Punkt odniesienia zabezpieczeń platformy Azure dla usługi HDInsight

Ten punkt odniesienia zabezpieczeń stosuje wskazówki z testu porównawczego zabezpieczeń w chmurze firmy Microsoft w wersji 1.0 do usługi HDInsight. Test porównawczy zabezpieczeń w chmurze firmy Microsoft zawiera zalecenia dotyczące sposobu zabezpieczania rozwiązań w chmurze na platformie Azure. Zawartość jest grupowana przez mechanizmy kontroli zabezpieczeń zdefiniowane przez test porównawczy zabezpieczeń w chmurze firmy Microsoft i powiązane wskazówki dotyczące usługi HDInsight.

Ten punkt odniesienia zabezpieczeń i jego zalecenia można monitorować przy użyciu Microsoft Defender dla Chmury. Definicje usługi Azure Policy zostaną wyświetlone w sekcji Zgodność z przepisami na stronie portalu Microsoft Defender dla Chmury.

Jeśli funkcja ma odpowiednie definicje usługi Azure Policy, są one wymienione w tym punkcie odniesienia, aby ułatwić mierzenie zgodności z mechanizmami kontroli i rekomendacji testów porównawczych zabezpieczeń w chmurze firmy Microsoft. Niektóre zalecenia mogą wymagać płatnego planu usługi Microsoft Defender w celu włączenia niektórych scenariuszy zabezpieczeń.

Profil zabezpieczeń

Profil zabezpieczeń zawiera podsumowanie zachowań o dużym wpływie na usługę HDInsight, co może spowodować zwiększenie zagadnień dotyczących zabezpieczeń.

Bezpieczeństwo sieci

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: zabezpieczenia sieci.

NS-1: Ustanawianie granic segmentacji sieci

Funkcje

Integracja sieci wirtualnej

Opis: Usługa obsługuje wdrażanie w prywatnej sieci wirtualnej klienta. Dowiedz się więcej.

Uwagi dotyczące funkcji: zabezpieczenia obwodowe w usłudze Azure HDInsight są osiągane za pośrednictwem sieci wirtualnych. Administrator przedsiębiorstwa może utworzyć klaster w sieci wirtualnej i użyć sieciowej grupy zabezpieczeń w celu ograniczenia dostępu do sieci wirtualnej.

Wskazówki dotyczące konfiguracji: wdrażanie usługi w sieci wirtualnej. Przypisz prywatne adresy IP do zasobu (jeśli ma to zastosowanie), chyba że istnieje silny powód, aby przypisać publiczne adresy IP bezpośrednio do zasobu.

Uwaga: Na podstawie aplikacji i strategii segmentacji przedsiębiorstwa, ograniczaj lub zezwalaj na ruch między zasobami wewnętrznymi zgodnie z regułami grupy zabezpieczeń sieciowych. W przypadku określonych, dobrze zdefiniowanych aplikacji, takich jak aplikacja trójwarstwowa, może to być domyślnie wysoce bezpieczna odmowa.

Dokumentacja: Planowanie sieci wirtualnej dla usługi Azure HDInsight

Obsługa sieciowej grupy zabezpieczeń

Opis: Ruch sieciowy usługi uwzględnia przypisanie reguł grup zabezpieczeń sieciowych w odniesieniu do swoich podsieci. Dowiedz się więcej.

Uwagi dotyczące funkcji: zabezpieczenia obwodowe w usłudze Azure HDInsight są osiągane za pośrednictwem sieci wirtualnych. Administrator przedsiębiorstwa może utworzyć klaster w sieci wirtualnej i użyć sieciowej grupy zabezpieczeń w celu ograniczenia dostępu do sieci wirtualnej. Tylko dozwolone adresy IP w regułach przychodzących grup zabezpieczeń sieciowych mogą komunikować się z klastrem usługi Azure HDInsight. Ta konfiguracja zapewnia zabezpieczenia obwodowe. Wszystkie klastry wdrożone w sieci wirtualnej będą również miały prywatny punkt końcowy. Punkt końcowy zostanie rozpoznany jako prywatny adres IP wewnątrz sieci wirtualnej. Zapewnia prywatny dostęp HTTP do bram klastra.

W oparciu o Twoje aplikacje i strategię segmentacji przedsiębiorstwa, ograniczaj lub zezwalaj na ruch między zasobami wewnętrznymi w oparciu o reguły sieciowej grupy zabezpieczeń (NSG). W przypadku określonych, dobrze zdefiniowanych aplikacji, takich jak aplikacja trójwarstwowa, może to być domyślnie wysoce bezpieczna odmowa.

Porty wymagane zazwyczaj we wszystkich typach klastrów:

22-23 — Dostęp SSH do zasobów klastra

443 — Ambari, WebHCat REST API, HiveServer ODBC i JDBC

Wskazówki dotyczące konfiguracji: Użyj sieciowych grup zabezpieczeń, aby ograniczyć lub monitorować ruch przez port, protokół, źródłowy adres IP lub docelowy adres IP. Utwórz reguły NSG (Network Security Group), aby ograniczyć dostęp do otwartych portów usługi (na przykład zapobiegając dostępowi do portów zarządzania z niezaufanych sieci). Należy być świadomym, że domyślnie NSG odrzucają cały ruch przychodzący, ale zezwalają na ruch sieci wirtualnej i usług Azure Load Balancer.

Dokumentacja: Kontrolowanie ruchu sieciowego w usłudze Azure HDInsight

NS-2: Zabezpieczanie usług w chmurze za pomocą kontrolek sieci

Funkcje

Azure Private Link

Opis: Natywna funkcja filtrowania adresów IP usługi do filtrowania ruchu sieciowego (nie należy mylić z sieciową grupą zabezpieczeń lub usługą Azure Firewall). Dowiedz się więcej.

