Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
W tym artykule wymieniono Azure Policy wbudowanych definicji inicjatyw zasad związanych z testem porównawczym zabezpieczeń chmury Microsoft w wersji 2. Każda kontrolka z testu porównawczego jest mapowana na co najmniej jedną definicję Azure Policy. Aby uzyskać dodatkowe informacje, zapoznaj się z pełnym plikiem definicji inicjatywy Azure Policy.
Compliant w Azure Policy odnosi się tylko do samych definicji zasad; nie zapewnia to pełnej zgodności ze wszystkimi wymaganiami kontrolki. Standard zgodności obejmuje mechanizmy kontroli, które nie są obecnie rozwiązywane przez żadne definicje Azure Policy. W związku z tym zgodność w Azure Policy jest tylko częściowym widokiem ogólnego stanu zgodności.
Skojarzenia między kontrolkami i definicjami Azure Policy dla tego standardu zgodności mogą ulec zmianie w czasie.
AI-1: Zapewnianie użycia zatwierdzonych modeli
Aby uzyskać więcej informacji, zobacz Artificial Intelligence Security: AI-1: Ensure use of approved models (Zabezpieczenia sztucznej inteligencji: AI-1: Zapewnianie użycia zatwierdzonych modeli).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| [wersja zapoznawcza]: wdrożenia Azure Machine Learning powinny używać tylko zatwierdzonych modeli rejestru | Ograniczanie wdrażania modeli rejestru w celu kontrolowania modeli utworzonych zewnętrznie używanych w organizacji | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: Wdrożenia usług Cognitive Services powinny używać jedynie dopuszczalnego filtrowania treści uzupełniającej | Umocuj minimalne poziomy filtrowania zawartości w celu ukończenia dla wdrożeń modelu w organizacji. | Audyt; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: Wdrożenia usług Cognitive Services powinny używać tylko dozwolonych elementów sterujących | Zarządź minimalne poziomy filtrowania zawartości o różnym stopniu szkodliwości dla szkodliwej zawartości dla wdrożeń modeli w organizacji. | Audyt; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: Wdrożenia usług Cognitive Services powinny używać tylko dozwolonego trybu sterowania | Umocuj tryb filtrowania zawartości dla wdrożeń modeli w organizacji. | Audyt; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: Wdrożenia usług Cognitive Services powinny używać tylko dozwolonego filtrowania zawartości monitu | Wprowadź minimalne poziomy filtrowania treści dla komunikatów w celu wdrożeń modelu w organizacji. | Audyt; Niepełnosprawny | 1.0.0-preview |
AM-2: Używanie tylko zatwierdzonych usług
Aby uzyskać więcej informacji, zobacz Zarządzanie zasobami: AM-2: Używanie tylko zatwierdzonych usług.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure API Management wersja platformy powinna mieć wartość stv2 | Azure API Management wersja platformy obliczeniowej stv1 zostanie wycofana z dnia 31 sierpnia 2024 r., a te wystąpienia powinny zostać zmigrowane na platformę obliczeniową stv2 w celu zapewnienia dalszej obsługi. Dowiedz się więcej na temat wycofania platformy API Management stv1 — Global Azure Cloud (sierpień 2024) | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Konto magazynu należy migrować do nowych zasobów Azure Resource Manager | Użyj nowych Azure Resource Manager dla kont magazynu, aby zapewnić ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie oparte na Azure Resource Manager i ład, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla wpisów tajnych, Azure Uwierzytelnianie oparte na usłudze AD i obsługa tagów i grup zasobów w celu łatwiejszego zarządzania zabezpieczeniami | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Konto magazynu należy migrować do nowych zasobów Azure Resource Manager | Użyj nowych Azure Resource Manager dla kont magazynu, aby zapewnić ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie oparte na Azure Resource Manager i ład, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla wpisów tajnych, Azure Uwierzytelnianie oparte na usłudze AD i obsługa tagów i grup zasobów w celu łatwiejszego zarządzania zabezpieczeniami | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Maszyny wirtualne powinny być migrowane do nowych zasobów usługi Azure Resource Manager | Użyj nowego Azure Resource Managera dla maszyn wirtualnych, aby zapewnić ulepszenia zabezpieczeń, takie jak: silniejsza kontrola dostępu (RBAC), lepsza inspekcja, wdrażanie i zarządzanie oparte na Azure Resource Manager, dostęp do tożsamości zarządzanych, dostęp do magazynu kluczy dla sekretów, uwierzytelnianie oparte na Azure AD i obsługa tagów oraz grup zasobów dla łatwiejszego zarządzania zabezpieczeniami. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
AM-3: Zapewnianie bezpieczeństwa zarządzania cyklem życia zasobów
Aby uzyskać więcej informacji, zobacz Zarządzanie zasobami: AM-3: Zapewnianie bezpieczeństwa zarządzania cyklem życia zasobów.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| API punkty końcowe, które są nieużywane, powinny zostać wyłączone i usunięte z usługi Azure API Management | Najlepszym rozwiązaniem w zakresie zabezpieczeń punkty końcowe interfejsu API, które nie odebrały ruchu przez 30 dni, są uznawane za nieużywane i powinny zostać usunięte z usługi Azure API Management. Utrzymywanie nieużywanych punktów końcowych interfejsu API może stanowić zagrożenie bezpieczeństwa dla organizacji. Mogą to być interfejsy API, które powinny być przestarzałe z usługi Azure API Management, ale mogły zostać przypadkowo pozostawione aktywne. Takie interfejsy API zwykle nie otrzymują najbardziej aktualnego pokrycia zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
BR-1: Zapewnienie regularnych automatycznych kopii zapasowych
Aby uzyskać więcej informacji, zobacz Tworzenie kopii zapasowych i odzyskiwanie: BR-1: Zapewnianie regularnych automatycznych kopii zapasowych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Backup należy włączyć dla Virtual Machines | Zapewnij ochronę Azure Virtual Machines, włączając Azure Backup. Azure Backup to bezpieczne i ekonomiczne rozwiązanie do ochrony danych dla Azure. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Konfiguracja kopii zapasowej na maszynach wirtualnych bez określonego tagu w nowym magazynie usługi Recovery Services według domyślnej zasady | Wymuszanie tworzenia kopii zapasowej dla wszystkich maszyn wirtualnych przez wdrożenie magazynu usługi Recovery Services w tej samej lokalizacji i grupie zasobów co maszyna wirtualna. Jest to przydatne, gdy różne zespoły aplikacji w organizacji są przydzielane oddzielnymi grupami zasobów i muszą zarządzać własnymi kopiami zapasowymi i przywracaniem. Opcjonalnie można wykluczyć maszyny wirtualne zawierające określony tag, aby kontrolować zakres przypisania. Zobacz: https://aka.ms/AzureVMAppCentricBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 9.5.0 |
| Konfigurowanie kopii zapasowej na maszynach wirtualnych bez danego tagu do istniejącego magazynu usługi Recovery Services w tej samej lokalizacji | Wymuś tworzenie kopii zapasowej dla wszystkich maszyn wirtualnych, tworząc ich kopię zapasową do istniejącego centralnego magazynu usługi Recovery Services w tej samej lokalizacji i subskrypcji co maszyna wirtualna. Jest to przydatne, gdy w organizacji istnieje centralny zespół zarządzający kopiami zapasowymi dla wszystkich zasobów w ramach subskrypcji. Opcjonalnie można wykluczyć maszyny wirtualne zawierające określony tag, aby kontrolować zakres przypisania. Zobacz: https://aka.ms/AzureVMCentralBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 9.5.0 |
| Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB | Usługa Azure Database for MariaDB umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| Geo nadmiarowa kopia zapasowa powinna być włączona dla Azure Database for MySQL | Azure Database for MySQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| Geo nadmiarowa kopia zapasowa powinna być włączona dla Azure Database for PostgreSQL | Azure Database for PostgreSQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| Przechowywanie z georedundancją powinno być włączone dla kont magazynu | Używanie nadmiarowości geograficznej do tworzenia aplikacji o wysokiej dostępności | Audyt; Niepełnosprawny | 1.0.0 |
| Długoterminowe tworzenie geograficznie nadmiarowej kopii zapasowej powinno być włączone dla baz danych Azure SQL Database | Te zasady przeprowadzają inspekcję każdej usługi Azure SQL Database z długoterminowymi geograficznie nadmiarowymi kopiami zapasowymi, które nie są włączone. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| [Wersja zapoznawcza]: Dla magazynów kopii zapasowych musi być włączona autoryzacja wielu użytkowników (MUA). | Te zasady sprawdzają, czy dla magazynów kopii zapasowych włączono autoryzację wielu użytkowników (MUA). Usługa MUA pomaga w zabezpieczaniu magazynów kopii zapasowych przez dodanie dodatkowej warstwy ochrony do krytycznych operacji. Aby dowiedzieć się więcej, odwiedź stronę https://aka.ms/mua-for-bv. | Audyt; Niepełnosprawny | 1.0.0-preview |
BR-2: Ochrona danych kopii zapasowych i odzyskiwania
Aby uzyskać więcej informacji, zobacz Backup and Recovery: BR-2: Protect backup and recovery data (Tworzenie kopii zapasowych i odzyskiwanie: BR-2: Ochrona danych kopii zapasowych i odzyskiwania).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Backup należy włączyć dla Virtual Machines | Zapewnij ochronę Azure Virtual Machines, włączając Azure Backup. Azure Backup to bezpieczne i ekonomiczne rozwiązanie do ochrony danych dla Azure. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Geograficznie nadmiarowa kopia zapasowa powinna być włączona dla usługi Azure Database for MariaDB | Usługa Azure Database for MariaDB umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| Geo nadmiarowa kopia zapasowa powinna być włączona dla Azure Database for MySQL | Azure Database for MySQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| Geo nadmiarowa kopia zapasowa powinna być włączona dla Azure Database for PostgreSQL | Azure Database for PostgreSQL umożliwia wybranie opcji nadmiarowości dla serwera bazy danych. Można go ustawić na geograficznie nadmiarową kopię zapasową storage, w której dane są nie tylko przechowywane w regionie, w którym jest hostowany serwer, ale także jest replikowany do sparowanego regionu w celu zapewnienia opcji odzyskiwania w przypadku awarii regionu. Konfigurowanie geograficznie nadmiarowych storage do tworzenia kopii zapasowej jest dozwolone tylko podczas tworzenia serwera. | Audyt; Niepełnosprawny | 1.0.1 |
| [wersja zapoznawcza]: Należy włączyć niezmienność dla magazynów kopii zapasowych | Te zasady sprawdzają, czy właściwość magazynów niezmiennych jest włączona dla magazynów kopii zapasowych w zakresie. Pomaga to chronić dane kopii zapasowej przed usunięciem przed jej zamierzonym wygaśnięciem. Dowiedz się więcej na Concept magazynu niezmiennego dla magazynu Azure Backup. | Audyt; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| [wersja zapoznawcza]: Należy włączyć niezmienność dla magazynów usługi Recovery Services | Te zasady sprawdzają, czy właściwość magazynów niezmiennych jest włączona dla magazynów usługi Recovery Services w zakresie. Pomaga to chronić dane kopii zapasowej przed usunięciem przed jej zamierzonym wygaśnięciem. Dowiedz się więcej na Concept magazynu niezmiennego dla magazynu Azure Backup. | Audyt; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| [Wersja zapoznawcza]: Usuwanie nietrwałe musi być włączone dla magazynów usługi Recovery Services. | Te zasady sprawdzają, czy usuwanie nietrwałe jest włączone dla magazynów usługi Recovery Services w zakresie. Usuwanie nietrwałe może pomóc w odzyskiwaniu danych nawet po jego usunięciu. Dowiedz się więcej na stronie https://aka.ms/AB-SoftDelete. | Audyt; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: usuwanie nietrwałe powinno być włączone dla magazynów kopii zapasowych | Te zasady sprawdzają, czy usuwanie nietrwałe jest włączone dla magazynów kopii zapasowych w zakresie. Usuwanie nietrwałe może pomóc w odzyskaniu danych po jego usunięciu. Dowiedz się więcej na temat Przegląd rozszerzonego usuwania nietrwałego dla Azure Backup | Audyt; Niepełnosprawny | 1.0.0-preview |
DP-1: Odnajdywanie, klasyfikowanie i etykietowanie poufnych danych
Aby uzyskać więcej informacji, zobacz Ochrona danych: DP-1: Odnajdywanie, klasyfikowanie i etykietowanie poufnych danych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Microsoft Defender dla interfejsów API należy włączyć | Microsoft Defender dla interfejsów API zapewnia nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
DP-2: Monitorowanie anomalii i zagrożeń skierowanych na poufne dane
Aby uzyskać więcej informacji, zobacz Ochrona danych: DP-2: Monitorowanie anomalii i zagrożeń przeznaczonych dla poufnych danych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla serwerów Azure SQL Database należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla serwerów SQL na maszynach należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla usługi SQL powinny być włączone dla niechronionych wystąpień zarządzanych SQL | Przeprowadź inspekcję poszczególnych SQL Managed Instance bez zaawansowanych zabezpieczeń danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla relacyjnych baz danych typu open source należy włączyć | Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej na temat możliwości Azure Defender dla relacyjnych baz danych typu open source na stronie Przegląd Defender dla relacyjnych baz danych Open-Source. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla interfejsów API należy włączyć | Microsoft Defender dla interfejsów API zapewnia nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Microsoft Defender dla magazynu należy włączyć | Microsoft Defender dla usługi Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy Defender dla planu magazynu obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto storage) kontroli nad pokryciem i kosztami. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
DP-3: Szyfrowanie poufnych danych podczas przesyłania
Aby uzyskać więcej informacji, zobacz Ochrona danych: DP-3: Szyfrowanie poufnych danych podczas przesyłania.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Do wszystkich połączeń bramy wirtualnej sieci Azure muszą być stosowane niestandardowe zasady IPsec/IKE | Te zasady zapewniają, że wszystkie połączenia bramy sieci wirtualnej Azure używają niestandardowych zasad zabezpieczeń protokołu internetowego (Ipsec)/Internet Key Exchange(IKE). Obsługiwane algorytmy i mocne strony klucza — https://aka.ms/AA62kb0 | Audyt; Niepełnosprawny | 1.0.0 |
