Punkt odniesienia zabezpieczeń platformy Azure dla usługi Container Registry

Ten punkt odniesienia zabezpieczeń stosuje wskazówki z testu porównawczego zabezpieczeń w chmurze firmy Microsoft w wersji 1.0 do usługi Container Registry. Test porównawczy zabezpieczeń w chmurze firmy Microsoft zawiera zalecenia dotyczące sposobu zabezpieczania rozwiązań w chmurze na platformie Azure. Zawartość jest pogrupowana przez mechanizmy kontroli zabezpieczeń zdefiniowane przez test porównawczy zabezpieczeń w chmurze firmy Microsoft i powiązane wskazówki dotyczące usługi Container Registry.

Ten punkt odniesienia zabezpieczeń i jego zalecenia można monitorować przy użyciu Microsoft Defender dla Chmury. Definicje usługi Azure Policy zostaną wyświetlone w sekcji Zgodność z przepisami na stronie portalu Microsoft Defender dla Chmury.

Jeśli funkcja ma odpowiednie definicje usługi Azure Policy, są one wymienione w tym punkcie odniesienia, aby ułatwić mierzenie zgodności z mechanizmami kontroli i rekomendacji testów porównawczych zabezpieczeń w chmurze firmy Microsoft. Niektóre zalecenia mogą wymagać płatnego planu usługi Microsoft Defender w celu włączenia niektórych scenariuszy zabezpieczeń.

Profil zabezpieczeń

Profil zabezpieczeń zawiera podsumowanie zachowań o dużym wpływie na usługę Container Registry, co może spowodować zwiększenie zagadnień dotyczących zabezpieczeń.

Bezpieczeństwo sieci

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: zabezpieczenia sieci.

NS-1: Ustanawianie granic segmentacji sieci

Funkcje

Integracja sieci wirtualnej

Opis: Usługa obsługuje wdrażanie w prywatnej sieci wirtualnej klienta. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Obsługa sieciowej grupy zabezpieczeń

Opis: Ruch sieciowy usługi uwzględnia przypisanie reguł grup zabezpieczeń sieciowych w odniesieniu do swoich podsieci. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

NS-2: Zabezpieczanie usług w chmurze za pomocą kontrolek sieci

Funkcje

Azure Private Link

Opis: Natywna funkcja filtrowania adresów IP usługi do filtrowania ruchu sieciowego (nie należy mylić z sieciową grupą zabezpieczeń lub usługą Azure Firewall). Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: Wdrażanie prywatnych punktów końcowych dla wszystkich zasobów platformy Azure obsługujących funkcję usługi Private Link w celu ustanowienia prywatnego punktu dostępu dla zasobów.

Dokumentacja: nawiązywanie prywatnego połączenia z rejestrem kontenerów platformy Azure przy użyciu usługi Azure Private Link

Wyłączanie dostępu do sieci publicznej

Opis: Usługa obsługuje wyłączanie dostępu do sieci publicznej za pomocą reguły filtrowania listy ACL adresów IP na poziomie usługi (nie sieciowej grupy zabezpieczeń lub usługi Azure Firewall) lub przy użyciu przełącznika "Wyłącz dostęp do sieci publicznej". Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: Wyłącz dostęp do sieci publicznej przy użyciu reguły filtrowania listy ACL adresów IP na poziomie usługi lub przez włączenie ustawienia "Wyłącz dostęp do sieci publicznej" w usłudze.

Dokumentacja: Wyłączanie dostępu do sieci publicznej

Monitorowanie Microsoft Defender for Cloud

Wbudowane definicje usługi Azure Policy — Microsoft.ContainerRegistry:

Zarządzanie tożsamościami

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: Zarządzanie tożsamościami.

IM-1: Użyj scentralizowanego systemu tożsamości i uwierzytelniania

Funkcje

Uwierzytelnianie Azure AD wymagane, aby uzyskać dostęp do płaszczyzny danych

Opis: Usługa obsługuje korzystanie z uwierzytelniania usługi Azure AD na potrzeby dostępu do płaszczyzny danych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Uwierzytelnianie za pomocą rejestru kontenerów platformy Azure

Lokalne metody uwierzytelniania na potrzeby dostępu do płaszczyzny danych

Opis: Metody uwierzytelniania lokalnego obsługiwane na potrzeby dostępu do płaszczyzny danych, takie jak lokalna nazwa użytkownika i hasło. Dowiedz się więcej.

Uwagi dotyczące funkcji: unikaj używania lokalnych metod uwierzytelniania lub kont. Powinny one być wyłączone wszędzie tam, gdzie to możliwe. Zamiast tego użyj usługi Azure AD, aby uwierzytelnić się tam, gdzie to możliwe.

Wskazówki dotyczące konfiguracji: ograniczanie używania lokalnych metod uwierzytelniania na potrzeby dostępu do płaszczyzny danych. Zamiast tego użyj usługi Azure Active Directory (Azure AD) jako domyślnej metody uwierzytelniania, aby kontrolować dostęp do płaszczyzny danych.