Uwagi dotyczące funkcji: użyj usługi Azure Private Link, aby włączyć prywatny dostęp do usługi HDInsight z sieci wirtualnych bez przekraczania Internetu. Dostęp prywatny dodaje dodatkową warstwę ochrony do uwierzytelniania i zabezpieczeń ruchu na platformie Azure.

Wskazówki dotyczące konfiguracji: Wdrażanie prywatnych punktów końcowych dla wszystkich zasobów platformy Azure obsługujących funkcję usługi Private Link w celu ustanowienia prywatnego punktu dostępu dla zasobów.

Uwaga: użyj usługi Azure Private Link, aby włączyć prywatny dostęp do usługi HDInsight z sieci wirtualnych bez przekraczania Internetu. Dostęp prywatny dodaje środek ochrony warstwowej dla uwierzytelniania platformy Azure i zabezpieczeń ruchu.

Dokumentacja: Włączanie usługi Private Link w klastrze usługi HDInsight

Wyłączanie dostępu do sieci publicznej

Opis: Usługa obsługuje wyłączanie dostępu do sieci publicznej za pomocą reguły filtrowania listy ACL adresów IP na poziomie usługi (nie sieciowej grupy zabezpieczeń lub usługi Azure Firewall) lub przy użyciu przełącznika "Wyłącz dostęp do sieci publicznej". Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: Wyłącz dostęp do sieci publicznej przy użyciu reguły filtrowania listy ACL adresów IP na poziomie usługi lub przełącznika dostępu do sieci publicznej.

Dokumentacja: Ograniczanie łączności publicznej w usłudze Azure HDInsight

Zarządzanie tożsamościami

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: Zarządzanie tożsamościami.

IM-1: Użyj scentralizowanego systemu tożsamości i uwierzytelniania

Funkcje

Uwierzytelnianie Azure AD wymagane, aby uzyskać dostęp do płaszczyzny danych

Opis: Usługa obsługuje korzystanie z uwierzytelniania usługi Azure AD na potrzeby dostępu do płaszczyzny danych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: użyj usługi Azure Active Directory (Azure AD) jako domyślnej metody uwierzytelniania, aby kontrolować dostęp do płaszczyzny danych.

Dokumentacja: Omówienie zabezpieczeń przedsiębiorstwa w usłudze Azure HDInsight

Lokalne metody uwierzytelniania na potrzeby dostępu do płaszczyzny danych

Opis: Metody uwierzytelniania lokalnego obsługiwane na potrzeby dostępu do płaszczyzny danych, takie jak lokalna nazwa użytkownika i hasło. Dowiedz się więcej.

Uwagi dotyczące funkcji: po utworzeniu klastra usługi HDI dwa konta administratora lokalnego są tworzone na płaszczyźnie danych (Apache Ambari). Jeden odpowiadający użytkownikowi, dla którego poświadczenia są przekazywane przez twórcę klastra. Druga jest tworzona przez płaszczyznę sterowania HDI. Płaszczyzna sterowania HDI korzysta z tego konta do wywoływania płaszczyzny danych. Unikaj używania lokalnych metod uwierzytelniania lub kont. Powinny one być wyłączone wszędzie tam, gdzie to możliwe. Zamiast tego użyj usługi Azure AD, aby uwierzytelnić się tam, gdzie to możliwe.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

IM-3: Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji

Funkcje

Zarządzane tożsamości

Opis: Akcje płaszczyzny danych obsługują uwierzytelnianie przy użyciu tożsamości zarządzanych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Główne jednostki usługi

Opis: Płaszczyzna danych obsługuje uwierzytelnianie przy użyciu zasad usługi. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

IM-7: Ograniczanie dostępu do zasobów na podstawie warunków

Funkcje

Dostęp warunkowy dla płaszczyzny danych

Opis: Dostęp do płaszczyzny danych można kontrolować przy użyciu zasad dostępu warunkowego usługi Azure AD. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

IM-8: Ograniczanie ujawnienia poświadczeń i tajemnic

Funkcje

Obsługiwanie poświadczeń usługi i wpisów tajnych oraz integracji i przechowywania w Azure Key Vault

Opis: Płaszczyzna danych obsługuje natywne używanie usługi Azure Key Vault do składowania poświadczeń i tajemnic. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Dostęp uprzywilejowany

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: dostęp uprzywilejowany.

PA-1: Oddzielanie i ograniczanie wysoce uprzywilejowanych/administracyjnych użytkowników

Funkcje

Konta administratora lokalnego

Opis: Usługa ma pojęcie lokalnego konta administracyjnego. Dowiedz się więcej.

Uwagi dotyczące funkcji: po utworzeniu klastra usługi HDI dwa konta administratora lokalnego są tworzone na płaszczyźnie danych (Apache Ambari). Jeden odpowiadający użytkownikowi, dla którego poświadczenia są przekazywane przez twórcę klastra. Druga jest tworzona przez płaszczyznę sterowania HDI. Płaszczyzna sterowania HDI korzysta z tego konta do wywoływania płaszczyzny danych. Unikaj używania lokalnych metod uwierzytelniania lub kont. Powinny one być wyłączone wszędzie tam, gdzie to możliwe. Zamiast tego użyj usługi Azure AD, aby uwierzytelnić się tam, gdzie to możliwe.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

PA-7: przestrzeganie zasady minimalnego wystarczającego zakresu administracji (zasada najniższych uprawnień)

Funkcje

Kontrola dostępu oparta na rolach platformy Azure dla warstwy danych

Opis: Kontrola dostępu oparta na rolach platformy Azure (Azure RBAC) może służyć do zarządzania dostępem do akcji płaszczyzny danych usługi. Dowiedz się więcej.

Uwagi dotyczące funkcji: płaszczyzna danych obsługuje tylko role oparte na systemie Ambari. Szczegółowe ACL są zarządzane za pośrednictwem platformy Ranger.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

PA-8: Określanie procesu dostępu do obsługi dostawcy usług w chmurze

Funkcje

Skrytka klienta

Opis: Skrytka klienta może służyć do uzyskiwania dostępu do pomocy technicznej firmy Microsoft. Dowiedz się więcej.