| interfejsy API API Management powinny używać tylko zaszyfrowanych protokołów | Aby zapewnić bezpieczeństwo przesyłanych danych, interfejsy API powinny być dostępne tylko za pośrednictwem szyfrowanych protokołów, takich jak HTTPS lub WSS. Unikaj używania niezabezpieczonych protokołów, takich jak HTTP lub WS. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.2 |
| App Service miejsca aplikacji powinny włączyć kompleksowe szyfrowanie | Włączenie kompleksowego szyfrowania gwarantuje, że ruch wewnątrz klastra frontonu między frontonem App Service a procesami roboczymi obsługującymi obciążenia aplikacji są szyfrowane. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Miejsca aplikacji usługi App Service powinny być dostępne tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.0 |
| App Service miejsca aplikacji powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji App Service, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 1.2.0 |
| App Service aplikacje powinny włączyć kompleksowe szyfrowanie | Włączenie kompleksowego szyfrowania gwarantuje, że ruch wewnątrz klastra frontonu między frontonem App Service a procesami roboczymi obsługującymi obciążenia aplikacji są szyfrowane. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| App Service aplikacje powinny być dostępne tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. | Audyt; Niepełnosprawny; Zaprzeczać | 4.0.0 |
| App Service aplikacje powinny wymagać tylko protokołu FTPS | Włącz wymuszanie protokołu FTPS dla zwiększonych zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| App Service aplikacje powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji App Service, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 2.2.0 |
| App Service Environment należy skonfigurować z najsilniejszymi zestawami szyfrowania TLS | Dwa najbardziej minimalne i najsilniejsze zestawy szyfrowania wymagane do poprawnego działania App Service Environment to: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 i TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. | Audyt; Niepełnosprawny | 1.0.0 |
| App Service Environment powinien mieć włączone szyfrowanie wewnętrzne | Ustawienie wartości InternalEncryption na wartość true powoduje szyfrowanie pliku stronicowania, dysków procesów roboczych i wewnętrznego ruchu sieciowego między frontonami a procesami roboczymi w App Service Environment. Aby dowiedzieć się więcej, zapoznaj się z Ustawienia konfiguracji niestandardowej dla środowisk App Service. | Audyt; Niepełnosprawny | 1.0.1 |
| App Service Environment powinny być wyłączone protokoły TLS 1.0 i 1.1 | Protokoły TLS 1.0 i 1.1 są nieaktualne, które nie obsługują nowoczesnych algorytmów kryptograficznych. Wyłączenie przychodzącego ruchu TLS 1.0 i 1.1 pomaga zabezpieczyć aplikacje w App Service Environment. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.1 |
| pule Azure Batch powinny mieć włączone szyfrowanie dysków | Włączenie Azure Batch szyfrowania dysków gwarantuje, że dane są zawsze szyfrowane podczas magazynowania w węźle obliczeniowym Azure Batch. Dowiedz się więcej o szyfrowaniu dysków w usłudze Batch pod adresem Utwórz pulę z włączonym szyfrowaniem dysków. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0 |
| Azure Front Door w warstwie Standardowa i Premium powinna działać minimalna wersja protokołu TLS 1.2 | Ustawienie minimalnej wersji protokołu TLS na 1.2 zwiększa bezpieczeństwo, zapewniając dostęp do domen niestandardowych od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ są słabe i nie obsługują nowoczesnych algorytmów kryptograficznych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| klastry Azure HDInsight powinny używać szyfrowania podczas przesyłania do szyfrowania komunikacji między węzłami klastra Azure HDInsight | Dane mogą być modyfikowane podczas transmisji między węzłami klastra Azure HDInsight. Włączenie szyfrowania podczas przesyłania rozwiązuje problemy z nieprawidłowym użyciem i manipulowaniem podczas tej transmisji. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure SQL Database powinien działać protokół TLS w wersji 1.2 lub nowszej | Ustawienie wersji protokołu TLS na 1.2 lub nowsze zwiększa bezpieczeństwo, zapewniając, że dostęp do Azure SQL Database można uzyskać tylko od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.0 |
| Azure Synapse Workspace SQL Server powinien być uruchomiony protokół TLS w wersji 1.2 lub nowszej | Ustawienie protokołu TLS w wersji 1.2 lub nowszej zwiększa bezpieczeństwo, zapewniając, że dostęp do serwera SQL w Azure Synapse obszarze roboczym można uzyskać tylko z klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Bot Service punkt końcowy powinien być prawidłowym identyfikatorem URI HTTPS | Dane można manipulować podczas transmisji. Istnieją protokoły, które zapewniają szyfrowanie w celu rozwiązania problemów z nieprawidłowym użyciem i manipulowaniem. Aby upewnić się, że boty komunikują się tylko za pośrednictwem zaszyfrowanych kanałów, ustaw punkt końcowy na prawidłowy identyfikator URI HTTPS. Dzięki temu protokół HTTPS jest używany do szyfrowania danych przesyłanych i często jest wymagany do zapewnienia zgodności ze standardami prawnymi lub branżowymi. Odwiedź stronę: Bot Framework security guidelines( | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Usługa Container Apps powinna być dostępna tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. Wyłączenie opcji "allowInsecure" spowoduje automatyczne przekierowywanie żądań z protokołu HTTP do połączeń HTTPS dla aplikacji kontenera. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Włączenie SSL w usłudze MySQL powinno być włączone dla serwerów baz danych MySQL | Azure Database for MySQL obsługuje łączenie serwera Azure Database for MySQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych. | Audyt; Niepełnosprawny | 1.0.1 |
| Włączenie SSL w usłudze PostgreSQL powinno być włączone dla serwerów baz danych PostgreSQL | Azure Database for PostgreSQL obsługuje łączenie serwera Azure Database for PostgreSQL z aplikacjami klienckimi przy użyciu protokołu SSL (Secure Sockets Layer). Wymuszanie połączeń SSL między serwerem bazy danych a aplikacjami klienckimi pomaga chronić przed atakami typu "człowiek w środku", szyfrując strumień danych między serwerem a aplikacją. Ta konfiguracja wymusza, że protokół SSL jest zawsze włączony do uzyskiwania dostępu do serwera bazy danych. | Audyt; Niepełnosprawny | 1.0.1 |
| Miejsca aplikacji Funkcji powinny włączyć kompleksowe szyfrowanie | Włączenie kompleksowego szyfrowania gwarantuje, że ruch wewnątrz klastra frontonu między frontonem App Service a procesami roboczymi obsługującymi obciążenia aplikacji są szyfrowane. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Miejsca aplikacji funkcji powinny być dostępne tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. | Audyt; Niepełnosprawny; Zaprzeczać | 2.1.0 |
| Miejsca aplikacji Funkcji powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Zaktualizuj do najnowszej wersji protokołu TLS dla aplikacji Function, aby skorzystać z poprawek zabezpieczeń, jeśli takie istnieją, oraz/lub nowych funkcjonalności najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 1.3.0 |
| aplikacje Function powinny włączyć kompleksowe szyfrowanie | Włączenie kompleksowego szyfrowania gwarantuje, że ruch wewnątrz klastra frontonu między frontonem App Service a procesami roboczymi obsługującymi obciążenia aplikacji są szyfrowane. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| aplikacje Function powinny być dostępne tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie serwera/usługi i chroni dane przesyłane przed atakami podsłuchiwania warstwy sieciowej. | Audyt; Niepełnosprawny; Zaprzeczać | 5.1.0 |
| Aplikacje funkcji powinny wymagać tylko protokołu FTPS | Włącz wymuszanie protokołu FTPS dla zwiększonych zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| aplikacje Function powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Zaktualizuj do najnowszej wersji protokołu TLS dla aplikacji Function, aby skorzystać z poprawek zabezpieczeń, jeśli takie istnieją, oraz/lub nowych funkcjonalności najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 2.3.0 |
| [wersja zapoznawcza]: sieć hostów i maszyn wirtualnych powinna być chroniona w systemach Azure Stack HCI | Ochrona danych w sieci hostów Azure Stack HCI i połączeń sieciowych maszyn wirtualnych. | Audyt; Niepełnosprawny; AuditIfNotExists | 1.0.0-preview |
| klastry Kubernetes powinny być dostępne tylko za pośrednictwem protokołu HTTPS | Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie i chroni dane podczas przesyłania przed atakami podsłuchiwania warstwy sieciowej. Ta funkcja jest obecnie ogólnie dostępna dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, odwiedź Understand Azure Policy dla klastrów Kubernetes | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 8.2.0 |
| W przypadku należy włączyć bezpieczne połączenia z Azure Cache for Redis | Inspekcja włączania tylko połączeń za pośrednictwem protokołu SSL do Azure Cache for Redis. Korzystanie z bezpiecznych połączeń zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| PostgreSQL — serwery elastyczne powinny mieć uruchomiony protokół TLS w wersji 1.2 lub nowszej | Te zasady ułatwiają inspekcję serwerów elastycznych PostgreSQL w środowisku, które są uruchomione z protokołem TLS w wersji mniejszej niż 1.2. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Secure transfer do kont storage należy włączyć | Przeprowadź inspekcję wymagania bezpiecznego transferu na koncie storage. Bezpieczny transfer to opcja, która wymusza na koncie storage akceptowanie żądań tylko z bezpiecznych połączeń (HTTPS). Korzystanie z protokołu HTTPS zapewnia uwierzytelnianie między serwerem a usługą i chroni dane przesyłane przed atakami warstwy sieciowej, takimi jak man-in-the-middle, podsłuchiwanie i przejęcie sesji | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| SQL Managed Instance powinna mieć minimalną wersję protokołu TLS 1.2 | Ustawienie minimalnej wersji protokołu TLS na 1.2 zwiększa bezpieczeństwo, zapewniając, że dostęp do SQL Managed Instance można uzyskać tylko od klientów przy użyciu protokołu TLS 1.2. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach. | Audyt; Niepełnosprawny | 1.0.1 |
| konta Storage powinny mieć określoną minimalną wersję protokołu TLS | Skonfiguruj minimalną wersję protokołu TLS na potrzeby bezpiecznej komunikacji między aplikacją kliencką a kontem storage. Aby zminimalizować ryzyko bezpieczeństwa, zalecana minimalna wersja protokołu TLS to najnowsza wersja, która jest obecnie protokołem TLS 1.2. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Windows maszyny powinny być skonfigurowane do używania bezpiecznych protokołów komunikacyjnych | Aby chronić prywatność informacji przekazywanych przez Internet, maszyny powinny używać najnowszej wersji standardowego protokołu kryptograficznego Transport Layer Security (TLS). Protokół TLS zabezpiecza komunikację za pośrednictwem sieci przez szyfrowanie połączenia między maszynami. | AuditIfNotExists; Niepełnosprawny | 4.1.1 |
DP-4: Domyślnie włącz szyfrowanie danych magazynowanych
Aby uzyskać więcej informacji, zobacz Ochrona danych: DP-4: Włączanie szyfrowania danych magazynowanych domyślnie.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| A administrator Microsoft Entra powinien być aprowizowany dla serwerów MySQL | Przeprowadź inspekcję aprowizacji administratora Microsoft Entra dla serwera MySQL, aby umożliwić uwierzytelnianie Microsoft Entra. Microsoft Entra uwierzytelnianie umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft | AuditIfNotExists; Niepełnosprawny | 1.1.1 |
| zmienne konta Automation powinny być szyfrowane | Ważne jest włączenie szyfrowania zasobów zmiennych konta usługi Automation podczas przechowywania poufnych danych | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| zadania Azure Data Box powinny włączyć podwójne szyfrowanie danych magazynowanych na urządzeniu | Włącz drugą warstwę szyfrowania opartego na oprogramowaniu dla danych magazynowanych na urządzeniu. Urządzenie jest już chronione za pomocą szyfrowania Advanced Encryption Standard 256-bitowego dla danych magazynowanych. Ta opcja dodaje drugą warstwę szyfrowania danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| urządzenia Azure Edge Hardware Center powinny mieć włączoną obsługę podwójnego szyfrowania | Upewnij się, że urządzenia uporządkowane w usłudze Azure Edge Hardware Center mają włączoną obsługę podwójnego szyfrowania, aby zabezpieczyć dane magazynowane na urządzeniu. Ta opcja dodaje drugą warstwę szyfrowania danych. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| Azure HDInsight klastry powinny używać szyfrowania na hoście do szyfrowania danych magazynowanych | Włączenie szyfrowania na hoście pomaga chronić i chronić dane w celu spełnienia wymagań organizacji w zakresie zabezpieczeń i zgodności. Po włączeniu szyfrowania na hoście dane przechowywane na hoście maszyny wirtualnej są szyfrowane w spoczynku i przepływy szyfrowane do usługi Storage. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Monitor Klastry dzienników powinny być tworzone z włączonym szyfrowaniem infrastruktury (podwójne szyfrowanie) | Aby zapewnić włączenie bezpiecznego szyfrowania danych na poziomie usługi i poziomu infrastruktury z dwoma różnymi algorytmami szyfrowania i dwoma różnymi kluczami, należy użyć Azure Monitor dedykowanego klastra. Ta opcja jest domyślnie włączona, gdy jest obsługiwana w regionie, zobacz Azure Monitor klucze zarządzane przez klienta. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Azure Serwer elastyczny MySQL powinien mieć włączony Microsoft Entra Tylko uwierzytelnianie | Wyłączenie lokalnych metod uwierzytelniania i zezwolenie tylko na uwierzytelnianie Microsoft Entra zwiększa bezpieczeństwo, zapewniając, że Azure serwer elastyczny MySQL może uzyskiwać dostęp wyłącznie za pomocą tożsamości Microsoft Entra. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Azure NetApp Files woluminy SMB powinny używać szyfrowania SMB3 | Nie zezwalaj na tworzenie woluminów SMB bez szyfrowania SMB3 w celu zapewnienia integralności danych i prywatności danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure NetApp Files Woluminy typu NFSv4.1 powinny używać szyfrowania danych Kerberos | Zezwalaj tylko na korzystanie z trybu zabezpieczeń protokołu Kerberos (5p) w celu zapewnienia szyfrowania danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| urządzenia Azure Stack Edge powinny używać podwójnego szyfrowania | Aby zabezpieczyć dane magazynowane na urządzeniu, upewnij się, że są szyfrowane dwukrotnie, access do danych są kontrolowane, a po dezaktywacji urządzenia dane są bezpiecznie wymazane z dysków danych. Podwójne szyfrowanie to użycie dwóch warstw szyfrowania: funkcja BitLocker XTS-AES 256-bitowego szyfrowania na woluminach danych i wbudowane szyfrowanie dysków twardych. Dowiedz się więcej w dokumentacji przeglądu zabezpieczeń dla określonego urządzenia Stack Edge. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Azure Synapse Analytics dedykowane pule SQL powinny włączyć szyfrowanie | Włącz przezroczyste szyfrowanie danych dla Azure Synapse Analytics dedykowanych pul SQL, aby chronić dane magazynowane i spełniać wymagania dotyczące zgodności. Należy pamiętać, że włączenie przezroczystego szyfrowania danych dla puli może mieć wpływ na wydajność zapytań. Więcej informacji można znaleźć w temacie https://go.microsoft.com/fwlink/?linkid=2147714 | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Konta usługi Cognitive Services powinny korzystać z magazynu będącego własnością klienta | Użyj magazynu klienta, aby kontrolować dane przechowywane w spoczynku w usługach Cognitive Services. Aby dowiedzieć się więcej na temat magazynu należącego do klienta, odwiedź stronę https://aka.ms/cogsvc-cmk. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| szyfrowanie Disk powinno być włączone w Azure Data Explorer | Włączenie szyfrowania dysków pomaga chronić i chronić dane w celu spełnienia zobowiązań organizacji w zakresie zabezpieczeń i zgodności. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| szyfrowanie Double powinno być włączone w Azure Data Explorer | Włączenie podwójnego szyfrowania pomaga chronić i chronić dane w celu spełnienia wymagań organizacji w zakresie zabezpieczeń i zgodności. Po włączeniu podwójnego szyfrowania dane na koncie storage są szyfrowane dwa razy, raz na poziomie usługi i raz na poziomie infrastruktury przy użyciu dwóch różnych algorytmów szyfrowania i dwóch różnych kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| Uvent Hub przestrzenie nazw powinny mieć włączone podwójne szyfrowanie | Włączenie podwójnego szyfrowania pomaga chronić i chronić dane w celu spełnienia wymagań organizacji w zakresie zabezpieczeń i zgodności. Po włączeniu podwójnego szyfrowania dane na koncie storage są szyfrowane dwa razy, raz na poziomie usługi i raz na poziomie infrastruktury przy użyciu dwóch różnych algorytmów szyfrowania i dwóch różnych kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Wfrastruktury szyfrowania należy włączyć dla serwerów Azure Database for MySQL | Włącz szyfrowanie infrastruktury dla serwerów Azure Database for MySQL, aby zapewnić wyższy poziom bezpieczeństwa danych. Po włączeniu szyfrowania infrastruktury dane magazynowane są szyfrowane dwa razy przy użyciu zgodnych Microsoft kluczy zarządzanych ze standardem FIPS 140-2. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Wfrastruktury szyfrowania należy włączyć dla serwerów Azure Database for PostgreSQL | Włącz szyfrowanie infrastruktury dla serwerów Azure Database for PostgreSQL, aby zapewnić wyższy poziom bezpieczeństwa danych. Po włączeniu szyfrowania infrastruktury dane magazynowane są szyfrowane dwa razy przy użyciu zgodnych Microsoft kluczy zarządzanych ze standardem FIPS 140-2 | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| maszyny wirtualne Linux powinny włączyć Azure Disk Encryption lub EncryptionAtHost. | Mimo że dyski systemu operacyjnego i danych maszyny wirtualnej są domyślnie szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski zasobów (dyski tymczasowe), pamięci podręczne danych i dane przepływające między zasobami obliczeniowymi i Storage nie są szyfrowane. Użyj Azure Disk Encryption lub EncryptionAtHost, aby skorygować. Odwiedź stronę Omówienie opcji szyfrowania dysków zarządzanych, aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę Understand Azure Machine Configuration. | AuditIfNotExists; Niepełnosprawny | 1.2.1 |
| Managed disks powinny być szyfrowane dwukrotnie przy użyciu kluczy zarządzanych przez platformę i zarządzanych przez klienta | Klienci z wysokim poziomem zabezpieczeń, którzy są zaniepokojeni ryzykiem związanym z konkretnym algorytmem szyfrowania, implementacją lub kluczem, mogą zdecydować się na dodatkową warstwę szyfrowania przy użyciu innego algorytmu/trybu szyfrowania w warstwie infrastruktury przy użyciu kluczy szyfrowania zarządzanych przez platformę. Zestawy szyfrowania dysków są wymagane do używania podwójnego szyfrowania. Dowiedz się więcej na temat Szyfrowania po stronie serwera Azure dysków zarządzanych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Service Bus przestrzenie nazw powinny mieć włączone podwójne szyfrowanie | Włączenie podwójnego szyfrowania pomaga chronić i chronić dane w celu spełnienia wymagań organizacji w zakresie zabezpieczeń i zgodności. Po włączeniu podwójnego szyfrowania dane na koncie storage są szyfrowane dwa razy, raz na poziomie usługi i raz na poziomie infrastruktury przy użyciu dwóch różnych algorytmów szyfrowania i dwóch różnych kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Service Fabric klastry powinny mieć właściwość ClusterProtectionLevel ustawioną na Wartość EncryptAndSign | Usługa Fabric zapewnia trzy poziomy ochrony (None, Sign and EncryptAndSign) na potrzeby komunikacji między węzłami przy użyciu certyfikatu podstawowego klastra. Ustaw poziom ochrony, aby upewnić się, że wszystkie komunikaty typu node-to-node są szyfrowane i podpisane cyfrowo | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| konta Storage powinny mieć szyfrowanie infrastruktury | Włącz szyfrowanie infrastruktury, aby zapewnić wyższy poziom bezpieczeństwa danych. Po włączeniu szyfrowania infrastruktury dane na koncie storage są szyfrowane dwa razy. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Dymp i pamięć podręczna dla pul węzłów agenta w klastrach Azure Kubernetes Service powinny być szyfrowane na hoście | Aby zwiększyć bezpieczeństwo danych, dane przechowywane na hoście maszyny wirtualnej (VM) maszyn wirtualnych węzłów Azure Kubernetes Service powinny być szyfrowane w spoczynku. Jest to typowe wymaganie w wielu standardach zgodności z przepisami i branży. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Transparent Data Encryption musi być włączona dla usługi Arc SQL Managed Instances. | Włącz przezroczyste szyfrowanie danych (TDE) w SQL Managed Instance z włączoną obsługą Azure Arc. Dowiedz się więcej na stronie Szyfrowanie bazy danych przy użyciu funkcji transparent data encryption ręcznie w SQL Managed Instance włączonej przez Azure Arc. | Audyt; Niepełnosprawny | 1.0.0 |
| Transparent Data Encryption w bazach danych SQL powinny być włączone | Transparent data encryption należy włączyć ochronę danych magazynowanych i spełniać wymagania dotyczące zgodności | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| Virtual machines i virtual machine scale sets powinny mieć włączone szyfrowanie na hoście | Użyj szyfrowania na hoście, aby uzyskać kompleksowe szyfrowanie dla maszyny wirtualnej i danych zestawu skalowania maszyn wirtualnych. Szyfrowanie na hoście umożliwia szyfrowanie magazynowanych dysków tymczasowych i pamięci podręcznych dysku systemu operacyjnego/danych. Tymczasowe i efemeryczne dyski systemu operacyjnego są szyfrowane przy użyciu kluczy zarządzanych przez platformę, gdy szyfrowanie na hoście jest włączone. Pamięci podręczne dysku systemu operacyjnego/danych są szyfrowane w spoczynku przy użyciu klucza zarządzanego przez klienta lub zarządzanego przez platformę, w zależności od typu szyfrowania wybranego na dysku. Dowiedz się więcej na stronie Włączanie kompleksowego szyfrowania przy użyciu szyfrowania na hoście. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Windows maszyny wirtualne powinny włączyć Azure Disk Encryption lub EncryptionAtHost. | Mimo że dyski systemu operacyjnego i danych maszyny wirtualnej są domyślnie szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę; dyski zasobów (dyski tymczasowe), pamięci podręczne danych i dane przepływające między zasobami obliczeniowymi i Storage nie są szyfrowane. Użyj Azure Disk Encryption lub EncryptionAtHost, aby skorygować. Odwiedź stronę Omówienie opcji szyfrowania dysków zarządzanych, aby porównać oferty szyfrowania. Te zasady wymagają wdrożenia dwóch wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę Understand Azure Machine Configuration. | AuditIfNotExists; Niepełnosprawny | 1.1.1 |
DP-5: Użyj opcji klucza zarządzanego przez klienta podczas szyfrowania danych w stanie spoczynku, jeśli jest to wymagane
Aby uzyskać więcej informacji, zobacz Data Protection: DP-5: Use customer-managed key option in data at rest encryption when required (Ochrona danych: DP-5: używanie opcji klucza zarządzanego przez klienta w przypadku szyfrowania magazynowanych w razie potrzeby).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Usługa App Configuration powinna używać klucza zarządzanego przez klienta | Klucze zarządzane przez klienta zapewniają rozszerzoną ochronę danych, umożliwiając zarządzanie kluczami szyfrowania. Jest to często wymagane do spełnienia wymagań dotyczących zgodności. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Usługi wyszukiwania Azure AI powinny używać kluczy zarządzanych przez klientów do szyfrowania danych w spoczynku | Włączenie szyfrowania danych w spoczynku przy użyciu klucza zarządzanego przez klienta w usłudze Wyszukiwanie AI platformy Azure zapewnia dodatkową kontrolę nad kluczem używanym do szyfrowania tych danych. Ta funkcja jest często stosowana dla klientów z specjalnymi wymaganiami dotyczącymi zgodności w celu zarządzania kluczami szyfrowania danych przy użyciu magazynu kluczy. | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Azure zasoby usług sztucznej inteligencji powinny szyfrować dane magazynowane przy użyciu klucza zarządzanego przez klienta (CMK) | Szyfrowanie danych magazynowanych przy użyciu kluczy zarządzanych przez klienta zapewnia większą kontrolę nad cyklem życia klucza, w tym rotacją i zarządzaniem. Jest to szczególnie istotne dla organizacji z powiązanymi wymaganiami dotyczącymi zgodności. Nie jest to domyślnie oceniane i powinno być stosowane tylko wtedy, gdy są wymagane przez wymagania dotyczące zgodności lub restrykcyjnych zasad. Jeśli nie zostanie włączona, dane będą szyfrowane przy użyciu kluczy zarządzanych przez platformę. Aby to zaimplementować, zaktualizuj parametr "Effect" w zasadach zabezpieczeń dla odpowiedniego zakresu. | Audyt; Zaprzeczać; Niepełnosprawny | 2.2.0 |
| Azure API for FHIR powinien używać klucza zarządzanego przez klienta do szyfrowania danych magazynowanych | Użyj klucza zarządzanego przez klienta, aby kontrolować szyfrowanie w spoczynku danych przechowywanych w interfejsie API Azure for FHIR, gdy jest to wymaganie dotyczące przepisów lub zgodności. Klucze zarządzane przez klienta zapewniają również podwójne szyfrowanie, dodając drugą warstwę szyfrowania na podstawie domyślnego klucza zarządzanego przez usługę. | audyt; Audyt; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| konta Azure Automation powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku kont Azure Automation. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Szyfrowanie bezpiecznych zasobów w Azure Automation. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konto Azure Batch powinno używać kluczy zarządzanych przez klienta do szyfrowania danych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych danych konta usługi Batch. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Szyfrowanie danych konta usługi Batch. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Cache for Redis Enterprise powinien używać kluczy zarządzanych przez klienta do szyfrowania danych dysku | Użyj kluczy zarządzanych przez klienta (CMK), aby zarządzać szyfrowaniem magazynowanych danych na dysku. Domyślnie dane klientów są szyfrowane przy użyciu kluczy zarządzanych przez platformę (PMK), ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Konfigurowanie szyfrowania dysków w Azure Cache for Redis. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure grupa kontenerów wystąpienia kontenera powinna używać klucza zarządzanego przez klienta do szyfrowania | Zabezpieczanie kontenerów dzięki większej elastyczności przy użyciu kluczy zarządzanych przez klienta. Po określeniu klucza zarządzanego przez klienta ten klucz jest używany do ochrony i kontrolowania access do klucza, który szyfruje dane. Użycie kluczy zarządzanych przez klienta zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0 |
| konta Azure Cosmos DB powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku Azure Cosmos DB. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej w temacie Configure Customer-Managed Keys (Konfigurowanie kluczy Customer-Managed). | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| zadania Azure Data Box powinny używać klucza zarządzanego przez klienta do szyfrowania hasła odblokowywania urządzenia | Użyj klucza zarządzanego przez klienta, aby kontrolować szyfrowanie hasła odblokowywania urządzenia dla Azure Data Box. Klucze zarządzane przez klienta ułatwiają również zarządzanie access do odblokowania hasła urządzenia przez usługę Data Box, aby przygotować urządzenie i skopiować dane w zautomatyzowany sposób. Dane na samym urządzeniu są już szyfrowane w spoczynku przy użyciu szyfrowania Advanced Encryption Standard 256-bitowego, a hasło odblokowywania urządzenia jest domyślnie szyfrowane przy użyciu klucza zarządzanego Microsoft. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Data Explorer szyfrowanie magazynowane powinno używać klucza zarządzanego przez klienta | Włączenie szyfrowania magazynowanych przy użyciu klucza zarządzanego przez klienta w klastrze Azure Data Explorer zapewnia dodatkową kontrolę nad kluczem używanym przez szyfrowanie magazynowane. Ta funkcja jest często stosowana do klientów z specjalnymi wymaganiami dotyczącymi zgodności i wymaga Key Vault do zarządzania kluczami. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure fabryki danych powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku Azure Data Factory. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Encrypt Azure Data Factory przy użyciu klucza zarządzanego przez klienta. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Databricks obszary robocze powinny być jednostkami SKU w warstwie Premium, która obsługuje funkcje, takie jak prywatny link, klucz zarządzany przez klienta na potrzeby szyfrowania | Zezwalaj tylko na obszar roboczy usługi Databricks z jednostkami SKU w warstwie Premium, którą organizacja może wdrożyć w celu obsługi funkcji, takich jak Private Link, klucz zarządzany przez klienta na potrzeby szyfrowania. Dowiedz się więcej na stronie: Konfiguruj prywatną łączność zaplecza z Azure Databricks. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure konta usługi Device Update powinny używać klucza zarządzanego przez klienta do szyfrowania danych magazynowanych | Szyfrowanie danych magazynowanych w usłudze Azure Device Update przy użyciu klucza zarządzanego przez klienta dodaje drugą warstwę szyfrowania na podstawie domyślnych kluczy zarządzanych przez usługę, umożliwia kontrolę klienta nad kluczami, niestandardowymi zasadami rotacji i możliwość zarządzania dostępem do danych za pomocą kontroli dostępu klucza. Dowiedz się więcej na stronie:Szyfrowania danych dla usługi Device Update dla IoT Hub. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure HDInsight klastry powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych klastrów Azure HDInsight. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na temat podwójnego szyfrowania danych magazynowanych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Boty kondycji powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta (CMK), aby zarządzać szyfrowaniem w spoczynku danych swoich botów kondycji. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucz CMK jest często wymagany do spełnienia standardów zgodności z przepisami. Klucz cmK umożliwia szyfrowanie danych przy użyciu klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na Konfigurowanie kluczy zarządzanych przez klienta na potrzeby szyfrowania danych w usłudze agenta opieki zdrowotnej | Audyt; Niepełnosprawny | 1.0.0 |