Odwołanie: Tworzenie tokenu z uprawnieniami ograniczonymi do repozytorium

IM-3: Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji

Funkcje

Zarządzane tożsamości

Opis: Akcje płaszczyzny danych obsługują uwierzytelnianie przy użyciu tożsamości zarządzanych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: używaj zarządzanych tożsamości platformy Azure zamiast pryncypałów usługowych, jeśli to możliwe. Dzięki temu można uwierzytelniać się w usługach i zasobach platformy Azure, które obsługują uwierzytelnianie usługi Azure Active Directory (Azure AD). Poświadczenia tożsamości zarządzanej są w pełni zarządzane, obracane i chronione przez platformę, co pozwala uniknąć zakodowanych poświadczeń w kodzie źródłowym lub plikach konfiguracji.

Dokumentacja: Używanie tożsamości zarządzanej platformy Azure do uwierzytelniania w rejestrze kontenerów platformy Azure

Główne jednostki usługi

Opis: Płaszczyzna danych obsługuje uwierzytelnianie przy użyciu zasad usługi. Dowiedz się więcej.

Dodatkowe wskazówki: Chociaż główne zasady usługi są wspierane przez usługę jako wzorzec uwierzytelniania, zalecamy użycie Zarządzanych Tożsamości, jeśli to możliwe.

Dokumentacja: uwierzytelnianie usługi Azure Container Registry za pomocą jednostek usługi

IM-7: Ograniczanie dostępu do zasobów na podstawie warunków

Funkcje

Dostęp warunkowy dla płaszczyzny danych

Opis: Dostęp do płaszczyzny danych można kontrolować przy użyciu zasad dostępu warunkowego usługi Azure AD. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Dostęp uprzywilejowany

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: dostęp uprzywilejowany.

PA-1: Oddzielanie i ograniczanie wysoce uprzywilejowanych/administracyjnych użytkowników

Funkcje

Konta administratora lokalnego

Opis: Usługa ma pojęcie lokalnego konta administracyjnego. Dowiedz się więcej.

Uwagi dotyczące funkcji: unikaj używania lokalnych metod uwierzytelniania lub kont. Powinny one być wyłączone wszędzie tam, gdzie to możliwe. Zamiast tego użyj usługi Azure AD, aby uwierzytelnić się tam, gdzie to możliwe.

Wskazówki dotyczące konfiguracji: jeśli nie jest to wymagane w przypadku rutynowych operacji administracyjnych, wyłącz lub ogranicz wszystkie konta administratora lokalnego tylko do użytku awaryjnego. Każdy rejestr kontenerów zawiera konto administratora, które jest domyślnie wyłączone.

Dokumentacja: Uwierzytelnianie za pomocą rejestru kontenerów platformy Azure

PA-7: przestrzeganie zasady minimalnego wystarczającego zakresu administracji (zasada najniższych uprawnień)

Funkcje

Kontrola dostępu oparta na rolach platformy Azure dla warstwy danych

Opis: Kontrola dostępu oparta na rolach platformy Azure (Azure RBAC) może służyć do zarządzania dostępem do akcji płaszczyzny danych usługi. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Role i uprawnienia usługi Azure Container Registry

PA-8: Określanie procesu dostępu do obsługi dostawcy usług w chmurze

Funkcje

Skrytka klienta

Opis: Skrytka klienta może służyć do uzyskiwania dostępu do pomocy technicznej firmy Microsoft. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: w scenariuszach pomocy technicznej, w których firma Microsoft musi uzyskać dostęp do Twoich danych, użyj Customer Lockbox do przeglądania i zatwierdzania lub odrzucania żądań dostępu do danych firmy Microsoft.

Dokumentacja: Skrytka klienta dla platformy Microsoft Azure

Ochrona danych

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: ochrona danych.

DP-1: Odnajdywanie, klasyfikowanie i etykietowanie poufnych danych

Funkcje

Odnajdywanie i klasyfikacja poufnych danych

Opis: Narzędzia (takie jak Azure Purview lub Azure Information Protection) mogą służyć do odnajdywania i klasyfikacji danych w usłudze. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Monitorowanie anomalii i zagrożeń dotyczących poufnych danych

Funkcje

Wyciek danych/zapobieganie utracie danych

Opis: Usługa obsługuje rozwiązanie DLP do śledzenia ruchu poufnych danych (w zawartości klienta). Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: Wyłącz eksporty rejestru kontenerów, aby upewnić się, że dostęp do danych jest uzyskiwany wyłącznie za pośrednictwem płaszczyzny danych ('docker pull'). Dzięki temu dane nie mogą zostać przeniesione z rejestru za pośrednictwem polecenia "acr import" lub "acr transfer".