Uwagi dotyczące funkcji: W scenariuszach pomocy technicznej, w których firma Microsoft musi uzyskać dostęp do danych klientów, usługa HDInsight wspiera Customer Lockbox. Udostępnia interfejs umożliwiający przeglądanie żądań dostępu do danych klientów i ich zatwierdzanie lub odrzucanie.

Wskazówki dotyczące konfiguracji: w scenariuszach pomocy technicznej, w których firma Microsoft musi uzyskać dostęp do Twoich danych, użyj Customer Lockbox do przeglądania i zatwierdzania lub odrzucania żądań dostępu do danych firmy Microsoft.

Dokumentacja: Skrytka klienta dla platformy Microsoft Azure

Ochrona danych

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: ochrona danych.

DP-1: Odnajdywanie, klasyfikowanie i etykietowanie poufnych danych

Funkcje

Odnajdywanie i klasyfikacja poufnych danych

Opis: Narzędzia (takie jak Azure Purview lub Azure Information Protection) mogą służyć do odnajdywania i klasyfikacji danych w usłudze. Dowiedz się więcej.

Uwagi dotyczące funkcji: użyj tagów dotyczących zasobów związanych z wdrożeniami usługi Azure HDInsight, aby ułatwić śledzenie zasobów platformy Azure, które przechowują lub przetwarzają poufne informacje. Klasyfikowanie i identyfikowanie poufnych danych przy użyciu usługi Microsoft Purview. Użyj usługi dla wszystkich danych przechowywanych w bazach danych SQL lub kontach usługi Azure Storage skojarzonych z klastrem usługi HDInsight.

W przypadku podstawowej platformy, którą zarządza firma Microsoft, firma Microsoft traktuje całą zawartość klienta jako wrażliwą. Firma Microsoft stara się chronić przed utratą i ekspozycją danych klientów. Aby zapewnić bezpieczeństwo danych klientów na platformie Azure, firma Microsoft zaimplementowała i utrzymuje zestaw niezawodnych mechanizmów kontroli i możliwości ochrony danych.

Wskazówki dotyczące konfiguracji: Użyj narzędzi, takich jak Azure Purview, Azure Information Protection i Azure SQL Data Discovery and Classification, aby centralnie skanować, klasyfikować i oznaczać wszelkie poufne dane, które znajdują się na platformie Azure, lokalnie, na platformie Microsoft 365 lub w innych lokalizacjach.

Dokumentacja: Ochrona danych klientów platformy Azure

Monitorowanie anomalii i zagrożeń dotyczących poufnych danych

Funkcje

Wyciek danych/zapobieganie utracie danych

Opis: Usługa obsługuje rozwiązanie DLP do śledzenia ruchu poufnych danych (w zawartości klienta). Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

DP-3: Szyfrowanie poufnych danych podczas przesyłania

Funkcje

Szyfrowanie danych przesyłanych

Opis: Usługa obsługuje szyfrowanie podczas przesyłania danych dla płaszczyzny transmisji danych. Dowiedz się więcej.

Uwagi dotyczące funkcji: usługa HDInsight obsługuje szyfrowanie danych podczas przesyłania przy użyciu protokołu TLS w wersji 1.2 lub nowszej. Szyfruj wszystkie poufne informacje podczas przesyłania. Upewnij się, że wszyscy klienci łączący się z klastrem usługi Azure HDInsight lub magazynami danych klastra (konta usługi Azure Storage lub usługa Azure Data Lake Storage Gen1/Gen2) mogą negocjować protokół TLS 1.2 lub nowszy. Zasoby platformy Microsoft Azure domyślnie będą negocjować protokół TLS 1.2.

Aby uzupełnić mechanizmy kontroli dostępu, należy chronić dane podczas przesyłania przed atakami typu "poza pasmem", takimi jak przechwytywanie ruchu. Użyj szyfrowania, aby upewnić się, że osoby atakujące nie mogą łatwo odczytać ani zmodyfikować danych.

W przypadku zdalnego zarządzania użyj protokołu SSH (dla systemu Linux) lub protokołu RDP/TLS (dla systemu Windows) zamiast niezaszyfrowanego protokołu. Przestarzałe protokoły SSL, TLS, SSH i słabe szyfry powinny być wyłączone.

Wskazówki dotyczące konfiguracji: Włącz bezpieczny transfer w usługach, w których wbudowana jest natywna funkcja szyfrowania danych w tranzycie. Wymuś protokół HTTPS w dowolnych aplikacjach internetowych i usługach i upewnij się, że jest używany protokół TLS w wersji 1.2 lub nowszej. Starsze wersje, takie jak SSL 3.0, tls v1.0 powinny być wyłączone. W przypadku zdalnego zarządzania maszynami wirtualnymi użyj protokołu SSH (dla systemu Linux) lub protokołu RDP/TLS (dla systemu Windows) zamiast niezaszyfrowanego protokołu.

Uwaga: usługa HDInsight obsługuje szyfrowanie danych podczas przesyłania przy użyciu protokołu TLS w wersji 1.2 lub nowszej. Szyfruj wszystkie poufne informacje podczas przesyłania. Upewnij się, że wszyscy klienci łączący się z klastrem usługi Azure HDInsight lub magazynami danych klastra (konta usługi Azure Storage lub usługa Azure Data Lake Storage Gen1/Gen2) mogą negocjować protokół TLS 1.2 lub nowszy. Zasoby platformy Microsoft Azure domyślnie będą negocjować protokół TLS 1.2.

Aby uzupełnić mechanizmy kontroli dostępu, należy chronić dane podczas przesyłania przed atakami typu "poza pasmem", takimi jak przechwytywanie ruchu. Użyj szyfrowania, aby upewnić się, że osoby atakujące nie mogą łatwo odczytać ani zmodyfikować danych.