| Azure zasób testowania obciążenia powinien używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta (CMK), aby zarządzać szyfrowaniem magazynowanych dla zasobu Azure Load Testing. Domyślnie szyfrowanie odbywa się przy użyciu kluczy zarządzanych przez usługę, klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Konfiguruj klucze zarządzane przez klienta dla Azure Load Testing za pomocą Azure Key Vault. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Machine Learning obszary robocze powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Zarządzanie szyfrowaniem w spoczynku Azure Machine Learning danych obszaru roboczego przy użyciu kluczy zarządzanych przez klienta. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Tworzenie obszaru roboczego przy użyciu szablonu Azure Resource Manager. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Azure Machine Learning obszary robocze powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Zarządzanie szyfrowaniem w spoczynku Azure Machine Learning danych obszaru roboczego przy użyciu kluczy zarządzanych przez klienta. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie Tworzenie obszaru roboczego przy użyciu szablonu Azure Resource Manager. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Monitor Klastry dzienników powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Utwórz klaster dzienników Azure Monitor z szyfrowaniem kluczy zarządzanych przez klienta. Domyślnie dane dziennika są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia wymagań zgodności z przepisami. Klucz zarządzany przez klienta w Azure Monitor zapewnia większą kontrolę nad dostępem do danych. Zobacz Konfiguruj klucze zarządzane przez klienta w Azure Monitor. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| [Wersja zapoznawcza]: Magazyny usługi Azure Recovery Services powinny używać kluczy zarządzanych przez klienta do szyfrowania danych kopii zapasowej | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem przechowywanym w danych kopii zapasowej. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na stronie https://aka.ms/AB-CmkEncryption. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: systemy Azure Stack HCI powinny mieć zaszyfrowane woluminy | Funkcja BitLocker umożliwia szyfrowanie woluminów systemu operacyjnego i danych w systemach Azure Stack HCI. | Audyt; Niepełnosprawny; AuditIfNotExists | 1.0.0-preview |
| zadania Azure Stream Analytics powinny używać kluczy zarządzanych przez klienta do szyfrowania danych | Użyj kluczy zarządzanych przez klienta, jeśli chcesz bezpiecznie przechowywać wszelkie metadane i prywatne zasoby danych zadań usługi Stream Analytics na koncie storage. Zapewnia to całkowitą kontrolę nad sposobem szyfrowania danych usługi Stream Analytics. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Azure Synapse obszary robocze powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby kontrolować szyfrowanie danych przechowywanych w Azure Synapse obszarach roboczych. Klucze zarządzane przez klienta zapewniają podwójne szyfrowanie przez dodanie drugiej warstwy szyfrowania na podstawie domyślnego szyfrowania za pomocą kluczy zarządzanych przez usługę. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Bot Service powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Azure Bot Service automatycznie szyfruje zasób, aby chronić dane i spełniać wymagania organizacji dotyczące zabezpieczeń i zgodności. Domyślnie używane są Microsoft zarządzane klucze szyfrowania. Aby uzyskać większą elastyczność zarządzania kluczami lub kontrolowania access w ramach subskrypcji, wybierz klucze zarządzane przez klienta, znane również jako bring your own key (BYOK). Dowiedz się więcej o szyfrowaniu Azure Bot Service: Azure AI Bot Service szyfrowanie danych magazynowanych. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Uboth systemów operacyjnych i dysków danych w klastrach Azure Kubernetes Service powinny być szyfrowane za pomocą kluczy zarządzanych przez klienta | Szyfrowanie dysków systemu operacyjnego i danych przy użyciu kluczy zarządzanych przez klienta zapewnia większą kontrolę i większą elastyczność zarządzania kluczami. Jest to typowe wymaganie w wielu standardach zgodności z przepisami i branży. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| rejestry Container powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w pozostałej części zawartości rejestrów. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na temat kluczy Customer-Managed dla Azure Container Registry. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.2 |
| Szyfrowanie kluczy zarządzanych przez programCustomer musi być używane w ramach szyfrowania cmK dla wystąpień zarządzanych usługi Arc SQL. | W ramach szyfrowania cmK należy użyć szyfrowania kluczy zarządzanych przez klienta. Dowiedz się więcej na stronie Szyfrowanie bazy danych przy użyciu funkcji transparent data encryption ręcznie w SQL Managed Instance włączonej przez Azure Arc. | Audyt; Niepełnosprawny | 1.0.0 |
| usługa DICOM powinna używać klucza zarządzanego przez klienta do szyfrowania danych magazynowanych | Użyj klucza zarządzanego przez klienta, aby kontrolować szyfrowanie danych przechowywanych w usłudze Azure Health Data Services DICOM, gdy jest to wymaganie prawne lub zgodności. Klucze zarządzane przez klienta zapewniają również podwójne szyfrowanie, dodając drugą warstwę szyfrowania na podstawie domyślnego klucza zarządzanego przez usługę. | Audyt; Niepełnosprawny | 1.0.0 |
| ElasticSan Volume Group powinna używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku grupy woluminów. Domyślnie dane klientów są szyfrowane przy użyciu kluczy zarządzanych przez platformę, ale do spełnienia standardów zgodności z przepisami często wymagane są klucze zarządzania. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie, z pełną kontrolą i odpowiedzialnością, w tym rotacją i zarządzaniem. | Audyt; Niepełnosprawny | 1.0.0 |
| Event Hub przestrzenie nazw powinny używać klucza zarządzanego przez klienta do szyfrowania | Azure Event Hubs obsługuje opcję szyfrowania danych magazynowanych przy użyciu kluczy zarządzanych Microsoft (ustawienie domyślne) lub kluczy zarządzanych przez klienta. Wybranie opcji szyfrowania danych przy użyciu kluczy zarządzanych przez klienta umożliwia przypisywanie, obracanie, wyłączanie i odwoływanie access do kluczy używanych przez centrum zdarzeń do szyfrowania danych w przestrzeni nazw. Należy pamiętać, że usługa Event Hub obsługuje szyfrowanie tylko przy użyciu kluczy zarządzanych przez klienta dla przestrzeni nazw w dedykowanych klastrach. | Audyt; Niepełnosprawny | 1.0.0 |
| usługa FHIR powinna używać klucza zarządzanego przez klienta do szyfrowania danych magazynowanych | Użyj klucza zarządzanego przez klienta, aby kontrolować szyfrowanie danych przechowywanych w usłudze Azure Health Data Services FHIR, gdy jest to wymaganie prawne lub zgodności. Klucze zarządzane przez klienta zapewniają również podwójne szyfrowanie, dodając drugą warstwę szyfrowania na podstawie domyślnego klucza zarządzanego przez usługę. | Audyt; Niepełnosprawny | 1.0.0 |
| Fluid Relay powinien używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku serwera Fluid Relay. Domyślnie dane klientów są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale do spełnienia standardów zgodności z przepisami często wymagane są klucze zarządzania usługami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie, z pełną kontrolą i odpowiedzialnością, w tym rotacją i zarządzaniem. Dowiedz się więcej na temat Klucze zarządzane przez Azure Fluid Relay Azure Fluid Relay. | Audyt; Niepełnosprawny | 1.0.0 |
| konta HPC Cache powinny używać klucza zarządzanego przez klienta do szyfrowania | Zarządzanie szyfrowaniem w spoczynku Azure HPC Cache przy użyciu kluczy zarządzanych przez klienta. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.0 |
| [Wersja zapoznawcza]: dane usługi IoT Hub device provisioning powinny być szyfrowane przy użyciu kluczy zarządzanych przez klienta (CMK) | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w spoczynku usługi aprowizacji urządzeń IoT Hub. Dane są automatycznie szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta (CMK) są zwykle wymagane do spełnienia standardów zgodności z przepisami. Zestawy CMKs umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Dowiedz się więcej o szyfrowaniu klucza zarządzanego przez klienta na stronie https://aka.ms/dps/CMK. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| Logic Apps Integration Service Environment powinny być szyfrowane przy użyciu kluczy zarządzanych przez klienta | Wdróż w środowisku usługi integracji, aby zarządzać szyfrowaniem w spoczynku danych usługi Logic Apps przy użyciu kluczy zarządzanych przez klienta. Domyślnie dane klienta są szyfrowane przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Managed disks powinny być szyfrowane dwukrotnie przy użyciu kluczy zarządzanych przez platformę i zarządzanych przez klienta | Klienci z wysokim poziomem zabezpieczeń, którzy są zaniepokojeni ryzykiem związanym z konkretnym algorytmem szyfrowania, implementacją lub kluczem, mogą zdecydować się na dodatkową warstwę szyfrowania przy użyciu innego algorytmu/trybu szyfrowania w warstwie infrastruktury przy użyciu kluczy szyfrowania zarządzanych przez platformę. Zestawy szyfrowania dysków są wymagane do używania podwójnego szyfrowania. Dowiedz się więcej na temat Szyfrowania po stronie serwera Azure dysków zarządzanych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Managed disks powinien używać określonego zestawu zestawów szyfrowania dysków na potrzeby szyfrowania kluczy zarządzanych przez klienta | Wymaganie użycia określonego zestawu zestawów szyfrowania dysków z managed disks zapewnia kontrolę nad kluczami używanymi do szyfrowania magazynowanych. Możesz wybrać dozwolone zestawy zaszyfrowane, a wszystkie inne zostaną odrzucone po dołączeniu do dysku. Dowiedz się więcej na temat Szyfrowania po stronie serwera Azure dysków zarządzanych. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| MySQL serwery powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów MySQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. | AuditIfNotExists; Niepełnosprawny | 1.0.4 |
| OS i dyski danych powinny być szyfrowane przy użyciu klucza zarządzanego przez klienta | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w pozostałej części zawartości managed disks. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez platformę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na temat Szyfrowania po stronie serwera Azure dysków zarządzanych. | Audyt; Zaprzeczać; Niepełnosprawny | 3.0.0 |
| PostgreSQL — serwery elastyczne powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów elastycznych PostgreSQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| serwery PostgreSQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem magazynowanych serwerów PostgreSQL. Domyślnie dane są szyfrowane w spoczynku przy użyciu kluczy zarządzanych przez usługę, ale klucze zarządzane przez klienta są często wymagane do spełnienia standardów zgodności z przepisami. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza Azure Key Vault utworzonego i należącego do Ciebie. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. | AuditIfNotExists; Niepełnosprawny | 1.0.4 |
| Queue Storage powinien używać klucza zarządzanego przez klienta do szyfrowania | Zabezpiecz kolejkę storage z większą elastycznością przy użyciu kluczy zarządzanych przez klienta. Po określeniu klucza zarządzanego przez klienta ten klucz jest używany do ochrony i kontrolowania access do klucza, który szyfruje dane. Użycie kluczy zarządzanych przez klienta zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Service Bus Przestrzenie nazw Premium powinny używać klucza zarządzanego przez klienta do szyfrowania | Azure Service Bus obsługuje opcję szyfrowania danych magazynowanych przy użyciu kluczy zarządzanych Microsoft (ustawienie domyślne) lub kluczy zarządzanych przez klienta. Wybranie opcji szyfrowania danych przy użyciu kluczy zarządzanych przez klienta umożliwia przypisywanie, obracanie, wyłączanie i odwoływanie dostępu do kluczy, które Service Bus będą używane do szyfrowania danych w przestrzeni nazw. Należy pamiętać, że Service Bus obsługuje tylko szyfrowanie przy użyciu kluczy zarządzanych przez klienta dla przestrzeni nazw w warstwie Premium. | Audyt; Niepełnosprawny | 1.0.0 |
