB v2 naar CIS-besturingselementen voor een geconsolideerde weergave van CIS Controls v8.1-toewijzingen
- Beleidsregels toewijzen via de Azure-portal
- Meer informatie over Azure Policy