W przypadku zdalnego zarządzania użyj protokołu SSH (dla systemu Linux) lub protokołu RDP/TLS (dla systemu Windows) zamiast niezaszyfrowanego protokołu. Przestarzałe protokoły SSL, TLS, SSH i słabe szyfry powinny być wyłączone.

Domyślnie platforma Azure zapewnia szyfrowanie danych przesyłanych między centrami danych platformy Azure.

DP-4: Domyślnie włącz szyfrowanie danych magazynowanych

Funkcje

Szyfrowanie danych magazynowanych przy użyciu kluczy platformy

Opis: Szyfrowanie danych w spoczynku przy użyciu kluczy platformy jest obsługiwane; wszelkie dane klientów w spoczynku są szyfrowane tymi kluczami zarządzanymi przez Microsoft. Dowiedz się więcej.

Uwagi dotyczące funkcji: jeśli używasz usługi Azure SQL Database do przechowywania metadanych apache Hive i Apache Oozie, upewnij się, że dane SQL zawsze pozostają zaszyfrowane. W przypadku kont usługi Azure Storage i usługi Data Lake Storage (Gen1 lub Gen2) zaleca się zezwolenie firmie Microsoft na zarządzanie kluczami szyfrowania, jednak można zarządzać własnymi kluczami.

Usługa HDInsight obsługuje wiele typów szyfrowania w dwóch różnych warstwach:

Szyfrowanie po stronie serwera (SSE) — funkcja SSE jest wykonywana przez usługę przechowywania. W usłudze HDInsight funkcja SSE służy do szyfrowania dysków systemu operacyjnego i dysków danych. Jest domyślnie włączony. SSE to usługa szyfrowania warstwy 1.

Szyfrowanie na hoście przy użyciu klucza zarządzanego przez platformę — podobnie jak w przypadku SSE, ten typ szyfrowania jest wykonywany przez usługę magazynu. Dotyczy to jednak tylko dysków tymczasowych i nie jest włączone domyślnie. Szyfrowanie na hoście jest również usługą szyfrowania warstwy 1.

Szyfrowanie danych w spoczynku przy użyciu klucza zarządzanego przez klienta — tego typu szyfrowanie może być używane na dyskach danych i dyskach tymczasowych. Nie jest ona domyślnie włączona i wymaga od klienta podania własnego klucza za pośrednictwem usługi Azure Key Vault. Szyfrowanie danych w spoczynku to usługa szyfrowania na poziomie warstwy 2.

Wskazówki dotyczące konfiguracji: Włączanie szyfrowania danych magazynowanych przy użyciu kluczy zarządzanych przez platformę (zarządzanych przez firmę Microsoft), które nie są automatycznie konfigurowane przez usługę.

Uwaga: Jeśli używasz usługi Azure SQL Database do przechowywania metadanych apache Hive i Apache Oozie, upewnij się, że dane SQL zawsze pozostają zaszyfrowane. W przypadku kont usługi Azure Storage i usługi Data Lake Storage (Gen1 lub Gen2) zaleca się zezwolenie firmie Microsoft na zarządzanie kluczami szyfrowania, jednak można zarządzać własnymi kluczami.

Usługa HDInsight obsługuje wiele typów szyfrowania w dwóch różnych warstwach:

Szyfrowanie po stronie serwera (SSE) — funkcja SSE jest wykonywana przez usługę magazynu. W usłudze HDInsight funkcja SSE służy do szyfrowania dysków systemu operacyjnego i dysków danych. Jest domyślnie włączony. SSE to usługa szyfrowania warstwy 1.

Szyfrowanie na hoście przy użyciu klucza zarządzanego przez platformę — podobnie jak w przypadku SSE, ten typ szyfrowania jest wykonywany przez usługę magazynu. Jednak dotyczy to tylko dysków tymczasowych i nie jest włączone domyślnie. Szyfrowanie na hoście jest również usługą szyfrowania warstwy 1.

Szyfrowanie danych w stanie spoczynku przy użyciu klucza zarządzanego przez klienta — ten typ szyfrowania można stosować na dyskach danych i dyskach tymczasowych. Nie jest ona domyślnie włączona i wymaga od klienta podania własnego klucza za pośrednictwem usługi Azure Key Vault. Szyfrowanie danych w stanie spoczynku to usługa szyfrowania warstwy 2.

Dokumentacja: Podwójne szyfrowanie danych magazynowanych w usłudze Azure HDInsight

DP-5: Użyj opcji klucza zarządzanego przez klienta w przypadku szyfrowania danych w spoczynku, gdy jest to wymagane

Funkcje

Szyfrowanie danych magazynowanych przy użyciu klucza zarządzanego przez klienta (CMK)

Opis: Szyfrowanie danych w spoczynku przy użyciu kluczy zarządzanych przez klienta jest obsługiwane w przypadku danych klienta przechowywanych przez usługę. Dowiedz się więcej.

Uwagi dotyczące funkcji: jeśli używasz usługi Azure SQL Database do przechowywania metadanych apache Hive i Apache Oozie, upewnij się, że dane SQL zawsze pozostają zaszyfrowane. W przypadku kont usługi Azure Storage i usługi Data Lake Storage (Gen1 lub Gen2) zaleca się zezwolenie firmie Microsoft na zarządzanie kluczami szyfrowania, jednak można zarządzać własnymi kluczami.

Usługa HDInsight obsługuje wiele typów szyfrowania w dwóch różnych warstwach:

Szyfrowanie po stronie serwera (SSE) — funkcja SSE jest wykonywana przez usługę magazynu. W usłudze HDInsight funkcja SSE służy do szyfrowania dysków systemu operacyjnego i dysków danych. Jest domyślnie włączony. SSE to usługa szyfrowania warstwy 1.

Szyfrowanie na hoście przy użyciu klucza zarządzanego przez platformę — podobnie jak w przypadku SSE, ten typ szyfrowania jest wykonywany przez usługę magazynu. Jednak dotyczy to jedynie dysków tymczasowych i nie jest domyślnie włączone. Szyfrowanie na hoście jest również usługą szyfrowania warstwy 1.