| SQL zarządzane wystąpienia powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Zaimplementowanie Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększenie bezpieczeństwa dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższenie poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| serwery SQL powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Zaimplementowanie Transparent Data Encryption (TDE) przy użyciu własnego klucza zapewnia większą przejrzystość i kontrolę nad funkcją ochrony TDE, zwiększenie bezpieczeństwa dzięki usłudze zewnętrznej opartej na module HSM oraz podwyższenie poziomu rozdzielenia obowiązków. To zalecenie dotyczy organizacji z powiązanym wymaganiem dotyczącym zgodności. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.1 |
| Konto przechowywania zawierające kontener z dziennikami aktywności musi być zaszyfrowane za pomocą BYOK | Ta polityka sprawdza, czy konto magazynu zawierające kontener z dziennikami aktywności jest szyfrowane za pomocą BYOK. Zasady działają tylko wtedy, gdy konto magazynu znajduje się w tej samej subskrypcji co dzienniki aktywności z założenia. Więcej informacji na temat szyfrowania usługi Azure Storage w spoczynku można znaleźć tutaj https://aka.ms/azurestoragebyok. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Storage zakresy szyfrowania konta powinny używać kluczy zarządzanych przez klienta do szyfrowania danych magazynowanych | Użyj kluczy zarządzanych przez klienta, aby zarządzać szyfrowaniem w pozostałych zakresach szyfrowania konta storage. Klucze zarządzane przez klienta umożliwiają szyfrowanie danych za pomocą klucza magazynu kluczy utworzonego i należącego do Ciebie Azure. Masz pełną kontrolę nad cyklem życia klucza i ponosisz za niego odpowiedzialność, w tym za jego rotację i zarządzanie. Dowiedz się więcej na temat zakresów szyfrowania konta storage w Zakresy kryptograficzne dla Blob storage. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Storage zakresy szyfrowania konta powinny używać podwójnego szyfrowania danych magazynowanych | Włącz szyfrowanie infrastruktury na potrzeby szyfrowania magazynowanych storage zakresów szyfrowania konta w celu zwiększenia bezpieczeństwa. Szyfrowanie infrastruktury gwarantuje, że dane są szyfrowane dwa razy. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konta Storage powinny używać klucza zarządzanego przez klienta do szyfrowania | Zabezpieczanie obiektu blob i konta storage plików przy użyciu kluczy zarządzanych przez klienta. Po określeniu klucza zarządzanego przez klienta ten klucz jest używany do ochrony i kontrolowania access do klucza, który szyfruje dane. Użycie kluczy zarządzanych przez klienta zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych. | Audyt; Niepełnosprawny | 1.0.3 |
| Table Storage powinien używać klucza zarządzanego przez klienta do szyfrowania | Zabezpiecz tabelę storage z większą elastycznością przy użyciu kluczy zarządzanych przez klienta. Po określeniu klucza zarządzanego przez klienta ten klucz jest używany do ochrony i kontrolowania access do klucza, który szyfruje dane. Użycie kluczy zarządzanych przez klienta zapewnia dodatkowe możliwości kontrolowania rotacji klucza szyfrowania klucza lub kryptograficznie wymazywania danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
DP-6: Używanie bezpiecznego procesu zarządzania kluczami
Aby uzyskać więcej informacji, zobacz Data Protection: DP-6: Use a secure key management process (Ochrona danych: DP-6: używanie bezpiecznego procesu zarządzania kluczami).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| API Management secret nazwane wartości powinny być przechowywane w Azure Key Vault | Nazwane wartości to kolekcja par nazw i wartości w każdej usłudze API Management. Wartości wpisów tajnych mogą być przechowywane jako zaszyfrowany tekst w usłudze API Management (niestandardowe wpisy tajne) lub przez odwoływanie się do wpisów tajnych w Azure Key Vault. Aby zwiększyć bezpieczeństwo usługi API Management i wpisów tajnych, odwołaj się do wpisów tajnych nazwanych wartości z Azure Key Vault. Azure Key Vault obsługuje szczegółowe zarządzanie dostępem i zasady rotacji wpisów tajnych. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.2 |
| konta Azure Cosmos DB nie powinny przekraczać maksymalnej liczby dni dozwolonych od czasu ostatniego ponownego odnowienia klucza konta. | Wygeneruj ponownie klucze w określonym czasie, aby zapewnić większą ochronę danych. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Data Factory połączone usługi powinny używać Key Vault do przechowywania wpisów tajnych | Aby zapewnić bezpieczne zarządzanie wpisami tajnymi (takimi jak parametry połączenia), należy wymagać od użytkowników podania wpisów tajnych przy użyciu Azure Key Vault zamiast określania ich wbudowanych w połączonych usługach. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| [Wersja zapoznawcza]: klucze zarządzanego modułu HSM Azure Key Vault powinny mieć datę wygaśnięcia | Aby użyć tych zasad w wersji zapoznawczej, należy najpierw postępować zgodnie z tymi instrukcjami pod adresem https://aka.ms/mhsmgovernance. Klucze kryptograficzne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Klucze, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na naruszenie klucza. Zalecaną praktyką w zakresie zabezpieczeń jest ustawianie dat wygaśnięcia kluczy kryptograficznych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| [Wersja zapoznawcza]: Azure Key Vault zarządzane klucze HSM powinny mieć więcej niż określoną liczbę dni przed wygaśnięciem | Aby użyć tych zasad w wersji zapoznawczej, należy najpierw postępować zgodnie z tymi instrukcjami pod adresem https://aka.ms/mhsmgovernance. Jeśli klucz jest zbyt blisko wygaśnięcia, opóźnienie organizacji w celu rotacji klucza może spowodować awarię. Klucze powinny być obracane o określonej liczbie dni przed wygaśnięciem, aby zapewnić wystarczający czas reakcji na awarię. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| [Wersja zapoznawcza]: Azure Key Vault klucze zarządzanego modułu HSM przy użyciu kryptografii krzywej wielokroptycznej powinny mieć określone nazwy krzywej | Aby użyć tych zasad w wersji zapoznawczej, należy najpierw postępować zgodnie z tymi instrukcjami pod adresem https://aka.ms/mhsmgovernance. Klucze wspierane przez kryptografię krzywej eliptycznej mogą mieć różne nazwy krzywej. Niektóre aplikacje są zgodne tylko z określonymi wielokropowymi kluczami krzywej. Wymuś typy wielokroptycznych kluczy krzywych, które mogą być tworzone w danym środowisku. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| [Wersja zapoznawcza]: Azure Key Vault zarządzane klucze HSM przy użyciu kryptografii RSA powinny mieć określony minimalny rozmiar klucza | Aby użyć tych zasad w wersji zapoznawczej, należy najpierw postępować zgodnie z tymi instrukcjami pod adresem https://aka.ms/mhsmgovernance. Ustaw minimalny dozwolony rozmiar klucza do użycia z magazynami kluczy. Użycie kluczy RSA o małych rozmiarach kluczy nie jest bezpieczną praktyką i nie spełnia wielu wymagań dotyczących certyfikacji w branży. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1—wersja zapoznawcza |
| Azure Key Vault Zarządzany moduł HSM powinien mieć włączoną ochronę przeczyszczania | Złośliwe usunięcie zarządzanego modułu HSM usługi Azure Key Vault może prowadzić do trwałej utraty danych. Złośliwy tester w organizacji może potencjalnie usunąć i przeczyścić zarządzany moduł HSM usługi Azure Key Vault. Ochrona przed przeczyszczeniem chroni przed atakami poufnymi przez wymuszanie obowiązkowego okresu przechowywania dla nietrwałego zarządzanego modułu HSM usługi Azure Key Vault. Nikt w twojej organizacji lub firmie Microsoft nie będzie mógł przeczyścić zarządzanego modułu HSM usługi Azure Key Vault w okresie przechowywania usuwania nietrwałego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Klastry Kubernetes powinny włączyć usługę zarządzania kluczami (KMS) | Użyj usługa zarządzania kluczami (KMS) do szyfrowania danych tajnych magazynowanych w magazynie itp. na potrzeby zabezpieczeń klastra Kubernetes. Dowiedz się więcej na stronie: https://aka.ms/aks/kmsetcdencryption. | Audyt; Niepełnosprawny | 1.1.0 |
| klucze Key Vault powinny mieć datę wygaśnięcia | Klucze kryptograficzne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Klucze, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na naruszenie klucza. Zalecaną praktyką w zakresie zabezpieczeń jest ustawianie dat wygaśnięcia kluczy kryptograficznych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.2 |
| wpisy tajne Key Vault powinny mieć datę wygaśnięcia | Wpisy tajne powinny mieć zdefiniowaną datę wygaśnięcia i nie być trwałe. Wpisy tajne, które są ważne na zawsze, zapewniają potencjalnemu atakującemu więcej czasu na ich naruszenie. Zalecanym rozwiązaniem w zakresie zabezpieczeń jest ustawienie dat wygaśnięcia wpisów tajnych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.2 |
| Klucze powinny być wspierane przez sprzętowy moduł zabezpieczeń (HSM) | Moduł HSM to sprzętowy moduł zabezpieczeń, który przechowuje klucze. Moduł HSM zapewnia fizyczną warstwę ochrony kluczy kryptograficznych. Klucz kryptograficzny nie może pozostawić fizycznego modułu HSM, który zapewnia wyższy poziom zabezpieczeń niż klucz oprogramowania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Klucze powinny być określonym typem kryptograficznym RSA lub EC | Niektóre aplikacje wymagają użycia kluczy wspieranych przez określony typ kryptograficzny. Wymuszanie określonego typu klucza kryptograficznego, RSA lub EC w środowisku. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Keys powinny mieć zasady rotacji, aby ich rotacja została zaplanowana w ciągu określonej liczby dni po utworzeniu. | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalną liczbę dni po utworzeniu klucza do czasu jego rotacji. | Audyt; Niepełnosprawny | 1.0.0 |
| Klucze powinny mieć więcej niż określoną liczbę dni przed wygaśnięciem | Jeśli klucz jest zbyt blisko wygaśnięcia, opóźnienie organizacji w celu rotacji klucza może spowodować awarię. Klucze powinny być obracane o określonej liczbie dni przed wygaśnięciem, aby zapewnić wystarczający czas reakcji na awarię. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Keys powinien mieć określony maksymalny okres ważności | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalny czas w dniach, przez który klucz może być prawidłowy w ramach key vault. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Keys nie powinny być aktywne dłużej niż określona liczba dni | Określ liczbę dni, w których klucz powinien być aktywny. Klucze używane przez dłuższy czas zwiększają prawdopodobieństwo, że osoba atakująca może naruszyć klucz. Dobrym rozwiązaniem w zakresie zabezpieczeń jest upewnienie się, że twoje klucze nie były aktywne dłużej niż dwa lata. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Klucze używające kryptografii krzywej eliptycznej powinny mieć określone nazwy krzywej | Klucze wspierane przez kryptografię krzywej eliptycznej mogą mieć różne nazwy krzywej. Niektóre aplikacje są zgodne tylko z określonymi wielokropowymi kluczami krzywej. Wymuś typy wielokroptycznych kluczy krzywych, które mogą być tworzone w danym środowisku. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Klucze korzystające z kryptografii RSA powinny mieć określony minimalny rozmiar klucza | Ustaw minimalny dozwolony rozmiar klucza do użycia z magazynami kluczy. Użycie kluczy RSA o małych rozmiarach kluczy nie jest bezpieczną praktyką i nie spełnia wielu wymagań dotyczących certyfikacji w branży. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Secrets powinny mieć więcej niż określoną liczbę dni przed wygaśnięciem | Jeśli wpis tajny jest zbyt blisko wygaśnięcia, opóźnienie organizacji w celu rotacji wpisu tajnego może spowodować awarię. Wpisy tajne powinny być obracane o określonej liczbie dni przed wygaśnięciem, aby zapewnić wystarczający czas reakcji na awarię. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Secrets powinny mieć określony maksymalny okres ważności | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalny czas w dniach, przez który wpis tajny może być prawidłowy w ramach key vault. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Secrets nie powinny być aktywne dłużej niż określona liczba dni | Jeśli wpisy tajne zostały utworzone z datą aktywacji ustawioną w przyszłości, musisz upewnić się, że wpisy tajne nie były aktywne przez dłuższy niż określony czas trwania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Storage klucze kont nie powinny wygasły | Upewnij się, że użytkownik storage klucze konta nie wygasły po ustawieniu zasad wygasania klucza, aby zwiększyć bezpieczeństwo kluczy kont przez podjęcie akcji po wygaśnięciu kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 3.0.0 |
DP-7: Używanie bezpiecznego procesu zarządzania certyfikatami
Aby uzyskać więcej informacji, zobacz Data Protection: DP-7: Use a secure certificate management process (Ochrona danych: DP-7: używanie bezpiecznego procesu zarządzania certyfikatami).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Certyfikaty powinny być wystawiane przez określony zintegrowany urząd certyfikacji | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając zintegrowane urzędy certyfikacji platformy Azure, które mogą wystawiać certyfikaty w magazynie kluczy, takie jak Digicert lub GlobalSign. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Certyfikaty powinny być wystawiane przez określony niezintegowany urząd certyfikacji | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając jeden niestandardowy lub wewnętrzny urząd certyfikacji, który może wystawiać certyfikaty w magazynie kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.1 |
| Certyfikaty powinny mieć określone wyzwalacze akcji okresu istnienia | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając, czy akcja okresu istnienia certyfikatu jest wyzwalana w określonym procentze jego okresu istnienia, czy na określoną liczbę dni przed jego wygaśnięciem. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Certificates powinien mieć określony maksymalny okres ważności | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalny czas ważności certyfikatu w ramach key vault. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 2.2.1 |
| Certificates powinien mieć określony maksymalny okres ważności | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając maksymalny czas ważności certyfikatu w ramach key vault. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 2.2.1 |
| Certificates nie powinny wygasać w ciągu określonej liczby dni | Zarządzaj certyfikatami, które wygasną w ciągu określonej liczby dni, aby zapewnić organizacji wystarczający czas na wymianę certyfikatu przed wygaśnięciem. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 2.1.1 |