Dokumentacja: Rejestry kontenerów powinny mieć wyłączone eksporty

DP-3: Szyfrowanie poufnych danych podczas przesyłania

Funkcje

Szyfrowanie danych przesyłanych

Opis: Usługa obsługuje szyfrowanie podczas przesyłania danych dla płaszczyzny transmisji danych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Jak włączyć protokół TLS 1.2 w usłudze Azure Container Registry

DP-4: Domyślnie włącz szyfrowanie danych magazynowanych

Funkcje

Szyfrowanie danych magazynowanych przy użyciu kluczy platformy

Opis: Szyfrowanie danych w spoczynku przy użyciu kluczy platformy jest obsługiwane; wszelkie dane klientów w spoczynku są szyfrowane tymi kluczami zarządzanymi przez Microsoft. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Szyfrowanie rejestru przy użyciu klucza zarządzanego przez platformę

DP-5: Użyj opcji klucza zarządzanego przez klienta w przypadku szyfrowania danych w spoczynku, gdy jest to wymagane

Funkcje

Szyfrowanie danych magazynowanych przy użyciu klucza zarządzanego przez klienta (CMK)

Opis: Szyfrowanie danych w spoczynku przy użyciu kluczy zarządzanych przez klienta jest obsługiwane w przypadku danych klienta przechowywanych przez usługę. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: W razie potrzeby zgodności z przepisami zdefiniuj przypadek użycia i zakres usługi, w którym wymagane jest szyfrowanie przy użyciu kluczy zarządzanych przez klienta. Włącz i zaimplementuj szyfrowanie danych magazynowanych przy użyciu klucza zarządzanego przez klienta dla tych usług.

Dokumentacja: Szyfrowanie rejestru przy użyciu klucza zarządzanego przez klienta

Monitorowanie Microsoft Defender for Cloud

Wbudowane definicje usługi Azure Policy — Microsoft.ContainerRegistry:

DP-6: Używanie bezpiecznego procesu zarządzania kluczami

Funkcje

Zarządzanie kluczami w usłudze Azure Key Vault

Opis: Usługa obsługuje integrację usługi Azure Key Vault z dowolnymi kluczami klienta, wpisami tajnymi lub certyfikatami. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Zarządzanie zasobami

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: zarządzanie zasobami.

AM-2: Używanie tylko zatwierdzonych usług

Funkcje

Obsługa usługi Azure Policy

Opis: Konfiguracje usług można monitorować i wymuszać za pośrednictwem usługi Azure Policy. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: użyj Microsoft Defender dla Chmury, aby skonfigurować usługę Azure Policy do inspekcji i wymuszania konfiguracji zasobów platformy Azure. Użyj usługi Azure Monitor, aby utworzyć alerty w przypadku wykrycia odchylenia konfiguracji dla zasobów. Użyj efektów Azure Policy [deny] i [deploy if not exists], aby wymusić bezpieczną konfigurację zasobów platformy Azure.

Dokumentacja: Inspekcja zgodności rejestrów kontenerów platformy Azure przy użyciu usługi Azure Policy

Rejestrowanie i wykrywanie zagrożeń

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: rejestrowanie i wykrywanie zagrożeń.

LT-1: Włączanie możliwości wykrywania zagrożeń

Funkcje

Microsoft Defender dla usług/oferty produktów

Opis: Usługa oferuje rozwiązanie usługi Microsoft Defender do monitorowania i zgłaszania alertów dotyczących problemów z zabezpieczeniami. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: skorzystaj z wbudowanej funkcji wykrywania zagrożeń Microsoft Defender dla Chmury i włącz usługę Microsoft Defender dla zasobów usługi Container Registry. Usługa Microsoft Defender for Container Registry zapewnia kolejną warstwę analizy zabezpieczeń. Wykrywa nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do zasobów usługi Container Registry lub wykorzystania ich.

Dokumentacja: Omówienie usługi Microsoft Defender for Containers

LT-4: Włącz rejestrowanie na potrzeby dochodzenia bezpieczeństwa

Funkcje

Dzienniki zasobów platformy Azure

Opis: Usługa tworzy dzienniki zasobów, które mogą zapewnić ulepszone metryki i rejestrowanie specyficzne dla usługi. Klient może skonfigurować te dzienniki zasobów i wysłać je do własnego repozytorium danych, takiego jak konto magazynu lub obszar roboczy usługi Log Analytics. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: Włączanie dzienników zasobów platformy Azure dla usługi Container Registry. Możesz użyć Microsoft Defender dla chmury i Azure Policy, aby uruchomić zbieranie logów zasobów i danych logów. Te dzienniki mogą mieć kluczowe znaczenie dla badania zdarzeń zabezpieczeń i ćwiczeń kryminalistycznych.

Dokumentacja: Monitorowanie usługi Azure Container Registry

Tworzenie kopii zapasowych i odzyskiwanie

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: tworzenie kopii zapasowych i odzyskiwanie.

BR-1: Zapewnienie regularnych automatycznych kopii zapasowych

Funkcje

Azure Backup

Opis: Kopia zapasowa usługi może zostać utworzona przez usługę Azure Backup. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Możliwości natywnego tworzenia kopii zapasowej usługi

Opis: Usługa obsługuje własną natywną funkcję tworzenia kopii zapasowych (jeśli nie korzystasz z usługi Azure Backup). Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Następne kroki

• Zobacz omówienie testu porównawczego zabezpieczeń w chmurze firmy Microsoft
• Dowiedz się więcej o punktach odniesienia zabezpieczeń platformy Azure