Szyfrowanie danych w spoczynku przy użyciu klucza zarządzanego przez klienta — tego typu szyfrowanie może być stosowane na dyskach danych oraz dyskach tymczasowych. Nie jest ona domyślnie włączona i wymaga od klienta podania własnego klucza za pośrednictwem usługi Azure Key Vault. Szyfrowanie danych w spoczynku to usługa szyfrowania warstwy 2.

Wskazówki dotyczące konfiguracji: W razie potrzeby zgodności z przepisami zdefiniuj przypadek użycia i zakres usługi, w którym wymagane jest szyfrowanie przy użyciu kluczy zarządzanych przez klienta. Włącz i zaimplementuj szyfrowanie danych magazynowanych przy użyciu klucza zarządzanego przez klienta dla tych usług.

Uwaga: Jeśli używasz usługi Azure SQL Database do przechowywania metadanych apache Hive i Apache Oozie, upewnij się, że dane SQL zawsze pozostają zaszyfrowane. W przypadku kont usługi Azure Storage i usługi Data Lake Storage (Gen1 lub Gen2) zaleca się zezwolenie firmie Microsoft na zarządzanie kluczami szyfrowania, jednak można zarządzać własnymi kluczami.

Usługa HDInsight obsługuje wiele typów szyfrowania w dwóch różnych warstwach:

Szyfrowanie po stronie serwera (SSE) — funkcja SSE jest wykonywana przez usługę magazynu. W usłudze HDInsight funkcja SSE służy do szyfrowania dysków systemu operacyjnego i dysków danych. Jest domyślnie włączony. SSE to usługa szyfrowania warstwy 1.

Szyfrowanie na hoście przy użyciu klucza zarządzanego przez platformę — podobnie jak w przypadku SSE, ten typ szyfrowania jest wykonywany przez usługę magazynu. Jednak dotyczy to jedynie dysków tymczasowych i nie jest domyślnie włączone. Szyfrowanie na hoście jest również usługą szyfrowania warstwy 1.

Szyfrowanie danych w spoczynku przy użyciu klucza zarządzanego przez klienta — tego typu szyfrowanie może być stosowane na dyskach danych oraz dyskach tymczasowych. Nie jest ona domyślnie włączona i wymaga od klienta podania własnego klucza za pośrednictwem usługi Azure Key Vault. Szyfrowanie danych w spoczynku to usługa szyfrowania warstwy 2.

Dokumentacja: Podwójne szyfrowanie danych magazynowanych w usłudze Azure HDInsight

DP-6: Używanie bezpiecznego procesu zarządzania kluczami

Funkcje

Zarządzanie kluczami w usłudze Azure Key Vault

Opis: Usługa obsługuje integrację usługi Azure Key Vault z dowolnymi kluczami klienta, wpisami tajnymi lub certyfikatami. Dowiedz się więcej.

Uwagi dotyczące funkcji: jeśli używasz usługi Azure SQL Database do przechowywania metadanych apache Hive i Apache Oozie, upewnij się, że dane SQL zawsze pozostają zaszyfrowane. W przypadku kont usługi Azure Storage i usługi Data Lake Storage (Gen1 lub Gen2) zaleca się zezwolenie firmie Microsoft na zarządzanie kluczami szyfrowania, jednak można zarządzać własnymi kluczami.

Usługa HDInsight obsługuje wiele typów szyfrowania w dwóch różnych warstwach:

Szyfrowanie po stronie serwera (SSE) — funkcja SSE jest wykonywana przez usługę magazynu. W usłudze HDInsight funkcja SSE służy do szyfrowania dysków systemu operacyjnego i dysków danych. Jest domyślnie włączony. SSE to usługa szyfrowania warstwy 1.

Szyfrowanie na hoście przy użyciu klucza zarządzanego przez platformę — podobnie jak w przypadku SSE, ten typ szyfrowania jest wykonywany przez usługę magazynu. Jednak dotyczy to jedynie dysków tymczasowych i nie jest domyślnie włączone. Szyfrowanie na hoście jest również usługą szyfrowania warstwy 1.

Szyfrowanie danych w spoczynku przy użyciu klucza zarządzanego przez klienta — tego typu szyfrowanie może być stosowane na dyskach danych oraz dyskach tymczasowych. Nie jest ona domyślnie włączona i wymaga od klienta podania własnego klucza za pośrednictwem usługi Azure Key Vault. Szyfrowanie danych w spoczynku to usługa szyfrowania warstwy 2.

Wskazówki dotyczące konfiguracji: Użyj usługi Azure Key Vault, aby utworzyć i kontrolować cykl życia kluczy szyfrowania, w tym generowanie kluczy, dystrybucję i magazyn. Zarządzanie rotacją i odwoływanie kluczy w Azure Key Vault oraz innych usługach na podstawie zdefiniowanego harmonogramu lub podczas wycofywania z użytku czy naruszenia klucza. Jeśli istnieje potrzeba użycia klucza zarządzanego przez klienta (CMK) na poziomie obciążenia, usługi lub aplikacji, upewnij się, że stosujesz najlepsze praktyki dotyczące zarządzania kluczami: skorzystaj z hierarchii kluczy, aby wygenerować oddzielny klucz szyfrowania danych (DEK) przy użyciu klucza szyfrowania kluczy (KEK) w magazynie kluczy. Upewnij się, że klucze są zarejestrowane w usłudze Azure Key Vault i przywoływane za pomocą identyfikatorów kluczy z usługi lub aplikacji. Jeśli musisz przenieść własny klucz (BYOK) do usługi (np. importowanie kluczy chronionych przez moduł HSM z lokalnych modułów HSM do usługi Azure Key Vault), postępuj zgodnie z zalecanymi wytycznymi, aby przeprowadzić początkowe generowanie kluczy i transfer kluczy.