| Certyfikaty powinny używać dozwolonych typów kluczy | Zarządzanie wymaganiami dotyczącymi zgodności organizacji przez ograniczenie typów kluczy dozwolonych dla certyfikatów. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Certyfikaty używające kryptografii krzywej eliptycznej powinny mieć dozwolone nazwy krzywych | Zarządzaj dozwolonymi nazwami krzywych eliptycznych dla certyfikatów ECC przechowywanych w magazynie kluczy. Więcej informacji można znaleźć na stronie https://aka.ms/akvpolicy. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Certyfikaty korzystające z kryptografii RSA powinny mieć określony minimalny rozmiar klucza | Zarządzaj wymaganiami dotyczącymi zgodności organizacji, określając minimalny rozmiar klucza dla certyfikatów RSA przechowywanych w magazynie kluczy. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
DP-8: Zapewnianie zabezpieczeń klucza i repozytorium certyfikatów
Aby uzyskać więcej informacji, zobacz Ochrona danych: DP-8: Zapewnianie zabezpieczeń klucza i repozytorium certyfikatów.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla Key Vault należy włączyć | Azure Defender dla Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń, wykrywając nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont key vault lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Key Vault powinna być wyłączona zapora lub dostęp do sieci publicznej | Włącz zaporę key vault, aby key vault była domyślnie niedostępna dla żadnych publicznych adresów IP lub wyłączyć access sieci publicznej dla key vault, aby była niedostępna za pośrednictwem publicznego Internetu. Opcjonalnie można skonfigurować określone zakresy adresów IP, aby ograniczyć access do tych sieci. Dowiedz się więcej na stronie: Network security for Azure Key Vault and Integrate Key Vault with Azure Private Link | Audyt; Zaprzeczać; Niepełnosprawny | 3.3.0 |
| Azure Usługa Key Vault powinna używać łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na key vault, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Integrate Key Vault z Azure Private Link. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.1 |
| magazyny Key powinny mieć włączoną ochronę usuwania | Złośliwe usunięcie key vault może prowadzić do trwałej utraty danych. Można zapobiec trwałej utracie danych, włączając ochronę przed przeczyszczeniem i usuwaniem nietrwałym. Ochrona przed przeczyszczeniem chroni przed atakami poufnymi przez wymuszanie obowiązkowego okresu przechowywania dla nietrwałych magazynów kluczy usuniętych. Nikt w organizacji lub Microsoft nie będzie mógł przeczyścić magazynów kluczy w okresie przechowywania usuwania nietrwałego. Pamiętaj, że magazyny kluczy utworzone po 1 września 2019 r. mają domyślnie włączone usuwanie nietrwałe. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| magazyny Key powinny mieć włączone usuwanie nietrwałe | Usunięcie key vault bez włączenia usuwania nietrwałego powoduje trwałe usunięcie wszystkich wpisów tajnych, kluczy i certyfikatów przechowywanych w key vault. Przypadkowe usunięcie key vault może prowadzić do trwałej utraty danych. Usuwanie nietrwałe umożliwia odzyskanie przypadkowo usuniętego key vault dla konfigurowalnego okresu przechowywania. | Audyt; Zaprzeczać; Niepełnosprawny | 3.1.0 |
| Resource dzienniki w Key Vault powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można ponownie utworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| Wpisy tajne powinny mieć ustawiony typ zawartości | Tag typu zawartości pomaga określić, czy wpis tajny jest hasłem, parametry połączenia itp. Różne wpisy tajne mają różne wymagania dotyczące rotacji. Tag typu zawartości powinien być ustawiony dla wpisów tajnych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
DS-6: Zabezpieczanie cyklu życia obciążenia
Aby uzyskać więcej informacji, zobacz DevOps Security: DS-6: Secure the workload lifecycle (Zabezpieczenia: DS-6: zabezpieczanie cyklu życia obciążenia).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure obrazy kontenerów rejestru powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender) | Ocena podatności obrazów kontenerów skanuje rejestr w poszukiwaniu powszechnie znanych podatności (CVE) i generuje szczegółowy raport o podatności dla każdego obrazu. Rozwiązywanie luk w zabezpieczeniach może znacznie poprawić pozycję bezpieczeństwa, zapewniając, że obrazy są bezpieczne do użycia przed wdrożeniem. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Azure uruchomione obrazy kontenerów powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender) | Ocena podatności obrazów kontenerów skanuje rejestr w poszukiwaniu powszechnie znanych podatności (CVE) i generuje szczegółowy raport o podatności dla każdego obrazu. To zalecenie zapewnia widoczność narażonych obrazów aktualnie uruchomionych w klastrach Kubernetes. Korygowanie luk w zabezpieczeniach obrazów kontenerów, które są obecnie uruchomione, ma kluczowe znaczenie dla poprawy stanu zabezpieczeń, co znacznie zmniejsza surface ataków dla konteneryzowanych obciążeń. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
ES-1: Używanie wykrywania i reagowania punktu końcowego (EDR)
Aby uzyskać więcej informacji, zobacz Zabezpieczenia punktu końcowego: ES-1: Używanie wykrywania i reagowania punktu końcowego (EDR).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla serwerów należy włączyć | Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| [wersja zapoznawcza]: Wdrażanie agenta Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach hybrydowych z systemem Linux | Wdraża agenta Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach hybrydowych z systemem Linux | DeployIfNotExists; AuditIfNotExists; Wyłączone | Wersja zapoznawcza 2.0.1 |
| [wersja zapoznawcza]: Wdrażanie agenta Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach wirtualnych z systemem Linux | Wdraża agenta Ochrona punktu końcowego w usłudze Microsoft Defender na odpowiednich obrazach maszyn wirtualnych z systemem Linux. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 3.0.0-preview |
| [wersja zapoznawcza]: Wdrażanie agenta Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach Windows Azure Arc | Wdraża Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach Windows Azure Arc. | DeployIfNotExists; AuditIfNotExists; Wyłączone | Wersja zapoznawcza 2.0.1 |
| [wersja zapoznawcza]: Wdrażanie agenta Ochrona punktu końcowego w usłudze Microsoft Defender na maszynach wirtualnych Windows | Wdraża Ochrona punktu końcowego w usłudze Microsoft Defender na odpowiednich obrazach maszyn wirtualnych Windows. | DeployIfNotExists; AuditIfNotExists; Wyłączone | Wersja zapoznawcza 2.0.1 |
ES-2: Korzystanie z nowoczesnego oprogramowania chroniącego przed złośliwym oprogramowaniem
Aby uzyskać więcej informacji, zobacz Endpoint Security: ES-2: Use modern anti-malware software (Zabezpieczenia punktu końcowego: ES-2: używanie nowoczesnego oprogramowania chroniącego przed złośliwym oprogramowaniem).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Microsoft ochrona przed złośliwym kodem dla Azure powinna być skonfigurowana do automatycznego aktualizowania podpisów ochrony | Te zasady przeprowadzają inspekcję wszystkich Windows maszyny wirtualnej, która nie została skonfigurowana przy użyciu automatycznej aktualizacji sygnatur ochrony przed złośliwym kodem Microsoft. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft rozszerzenie IaaSAntimalware należy wdrożyć na serwerach Windows | Te zasady przeprowadzają inspekcję dowolnej maszyny wirtualnej serwera Windows bez Microsoft wdrożonego rozszerzenia IaaSAntimalware. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Windows Defender Exploit Guard powinien być włączony na maszynach | Windows Defender Exploit Guard używa agenta konfiguracji gościa Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach złośliwego oprogramowania, umożliwiając przedsiębiorstwom równoważenie ryzyka bezpieczeństwa i wymagań dotyczących produktywności (tylko Windows). | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
IM-1: Użyj scentralizowanego systemu tożsamości i uwierzytelniania
Aby uzyskać więcej informacji, zobacz Zarządzanie tożsamościami: IM-1: Używanie scentralizowanego systemu tożsamości i uwierzytelniania.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| A administrator Microsoft Entra powinien być aprowizowany dla serwerów PostgreSQL | Inspekcja aprowizacji administratora Microsoft Entra dla serwera PostgreSQL w celu włączenia uwierzytelniania Microsoft Entra. Microsoft Entra uwierzytelnianie umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Administrator Azure Active Directory powinien być aprowizowany dla serwerów SQL | Przeprowadź inspekcję aprowizacji administratora Azure Active Directory dla serwera SQL, aby umożliwić Azure uwierzytelnianie usługi AD. Azure uwierzytelnianie usługi AD umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Aplikacje usługi App Service powinny mieć włączone uwierzytelnianie | Uwierzytelnianie usługi Azure App Service to funkcja, która może zapobiegać dotarciu anonimowych żądań HTTP do aplikacji internetowej lub uwierzytelniać te posiadające tokeny, zanim dotrą do aplikacji. | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| App Service aplikacje powinny mieć wyłączone lokalne metody uwierzytelniania dla wdrożeń FTP | Wyłączenie lokalnych metod uwierzytelniania dla wdrożeń FTP zwiększa bezpieczeństwo, zapewniając, że usługi App Services wymagają wyłącznie Microsoft Entra tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: |
AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| App Service aplikacje powinny mieć wyłączone lokalne metody uwierzytelniania dla wdrożeń lokacji SCM | Wyłączenie lokalnych metod uwierzytelniania dla lokacji SCM zwiększa bezpieczeństwo, zapewniając, że usługi App Services wymagają wyłącznie Microsoft Entra tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: |
AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| składniki Application Insights powinny blokować pozyskiwanie na podstawie Azure Active Directory. | Wymuszanie pozyskiwania dzienników w celu wymagania uwierzytelniania Azure Active Directory uniemożliwia osobie atakującej nieuwierzytelnione dzienniki, co może prowadzić do nieprawidłowego stanu, fałszywych alertów i nieprawidłowych dzienników przechowywanych w systemie. | Zaprzeczać; Audyt; Niepełnosprawny | 1.0.0 |
| Usługa wyszukiwania sztucznej inteligencji platformy Azure powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że usługi Wyszukiwanie AI platformy Azure wymagają wyłącznie tożsamości usługi Azure Active Directory na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/azure-cognitive-search/rbac. Należy pamiętać, że chociaż parametr wyłączenia uwierzytelniania lokalnego jest nadal w wersji zapoznawczej, działanie odmowy dla tej polityki może spowodować ograniczenie funkcjonalności portalu usługi Wyszukiwanie AI platformy Azure, ponieważ niektóre funkcje portalu używają interfejsu API GA, który nie obsługuje parametru. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure zasoby usług sztucznej inteligencji powinny mieć wyłączony dostęp do klucza (wyłącz uwierzytelnianie lokalne) | W celu zabezpieczenia zaleca się wyłączenie access klucza (uwierzytelniania lokalnego). Azure OpenAI Studio, zwykle używane podczas programowania/testowania, wymaga dostępu klucza i nie będzie działać, jeśli dostęp do klucza jest wyłączony. Po wyłączeniu Microsoft Entra ID staje się jedyną metodą dostępu, która umożliwia utrzymanie minimalnej zasady uprawnień i szczegółowej kontroli. Dowiedz się więcej na stronie: Authentication in Foundry Tools (Uwierzytelnianie w narzędziach Foundry Tools) | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Azure Automation konto powinno mieć wyłączoną lokalną metodę uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Automation konta wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid domeny powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Event Grid domeny wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/aeg-disablelocalauth. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid przestrzenie nazw partnerów powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Event Grid przestrzenie nazw partnerów wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/aeg-disablelocalauth. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid tematy powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Event Grid tematy wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/aeg-disablelocalauth. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Przestrzenie nazw usługi Azure Event Hub powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że przestrzenie nazw usługi Azure Event Hub wymagają wyłącznie tożsamości identyfikatora Entra firmy Microsoft na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/disablelocalauth-eh. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Kubernetes Service Klastry powinny włączyć integrację Microsoft Entra ID | Integracja Microsoft Entra ID zarządzana przez usługę AKS może zarządzać dostępem do klastrów, konfigurując kontrolę dostępu opartą na rolach (Kubernetes RBAC) na podstawie tożsamości użytkownika lub członkostwa w grupie katalogów. Dowiedz się więcej na stronie: Włączenie Microsoft Entra zarządzane przez usługę AKS w klastrze Azure Kubernetes Service. | Audyt; Niepełnosprawny | 1.0.2 |
| Azure Kubernetes Service Klastry powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Kubernetes Service Klastry powinny wymagać wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/aks-disable-local-accounts. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Machine Learning Obliczenia powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Machine Learning Computes wymagają Azure Active Directory tożsamości wyłącznie na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: Azure Policy Mechanizmy kontroli zgodności z przepisami dla Azure Machine Learning. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| [wersja zapoznawcza]: serwer elastyczny Azure PostgreSQL powinien mieć włączony Microsoft Entra Tylko uwierzytelnianie | Wyłączenie lokalnych metod uwierzytelniania i zezwolenie tylko na Microsoft Entra uwierzytelnianie zwiększa bezpieczeństwo, zapewniając, że Azure serwer elastyczny PostgreSQL może być dostępny wyłącznie przez tożsamości Microsoft Entra. | Audyt; Niepełnosprawny | 1.0.0-preview |
| Azure Service Bus przestrzenie nazw powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że Azure Service Bus przestrzeni nazw wymagają wyłącznie Microsoft Entra ID tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/disablelocalauth-sb. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure SQL Database powinien mieć włączone uwierzytelnianie tylko Microsoft Entra | Wymagaj Azure SQL serwerów logicznych do używania uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują tworzenia serwerów z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Utwórz serwer z włączonym uwierzytelnianiem tylko Microsoft Entra. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure SQL Database podczas tworzenia powinno być włączone uwierzytelnianie tylko Microsoft Entra | Wymagaj utworzenia Azure SQL serwerów logicznych przy użyciu uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Utwórz serwer z włączonym uwierzytelnianiem tylko Microsoft Entra. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| Azure SQL Managed Instance powinien mieć włączone uwierzytelnianie tylko Microsoft Entra | Wymagaj Azure SQL Managed Instance do używania uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują tworzenia Azure SQL wystąpień zarządzanych z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Utwórz serwer z włączonym uwierzytelnianiem tylko Microsoft Entra. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure SQL Wystąpienia zarządzane powinny mieć włączone uwierzytelnianie tylko Microsoft Entra podczas tworzenia | Wymagaj utworzenia Azure SQL Managed Instance przy użyciu uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Utwórz serwer z włączonym uwierzytelnianiem tylko Microsoft Entra. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| Usługa Azure Web PubSub powinna mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że usługa Azure Web PubSub wymaga wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Bot Service powinny być wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że bot korzysta wyłącznie z usługi AAD do uwierzytelniania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Rejestry kontenerów powinny mieć wyłączone uwierzytelnianie anonimowe. | Wyłącz anonimowe ściąganie dla rejestru, aby dane nie były dostępne dla nieuwierzytelnionego użytkownika. Wyłączenie lokalnych metod uwierzytelniania, takich jak użytkownik administracyjny, tokeny dostępu w zakresie repozytorium i anonimowe ściąganie zwiększa bezpieczeństwo, zapewniając, że rejestry kontenerów wymagają wyłącznie tożsamości usługi Azure Active Directory na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/acr/authentication. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Rejestry kontenerów powinny mieć wyłączone uwierzytelnianie tokenu odbiorców usługi ARM. | Wyłącz tokeny odbiorców ARM usługi Azure Active Directory do uwierzytelniania w rejestrze. Do uwierzytelniania będą używane tylko tokeny odbiorców usługi Azure Container Registry (ACR). Dzięki temu do uwierzytelniania mogą być używane tylko tokeny przeznaczone do użycia w rejestrze. Wyłączenie tokenów odbiorców usługi ARM nie ma wpływu na uwierzytelnianie użytkownika administratora ani tokenów dostępu z określonym zasięgiem. Dowiedz się więcej na stronie: https://aka.ms/acr/authentication. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| rejestry Container powinny mieć wyłączone konto administratora lokalnego. | Wyłącz konto administratora dla rejestru, aby nie było dostępne dla administratora lokalnego. Wyłączenie lokalnych metod uwierzytelniania, takich jak użytkownik administracyjny, tokeny dostępu w zakresie repozytorium i anonimowe ściąganie zwiększa bezpieczeństwo, zapewniając, że rejestry kontenerów wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: Azure Container Registry Opcje uwierzytelniania wyjaśnione. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Rejestry kontenerów powinny mieć wyłączone tokeny dostępu o zasięgu repozytorium. | Wyłącz tokeny dostępu przypisane do repozytoriów dla rejestru, aby uniemożliwić dostęp do repozytoriów za pomocą tokenów. Wyłączenie lokalnych metod uwierzytelniania, takich jak użytkownik administracyjny, tokeny dostępu w zakresie repozytorium i anonimowe ściąganie zwiększa bezpieczeństwo, zapewniając, że rejestry kontenerów wymagają wyłącznie tożsamości usługi Azure Active Directory na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: https://aka.ms/acr/authentication. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konta bazy danych Cosmos DB powinny mieć wyłączone lokalne metody uwierzytelniania | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że konta bazy danych usługi Cosmos DB wymagają wyłącznie Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na stronie: Połączenie z Azure Cosmos DB na potrzeby NoSQL przy użyciu kontroli dostępu opartej na rolach i Microsoft Entra ID. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Aplikacje funkcji powinny mieć włączone uwierzytelnianie | Uwierzytelnianie usług Azure App Service to funkcja, która może uniemożliwić anonimowym żądaniom HTTP dotarcie do Aplikacji Funkcji lub uwierzytelnić te z tokenami, zanim dotrą do Aplikacji Funkcji. | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Log Analytics Obszary robocze powinny blokować Azure Active Directory oparte na pozyskiwaniu. | Wymuszanie pozyskiwania dzienników w celu wymagania uwierzytelniania Azure Active Directory uniemożliwia osobie atakującej nieuwierzytelnione dzienniki, co może prowadzić do nieprawidłowego stanu, fałszywych alertów i nieprawidłowych dzienników przechowywanych w systemie. | Zaprzeczać; Audyt; Niepełnosprawny | 1.0.0 |
| klastry Service Fabric powinny używać tylko Azure Active Directory do uwierzytelniania klienta | Inspekcja użycia uwierzytelniania klienta tylko za pośrednictwem Azure Active Directory w usłudze Fabric | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| konta |
Wymaganie inspekcji Azure Active Directory (Azure AD) w celu autoryzowania żądań dla konta magazynu. Domyślnie żądania mogą być autoryzowane przy użyciu poświadczeń Azure Active Directory lub przy użyciu klucza dostępu konta do autoryzacji klucza współdzielonego. Spośród tych dwóch typów autoryzacji usługa Azure AD zapewnia lepsze zabezpieczenia i łatwość użycia za pośrednictwem klucza współużytkowanego i jest zalecana przez Microsoft. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| konta Storage powinny uniemożliwiać access klucza współużytkowanego (z wyłączeniem kont storage utworzonych przez usługę Databricks) | Wymaganie inspekcji Azure Active Directory (Azure AD) w celu autoryzowania żądań dla konta magazynu. Domyślnie żądania mogą być autoryzowane przy użyciu poświadczeń Azure Active Directory lub przy użyciu klucza dostępu konta do autoryzacji klucza współdzielonego. Spośród tych dwóch typów autoryzacji usługa Azure AD zapewnia lepsze zabezpieczenia i łatwość użycia za pośrednictwem klucza współużytkowanego i jest zalecana przez Microsoft. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Synapse Obszary robocze powinny mieć włączone uwierzytelnianie tylko Microsoft Entra | Wymagaj, aby obszary robocze usługi Synapse używały uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują tworzenia obszarów roboczych z włączonym uwierzytelnianiem lokalnym. Uniemożliwia ona włączenie uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Azure Synapse Analytics. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Synapse Workspaces powinny używać tylko tożsamości Microsoft Entra do uwierzytelniania podczas tworzenia obszaru roboczego | Wymagaj utworzenia obszarów roboczych usługi Synapse przy użyciu uwierzytelniania tylko Microsoft Entra. Te zasady nie blokują ponownego włączania uwierzytelniania lokalnego w zasobach po utworzeniu. Rozważ użycie inicjatywy "uwierzytelnianie tylko Microsoft Entra", aby wymagać obu tych elementów. Dowiedz się więcej na stronie: Azure Synapse Analytics. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| bramy VPN powinny używać tylko uwierzytelniania Azure Active Directory (Azure AD) dla użytkowników punkt-lokacja | Wyłączenie lokalnych metod uwierzytelniania zwiększa bezpieczeństwo, zapewniając, że bramy sieci VPN używają tylko Azure Active Directory tożsamości na potrzeby uwierzytelniania. Dowiedz się więcej na temat uwierzytelniania usługi Azure AD na stronie Konfigurowanie bramy sieci VPN P2S na potrzeby uwierzytelniania Microsoft Entra ID | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
IM-2: Ochrona systemów tożsamości i uwierzytelniania
Aby uzyskać więcej informacji, zobacz Identity Management: IM-2: Protect identity and authentication systems (Zarządzanie tożsamościami: IM-2: ochrona systemów tożsamości i uwierzytelniania).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Użytkownicy muszą uwierzytelniać się za pomocą uwierzytelniania wieloskładnikowego, aby tworzyć lub aktualizować zasoby | Ta definicja zasad blokuje operacje tworzenia i aktualizowania zasobów, gdy obiekt wywołujący nie jest uwierzytelniany za pośrednictwem uwierzytelniania wieloskładnikowego. Aby uzyskać więcej informacji, odwiedź Plan dla obowiązkowego Microsoft Entra uwierzytelniania wieloskładnikowego (MFA). | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
IM-3: Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji
Aby uzyskać więcej informacji, zobacz Zarządzanie tożsamościami: IM-3: Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| [wersja zapoznawcza]: Tożsamość zarządzana powinna być włączona na maszynach | Zasoby zarządzane przez program Automanage powinny mieć tożsamość zarządzaną. | Audyt; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: Dodawanie tożsamości zarządzanej przypisanej przez użytkownika w celu włączenia przypisań konfiguracji gościa na maszynach wirtualnych | Te zasady dodają tożsamość zarządzaną przypisaną przez użytkownika do maszyn wirtualnych hostowanych w Azure obsługiwanych przez konfigurację gościa. Tożsamość zarządzana przypisana przez użytkownika jest wymaganiem wstępnym dla wszystkich przypisań konfiguracji gościa i musi zostać dodana do maszyn przed użyciem dowolnych definicji zasad konfiguracji gościa. Aby uzyskać więcej informacji na temat konfiguracji gościa, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 2.1.0-preview |
| App Service miejsca aplikacji powinny używać tożsamości zarządzanej | Używanie tożsamości zarządzanej na potrzeby zwiększonych zabezpieczeń uwierzytelniania | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| App Service aplikacje powinny używać tożsamości zarządzanej | Używanie tożsamości zarządzanej na potrzeby zwiększonych zabezpieczeń uwierzytelniania | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| [wersja zapoznawcza]: Przypisywanie tożsamości zarządzanej Built-In User-Assigned do Virtual Machine Scale Sets | Utwórz i przypisz wbudowaną tożsamość zarządzaną przypisaną przez użytkownika lub przypisz wstępnie utworzoną tożsamość zarządzaną przypisaną przez użytkownika na dużą skalę do zestawów skalowania maszyn wirtualnych. Aby uzyskać bardziej szczegółową dokumentację, odwiedź aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 1.1.0-preview |
| [wersja zapoznawcza]: Przypisywanie tożsamości zarządzanej Built-In User-Assigned do Virtual Machines | Utwórz i przypisz wbudowaną tożsamość zarządzaną przypisaną przez użytkownika lub przypisz wstępnie utworzoną tożsamość zarządzaną przypisaną przez użytkownika na dużą skalę do maszyn wirtualnych. Aby uzyskać bardziej szczegółową dokumentację, odwiedź aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 1.1.0-preview |
| konto Automation powinno mieć tożsamość zarządzaną | Użyj tożsamości zarządzanych jako zalecanej metody uwierzytelniania za pomocą Azure zasobów z elementów Runbook. Tożsamość zarządzana na potrzeby uwierzytelniania jest bezpieczniejsza i eliminuje obciążenie związane z zarządzaniem skojarzonym z użyciem konta Uruchom jako w kodzie elementu Runbook. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Data Factory połączone usługi powinny używać uwierzytelniania tożsamości zarządzanej przypisanej przez system, gdy jest obsługiwana | Używanie tożsamości zarządzanej przypisanej przez system podczas komunikacji z magazynami danych za pośrednictwem połączonych usług pozwala uniknąć użycia mniej zabezpieczonych poświadczeń, takich jak hasła lub parametry połączenia. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Azure Kubernetes Service Klastry powinny używać tożsamości zarządzanych | Użyj tożsamości zarządzanych, aby opakować jednostki usługi, uprościć zarządzanie klastrem i uniknąć złożoności wymaganej do zarządzania jednostkami usługi. Dowiedz się więcej na stronie: https://aka.ms/aks-update-managed-identities | Audyt; Niepełnosprawny | 1.0.1 |
| Azure Machine Learning obszary robocze powinny używać tożsamości zarządzanej przypisanej przez użytkownika | Dostęp manange do obszaru roboczego Azure ML i skojarzonych zasobów, Azure Container Registry, keyVault, Storage i App Insights przy użyciu tożsamości zarządzanej przypisanej przez użytkownika. Domyślnie tożsamość zarządzana przypisana przez system jest używana przez Azure obszarze roboczym uczenia maszynowego w celu uzyskania dostępu do skojarzonych zasobów. Tożsamość zarządzana przypisana przez użytkownika umożliwia utworzenie tożsamości jako zasobu Azure i utrzymanie cyklu życia tej tożsamości. Dowiedz się więcej na stronie Konfigurowanie uwierzytelniania między Azure Machine Learning i innymi usługami. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konta usług Kognitive Services powinny używać tożsamości zarządzanej | Przypisanie tożsamości zarządzanej do konta usługi Cognitive Service pomaga zapewnić bezpieczne uwierzytelnianie. Ta tożsamość jest używana przez to konto usługi Cognitive Service do komunikowania się z innymi usługami Azure, takimi jak Azure Key Vault, w bezpieczny sposób bez konieczności zarządzania poświadczeniami. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| zasób usługi Communication powinien używać tożsamości zarządzanej | Przypisanie tożsamości zarządzanej do zasobu usługi komunikacyjnej pomaga zapewnić bezpieczne uwierzytelnianie. Ta tożsamość jest używana przez ten zasób usługi komunikacji do komunikowania się z innymi usługami Azure, takimi jak Azure Storage, w bezpieczny sposób bez konieczności zarządzania poświadczeniami. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Tworzenie i przypisywanie wbudowanej tożsamości zarządzanej przypisanej przez użytkownika | Tworzenie i przypisywanie wbudowanej tożsamości zarządzanej przypisanej przez użytkownika na dużą skalę do maszyn wirtualnych SQL. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 1.8.0 |