Uwaga: jeśli używasz usługi Azure Key Vault we wdrożeniu usługi Azure HDInsight, okresowo testujesz przywracanie kopii zapasowych kluczy zarządzanych przez klienta.

Dokumentacja: Podwójne szyfrowanie danych magazynowanych w usłudze Azure HDInsight

DP-7: Używanie bezpiecznego procesu zarządzania certyfikatami

Funkcje

Zarządzanie certyfikatami w usłudze Azure Key Vault

Opis: Usługa obsługuje integrację usługi Azure Key Vault z dowolnymi certyfikatami klienta. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Podwójne szyfrowanie danych magazynowanych w usłudze Azure HDInsight

Zarządzanie zasobami

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: zarządzanie zasobami.

AM-2: Używanie tylko zatwierdzonych usług

Funkcje

Obsługa usługi Azure Policy

Opis: Konfiguracje usług można monitorować i wymuszać za pośrednictwem usługi Azure Policy. Dowiedz się więcej.

Uwagi dotyczące funkcji: użyj aliasów usługi Azure Policy w przestrzeni nazw "Microsoft.HDInsight", aby utworzyć zasady niestandardowe. Skonfiguruj zasady, aby przeprowadzać inspekcję lub wymuszać konfigurację sieci klastra usługi HDInsight.

Jeśli masz subskrypcję platformy Rapid7, Qualys lub dowolną inną subskrypcję platformy zarządzanie lukami w zabezpieczeniach, masz opcje. Możesz użyć akcji skryptu, aby zainstalować agentów oceny luk w zabezpieczeniach w węzłach klastra usługi Azure HDInsight i zarządzać węzłami za pośrednictwem odpowiedniego portalu.

Korzystając z usługi Azure HDInsight ESP, możesz użyć platformy Apache Ranger do tworzenia szczegółowej kontroli dostępu i zaciemniania danych oraz zarządzania nimi. Możesz to zrobić dla danych przechowywanych w: plikach, folderach, bazach danych, tabelach, wierszach, kolumnach.

Administrator usługi Hadoop może skonfigurować Azure RBAC w celu zabezpieczenia Apache Hive, HBase, Kafka i Spark przy użyciu tych wtyczek w Apache Ranger.

Wskazówki dotyczące konfiguracji: użyj Microsoft Defender dla Chmury, aby skonfigurować usługę Azure Policy do inspekcji i wymuszania konfiguracji zasobów platformy Azure. Użyj usługi Azure Monitor, aby utworzyć alerty w przypadku wykrycia odchylenia konfiguracji dla zasobów. Użyj efektów Azure Policy [deny] i [deploy if not exists], aby wymusić bezpieczną konfigurację zasobów platformy Azure.

Dokumentacja: wbudowane definicje usługi Azure Policy dla usługi Azure HDInsight

AM-5: Używaj tylko zatwierdzonych aplikacji na maszynie wirtualnej

Funkcje

Microsoft Defender dla Chmury — adaptacyjne kontrolki aplikacji

Opis: Usługa może ograniczyć możliwości uruchamiania aplikacji klienckich na maszynie wirtualnej przy użyciu funkcji adaptacyjnego sterowania aplikacjami w Microsoft Defender dla Chmury. Dowiedz się więcej.

Uwagi dotyczące funkcji: usługa Azure HDInsight nie obsługuje natywnie usługi Defender, ale korzysta z programu ClamAV. Ponadto w przypadku korzystania z usługi ESP dla usługi HDInsight można użyć niektórych wbudowanych funkcji wykrywania zagrożeń Microsoft Defender dla Chmury. Możesz również włączyć usługę Microsoft Defender dla maszyn wirtualnych skojarzonych z usługą HDInsight.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Rejestrowanie i wykrywanie zagrożeń

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: rejestrowanie i wykrywanie zagrożeń.

LT-1: Włączanie możliwości wykrywania zagrożeń

Funkcje

Microsoft Defender dla usług/oferty produktów

Opis: Usługa oferuje rozwiązanie usługi Microsoft Defender do monitorowania i zgłaszania alertów dotyczących problemów z zabezpieczeniami. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

LT-4: Włącz rejestrowanie na potrzeby dochodzenia bezpieczeństwa

Funkcje

Dzienniki zasobów platformy Azure

Opis: Usługa tworzy dzienniki zasobów, które mogą zapewnić ulepszone metryki i rejestrowanie specyficzne dla usługi. Klient może skonfigurować te dzienniki zasobów i wysłać je do własnego repozytorium danych, takiego jak konto magazynu lub obszar roboczy usługi Log Analytics. Dowiedz się więcej.

Uwagi dotyczące funkcji: dzienniki aktywności są dostępne automatycznie. Dzienniki zawierają wszystkie operacje PUT, POST i DELETE dla Twoich zasobów usługi HDInsight, ale nie operacje GET, z wyjątkiem operacji odczytu (GET). Dzienniki aktywności umożliwiają znajdowanie błędów podczas rozwiązywania problemów lub monitorowanie sposobu modyfikowania zasobów przez użytkowników w organizacji.

Włącz dzienniki zasobów platformy Azure dla usługi HDInsight. Możesz użyć Microsoft Defender dla chmury i Azure Policy, aby uruchomić zbieranie logów zasobów i danych logów. Te dzienniki mogą mieć kluczowe znaczenie dla badania zdarzeń zabezpieczeń i przeprowadzania ćwiczeń kryminalistycznych.

Usługa HDInsight tworzy również dzienniki audytu zabezpieczeń dla lokalnych kont administratora. Włącz te dzienniki inspekcji administratora lokalnego.

Wskazówki dotyczące konfiguracji: Włączanie dzienników zasobów dla usługi. Na przykład Key Vault obsługuje dodatkowe dzienniki zasobów dla akcji, które pobierają tajemnicę z magazynu kluczy, lub Azure SQL zawiera dzienniki zasobów, które śledzą żądania do bazy danych. Zawartość dzienników zasobów różni się w zależności od usługi platformy Azure i typu zasobu.

Dokumentacja: Zarządzanie dziennikami klastra usługi HDInsight

Zarządzanie postawą i lukami w zabezpieczeniach

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: stan i zarządzanie lukami w zabezpieczeniach.

PV-3: Definiowanie i ustanawianie bezpiecznych konfiguracji dla zasobów obliczeniowych

Funkcje

Konfiguracja stanu usługi Azure Automation

Opis: Usługa Azure Automation State Configuration może służyć do utrzymania konfiguracji zabezpieczeń systemu operacyjnego. Dowiedz się więcej.

Uwagi dotyczące funkcji: Obrazy systemu operacyjnego Azure HDInsight są zarządzane i utrzymywane przez firmę Microsoft. Jednak klient jest odpowiedzialny za implementację konfiguracji stanu na poziomie systemu operacyjnego dla tego obrazu. Szablony maszyn wirtualnych firmy Microsoft połączone z usługą Azure Automation State Configuration mogą pomóc spełnić i zachować wymagania dotyczące zabezpieczeń.

Wskazówki dotyczące konfiguracji: Użyj usługi Azure Automation State Configuration, aby zachować konfigurację zabezpieczeń systemu operacyjnego.

Dokumentacja: Omówienie usługi Azure Automation State Configuration

Agent konfiguracji gościa usługi Azure Policy

Opis: Agent konfiguracji gościa usługi Azure Policy można zainstalować lub wdrożyć jako rozszerzenie do zasobów obliczeniowych. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: nie ma bieżących wskazówek firmy Microsoft dotyczących tej konfiguracji funkcji. Proszę przejrzeć tę funkcję zabezpieczeń i ustalić, czy organizacja chce ją skonfigurować.

Dokumentacja: Omówienie funkcji konfiguracji maszyny w usłudze Azure Automanage

Niestandardowe obrazy maszyn wirtualnych

Opis: Usługa obsługuje korzystanie z obrazów maszyn wirtualnych dostarczonych przez użytkownika lub wstępnie utworzonych obrazów z witryny Marketplace z wstępnie zastosowanymi konfiguracjami punktu odniesienia. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Obrazy kontenerów niestandardowych

Opis: Usługa obsługuje korzystanie z obrazów kontenerów dostarczonych przez użytkownika lub wstępnie utworzonych obrazów z witryny Marketplace z wstępnie zastosowanymi konfiguracjami punktu odniesienia. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

PV-5: Przeprowadzanie ocen luk w zabezpieczeniach

Funkcje

Ocena luk w zabezpieczeniach przy użyciu usługi Microsoft Defender

Opis: Usługę można skanować pod kątem luk w zabezpieczeniach przy użyciu Microsoft Defender for Cloud lub innych funkcji oceny luk w zabezpieczeniach osadzonych w usługach Microsoft Defender (w tym Microsoft Defender for Server, rejestru kontenerów, App Service, SQL i DNS). Dowiedz się więcej.

Uwagi dotyczące funkcji: Usługa Azure HDInsight nie obsługuje natywnej oceny luk w zabezpieczeniach w usłudze Microsoft Defender, używa programu ClamAV do ochrony przed złośliwym oprogramowaniem. Jednak w przypadku korzystania z ESP dla usługi HDInsight można użyć niektórych wbudowanych funkcji wykrywania zagrożeń Microsoft Defender for Cloud. Możesz również włączyć usługę Microsoft Defender dla maszyn wirtualnych skojarzonych z usługą HDInsight.

Przenieś dowolne dzienniki z usługi HDInsight do rozwiązania SIEM, które można wykorzystać do konfigurowania niestandardowych mechanizmów wykrywania zagrożeń. Upewnij się, że monitorujesz różne typy zasobów platformy Azure pod kątem potencjalnych zagrożeń i anomalii. Skoncentruj się na uzyskaniu alertów wysokiej jakości, aby zmniejszyć liczbę fałszywych alarmów, które analitycy muszą przeglądać. Alerty mogą być pozyskiwane z danych dziennika, agentów lub innych danych.

Wskazówki dotyczące konfiguracji: postępuj zgodnie z zaleceniami Microsoft Defender dla Chmury dotyczącymi przeprowadzania ocen luk w zabezpieczeniach na maszynach wirtualnych platformy Azure, obrazach kontenerów i serwerach SQL.

Uwaga: Azure HDInsight nie obsługuje natywnie Defendera, używa ClamAV. Jednak w przypadku korzystania z ESP dla usługi HDInsight można użyć wbudowanej funkcji wykrywania zagrożeń Microsoft Defender dla Chmury. Możesz również włączyć usługę Microsoft Defender dla maszyn wirtualnych skojarzonych z usługą HDInsight.

Przekaż dowolne dzienniki z usługi HDInsight do systemu SIEM, który może służyć do konfigurowania niestandardowych detekcji zagrożeń. Upewnij się, że monitorujesz różne typy zasobów platformy Azure pod kątem potencjalnych zagrożeń i anomalii. Skoncentruj się na uzyskaniu alertów wysokiej jakości, aby zmniejszyć liczbę wyników fałszywie dodatnich, aby analitykom łatwiej było je sortować. Alerty mogą być pozyskiwane z danych dziennika, agentów lub innych danych.

PV-6: Szybkie i automatyczne korygowanie luk w zabezpieczeniach

Funkcje

Azure Automation: Update Management

Opis: Usługa może używać usługi Azure Automation Update Management do automatycznego wdrażania poprawek i aktualizacji. Dowiedz się więcej.

Uwagi dotyczące funkcji: obrazy Ubuntu stają się dostępne dla tworzenia nowych klastrów w usłudze Azure HDInsight w ciągu trzech miesięcy od opublikowania. Uruchomione klastry nie są automatycznie poprawiane. Klienci muszą używać akcji skryptu lub innych mechanizmów, aby zastosować poprawki działającego klastra. Najlepszym rozwiązaniem jest uruchomienie tych akcji skryptu i zastosowanie aktualizacji zabezpieczeń bezpośrednio po utworzeniu klastra.

Wskazówki dotyczące konfiguracji: Użyj rozwiązania Azure Automation Update Management lub rozwiązania innej firmy, aby upewnić się, że najnowsze aktualizacje zabezpieczeń są zainstalowane na maszynach wirtualnych z systemem Windows i Linux. W przypadku maszyn wirtualnych z systemem Windows upewnij się, że usługa Windows Update została włączona i ustawiona na automatyczne aktualizowanie.

Uwaga: obrazy Ubuntu stają się dostępne do utworzenia nowego klastra Azure HDInsight w ciągu trzech miesięcy od opublikowania. Działające klastry nie są automatycznie patchowane. Klienci muszą używać akcji skryptu lub innych mechanizmów, aby zastosować poprawki uruchomionego klastra. Najlepszym rozwiązaniem jest uruchomienie tych akcji skryptu i zastosowanie aktualizacji zabezpieczeń bezpośrednio po utworzeniu klastra.

Dokumentacja: Omówienie rozwiązania Update Management

Zabezpieczenia punktu końcowego

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń chmury firmy Microsoft: zabezpieczenia punktu końcowego.

ES-1: Użyj systemu wykrywania i reagowania na zagrożenia punktów końcowych (EDR)

Funkcje

Rozwiązanie EDR

Opis: Funkcja wykrywania i reagowania punktu końcowego (EDR), taka jak usługa Azure Defender dla serwerów, można wdrożyć w punkcie końcowym. Dowiedz się więcej.

Uwagi dotyczące funkcji: usługa Azure HDInsight nie obsługuje natywnie Microsoft Defender for Endpoint, używa ClamAV do ochrony przed złośliwym oprogramowaniem.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Odnośnik: Czy mogę wyłączyć Clamscan w moim klastrze?

ES-2: Korzystanie z nowoczesnego oprogramowania chroniącego przed złośliwym oprogramowaniem

Funkcje

Rozwiązanie chroniące przed złośliwym oprogramowaniem

Opis: Funkcje ochrony przed złośliwym oprogramowaniem, takie jak Microsoft Defender Antivirus i Microsoft Defender for Endpoint, można wdrażać na punkcie końcowym. Dowiedz się więcej.

Uwagi dotyczące funkcji: usługa Azure HDInsight używa programu ClamAV. Przekaż dzienniki ClamAV do scentralizowanego rozwiązania SIEM lub innego systemu wykrywania i zgłaszania alertów.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Zabezpieczenia i certyfikaty

ES-3: Upewnij się, że oprogramowanie i podpisy chroniące przed złośliwym oprogramowaniem są aktualizowane

Funkcje

Monitorowanie kondycji rozwiązania chroniącego przed złośliwym oprogramowaniem

Opis: Rozwiązanie chroniące przed złośliwym oprogramowaniem zapewnia monitorowanie stanu zdrowia dla platformy, silnika i automatycznych aktualizacji podpisów. Dowiedz się więcej.

Uwagi dotyczące funkcji: usługa Azure HDInsight zawiera wstępnie zainstalowane i włączone narzędzie Clamscan dla obrazów węzłów klastra. Clamscan będzie automatycznie wykonywać aktualizacje silnika i definicji oraz aktualizować sygnatury antymalware na podstawie oficjalnej bazy podpisów wirusów ClamAV.

Wskazówki dotyczące konfiguracji: nie są wymagane żadne dodatkowe konfiguracje, ponieważ ta konfiguracja jest włączona w przypadku wdrożenia domyślnego.

Dokumentacja: Zabezpieczenia i certyfikaty

Tworzenie kopii zapasowych i odzyskiwanie

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń w chmurze firmy Microsoft: tworzenie kopii zapasowych i odzyskiwanie.

BR-1: Zapewnienie regularnych automatycznych kopii zapasowych

Funkcje

Azure Backup

Opis: Kopia zapasowa usługi może zostać utworzona przez usługę Azure Backup. Dowiedz się więcej.

Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.

Możliwości natywnego tworzenia kopii zapasowej usługi

Opis: Usługa obsługuje własną natywną funkcję tworzenia kopii zapasowych (jeśli nie korzystasz z usługi Azure Backup). Dowiedz się więcej.

Uwagi dotyczące funkcji: Eksportowanie bazy danych HBase i replikacja bazy danych HBase to typowe sposoby włączania ciągłości działania między klastrami HBase usługi HDInsight.

Eksport HBase to proces replikacji wsadowej, który używa narzędzia eksportu HBase do eksportowania tabel z podstawowego klastra HBase do bazowego magazynu Azure Data Lake Storage Gen 2. Następnie można uzyskać dostęp do wyeksportowanych danych z pomocniczego klastra HBase i zaimportować je do tabel, które muszą wstępnie istnieć w pomocniczej bazie danych. Podczas gdy eksport HBase oferuje stopień szczegółowości na poziomie tabeli, w sytuacjach aktualizacji przyrostowych aparat automatyzacji steruje zakresem wierszy przyrostowych do uwzględnienia w każdym uruchomieniu.

Wskazówki dotyczące konfiguracji: nie ma bieżących wskazówek firmy Microsoft dotyczących tej konfiguracji funkcji. Proszę przejrzeć tę funkcję zabezpieczeń i ustalić, czy organizacja chce ją skonfigurować.

Dokumentacja: Konfigurowanie tworzenia kopii zapasowych i replikacji dla baz danych Apache HBase i Apache Phoenix w usłudze HDInsight

Następne kroki

• Zobacz omówienie testu porównawczego zabezpieczeń w chmurze firmy Microsoft
• Dowiedz się więcej o punktach odniesienia zabezpieczeń platformy Azure