| aplikacje Function powinny używać tożsamości zarządzanej | Używanie tożsamości zarządzanej na potrzeby zwiększonych zabezpieczeń uwierzytelniania | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| [wersja zapoznawcza]: Poświadczenia federacyjne tożsamości zarządzanej z Azure Kubernetes powinny pochodzić z zaufanych źródeł | Ta zasada ogranicza federację z klastrami Azure Kubernetes tylko do klastrów z zatwierdzonych dzierżaw, zatwierdzonych regionów i określonej listy wyjątków dodatkowych klastrów. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0-preview |
| [wersja zapoznawcza]: Poświadczenia federacyjne tożsamości zarządzanej z GitHub powinny pochodzić od zaufanych właścicieli repozytorium | Te zasady ograniczają federację z repozytoriami GitHub tylko do zatwierdzonych właścicieli repozytoriów. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.1—wersja zapoznawcza |
| [wersja zapoznawcza]: Poświadczenia federacyjne tożsamości zarządzanej powinny pochodzić z dozwolonych typów wystawców | Te zasady ograniczają, czy tożsamości zarządzane mogą używać poświadczeń federacyjnych, które są dozwolone typowych typów wystawców, oraz zawiera listę dozwolonych wyjątków wystawcy. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0-preview |
| Zarządzana tożsamość powinna być włączona dla usługi Container Apps | Wymuszanie tożsamości zarządzanej gwarantuje, że usługa Container Apps może bezpiecznie uwierzytelniać się w dowolnym zasobie obsługującym uwierzytelnianie usługi Azure AD | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| zadanie Stream Analytics powinno używać tożsamości zarządzanej do uwierzytelniania punktów końcowych | Upewnij się, że zadania usługi Stream Analytics łączą się tylko z punktami końcowymi przy użyciu uwierzytelniania tożsamości zarządzanej. | Zaprzeczać; Niepełnosprawny; Audyt | 1.0.0 |
| rozszerzenie konfiguracji gościa Virtual machines powinno zostać wdrożone z tożsamością zarządzaną przypisaną przez system | Rozszerzenie Konfiguracja gościa wymaga przypisanej przez system tożsamości zarządzanej. Azure maszyny wirtualne w zakresie tych zasad będą niezgodne, gdy mają zainstalowane rozszerzenie Konfiguracja gościa, ale nie mają przypisanej przez system tożsamości zarządzanej. Dowiedz się więcej na stronie Understand Azure Machine Configuration | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
IM-4: Uwierzytelnianie serwera i usług
Aby uzyskać więcej informacji, zobacz Zarządzanie tożsamościami: IM-4: Uwierzytelnianie serwera i usług.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| punkty końcowe API w Azure API Management powinny być uwierzytelniane | Punkty końcowe interfejsu API opublikowane w Azure API Management powinny wymuszać uwierzytelnianie, aby zminimalizować ryzyko bezpieczeństwa. Mechanizmy uwierzytelniania są czasami implementowane niepoprawnie lub brakuje. Dzięki temu osoby atakujące mogą wykorzystać wady implementacji i access danych. Dowiedz się więcej na temat zagrożenia interfejsu API OWASP dla przerwanego uwierzytelniania użytkowników tutaj: Recommendations w celu ograniczenia zagrożeń OWASP API Security Top 10 using API Management | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| API Management wywołania zaplecza interfejsu API powinny być uwierzytelniane | Wywołania z API Management do zapleczy powinny używać jakiejś formy uwierzytelniania, zarówno za pośrednictwem certyfikatów, jak i poświadczeń. Nie dotyczy zapleczy usługi Fabric. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.1 |
| API Management wywołania do zapleczy interfejsu API nie powinny pomijać weryfikacji odcisku palca lub nazwy certyfikatu | Aby zwiększyć bezpieczeństwo interfejsu API, API Management powinien zweryfikować certyfikat serwera zaplecza dla wszystkich wywołań interfejsu API. Włącz odcisk palca certyfikatu SSL i walidację nazwy. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.2 |
| Miejsca aplikacji usługi App Service powinny mieć włączone certyfikaty klienta (przychodzące certyfikaty klienta) | Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. Te zasady dotyczą aplikacji z ustawioną wersją http na 1.1. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure SQL Database powinien działać protokół TLS w wersji 1.2 lub nowszej | Ustawienie wersji protokołu TLS na 1.2 lub nowsze zwiększa bezpieczeństwo, zapewniając, że dostęp do Azure SQL Database można uzyskać tylko od klientów przy użyciu protokołu TLS 1.2 lub nowszego. Używanie wersji protokołu TLS mniejszej niż 1.2 nie jest zalecane, ponieważ mają dobrze udokumentowane luki w zabezpieczeniach. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.0 |
IM-6: Używanie silnych kontrolek uwierzytelniania
Aby uzyskać więcej informacji, zobacz Identity Management: IM-6: Use strong authentication controls (Zarządzanie tożsamościami: IM-6: używanie kontrolek silnego uwierzytelniania).
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Authentication na maszynach z systemem Linux powinny wymagać kluczy SSH | Mimo że sam protokół SSH zapewnia zaszyfrowane połączenie, użycie haseł za pomocą protokołu SSH nadal pozostawia maszynę wirtualną podatną na ataki siłowe. Najbezpieczniejszą opcją uwierzytelniania na maszynie wirtualnej z systemem Azure Linux za pośrednictwem protokołu SSH jest para kluczy publiczny-prywatny, nazywana również kluczami SSH. Dowiedz się więcej: |
AuditIfNotExists; Niepełnosprawny | 3.2.0 |
IM-8: Ograniczanie ujawnienia poświadczeń i wpisów tajnych
Aby uzyskać więcej informacji, zobacz Zarządzanie tożsamościami: IM-8: Ograniczanie ujawnienia poświadczeń i wpisów tajnych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| API Management secret nazwane wartości powinny być przechowywane w Azure Key Vault | Nazwane wartości to kolekcja par nazw i wartości w każdej usłudze API Management. Wartości wpisów tajnych mogą być przechowywane jako zaszyfrowany tekst w usłudze API Management (niestandardowe wpisy tajne) lub przez odwoływanie się do wpisów tajnych w Azure Key Vault. Aby zwiększyć bezpieczeństwo usługi API Management i wpisów tajnych, odwołaj się do wpisów tajnych nazwanych wartości z Azure Key Vault. Azure Key Vault obsługuje szczegółowe zarządzanie dostępem i zasady rotacji wpisów tajnych. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.2 |
| Machines powinny mieć rozwiązane tajne ustalenia | Przeprowadza inspekcję virtual machines w celu wykrycia, czy zawierają tajne ustalenia z tajnych rozwiązań skanujących w virtual machines. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
IR-2: Przygotowanie — powiadomienie o zdarzeniu konfiguracji
Aby uzyskać więcej informacji, zobacz Reagowanie na zdarzenia: IR-2: Przygotowanie — powiadomienie o zdarzeniu konfiguracji.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Powiadomienie e-mail dotyczące alertów o wysokiej ważności powinno być włączone | Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, włącz powiadomienia e-mail dla alertów o wysokiej ważności w usłudze Security Center. | AuditIfNotExists; Niepełnosprawny | 1.2.0 |
| W przypadku alertów o wysokiej ważności należy włączyć powiadomienie e-mail do właściciela subskrypcji | Aby upewnić się, że właściciele subskrypcji są powiadamiani o potencjalnym naruszeniu zabezpieczeń w ramach subskrypcji, ustaw powiadomienia e-mail właścicielom subskrypcji na potrzeby alertów o wysokiej ważności w usłudze Security Center. | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Subskrypcje powinny mieć kontaktowy adres e-mail dotyczący problemów z zabezpieczeniami | Aby upewnić się, że odpowiednie osoby w organizacji są powiadamiane o potencjalnym naruszeniu zabezpieczeń w jednej z Twoich subskrypcji, ustaw kontakt zabezpieczeń, aby otrzymywać powiadomienia e-mail z usługi Security Center. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
IR-3: Wykrywanie i analiza — tworzenie zdarzeń na podstawie alertów wysokiej jakości
Aby uzyskać więcej informacji, zobacz Reagowanie na zdarzenia: IR-3: Wykrywanie i analiza — tworzenie zdarzeń na podstawie alertów wysokiej jakości.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla usługi App Service należy włączyć | Azure Defender dla usługi App Service wykorzystuje skalę chmury i widoczność, która Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla serwerów Azure SQL Database należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla Key Vault należy włączyć | Azure Defender dla Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń, wykrywając nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont key vault lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla Resource Manager należy włączyć | Azure Defender dla Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach Azure Defender dla Resource Manager na stronie Microsoft Defender for Resource Manager — Benefits and Features . Włączenie tego planu Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury . | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów SQL na maszynach należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów Azure SQL | Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych MySQL | Inspekcja serwerów elastycznych MySQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych PostgreSQL | Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla usługi SQL powinny być włączone dla niechronionych wystąpień zarządzanych SQL | Przeprowadź inspekcję poszczególnych SQL Managed Instance bez zaawansowanych zabezpieczeń danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla relacyjnych baz danych typu open source należy włączyć | Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej na temat możliwości Azure Defender dla relacyjnych baz danych typu open source na stronie Przegląd Defender dla relacyjnych baz danych Open-Source. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów należy włączyć | Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| W CSPM w usłudze Defender Microsoft powinna być włączona | Defender Zarządzanie stanem zabezpieczeń w chmurze (CSPM) zapewnia ulepszone możliwości stanu i nowy inteligentny wykres zabezpieczeń chmury, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla interfejsów API należy włączyć | Microsoft Defender dla interfejsów API zapewnia nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Microsoft Defender dla kontenerów należy włączyć | Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Azure, hybrydowych i wielochmurowych platform Kubernetes. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla programu SQL powinny być włączone dla niechronionych obszarów roboczych usługi Synapse | Włącz Defender dla usługi SQL, aby chronić obszary robocze usługi Synapse. Defender dla usługi SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla magazynu należy włączyć | Microsoft Defender dla usługi Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy Defender dla planu magazynu obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto storage) kontroli nad pokryciem i kosztami. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| SQL server automatyczne aprowizowanie powinno być włączone dla serwerów SQL w planie maszyn | Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że agent monitorowania Azure SQL jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie agenta monitorowania Microsoft, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
IR-4: Wykrywanie i analiza — badanie zdarzenia
Aby uzyskać więcej informacji, zobacz Reagowanie na zdarzenia: IR-4: Wykrywanie i analiza — badanie zdarzenia.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Network Watcher należy włączyć | Network Watcher to usługa regionalna, która umożliwia monitorowanie i diagnozowanie warunków na poziomie scenariusza sieciowego w systemach, do i z Azure. Monitorowanie na poziomie scenariusza umożliwia diagnozowanie problemów na koniec widoku poziomu sieci. Wymagane jest utworzenie grupy zasobów network watcher w każdym regionie, w którym znajduje się virtual network. Alert jest włączony, jeśli grupa zasobów network watcher nie jest dostępna w określonym regionie. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
IR-5: Wykrywanie i analiza — określanie priorytetów zdarzeń
Aby uzyskać więcej informacji, zobacz Reagowanie na zdarzenia: IR-5: Wykrywanie i analiza — określanie priorytetów zdarzeń.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla usługi App Service należy włączyć | Azure Defender dla usługi App Service wykorzystuje skalę chmury i widoczność, która Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla serwerów Azure SQL Database należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla Key Vault należy włączyć | Azure Defender dla Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń, wykrywając nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont key vault lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla Resource Manager należy włączyć | Azure Defender dla Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach Azure Defender dla Resource Manager na stronie Microsoft Defender for Resource Manager — Benefits and Features . Włączenie tego planu Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury . | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów SQL na maszynach należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów Azure SQL | Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych MySQL | Inspekcja serwerów elastycznych MySQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych PostgreSQL | Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla usługi SQL powinny być włączone dla niechronionych wystąpień zarządzanych SQL | Przeprowadź inspekcję poszczególnych SQL Managed Instance bez zaawansowanych zabezpieczeń danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla relacyjnych baz danych typu open source należy włączyć | Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej na temat możliwości Azure Defender dla relacyjnych baz danych typu open source na stronie Przegląd Defender dla relacyjnych baz danych Open-Source. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów należy włączyć | Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| W CSPM w usłudze Defender Microsoft powinna być włączona | Defender Zarządzanie stanem zabezpieczeń w chmurze (CSPM) zapewnia ulepszone możliwości stanu i nowy inteligentny wykres zabezpieczeń chmury, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla interfejsów API należy włączyć | Microsoft Defender dla interfejsów API zapewnia nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Microsoft Defender dla kontenerów należy włączyć | Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Azure, hybrydowych i wielochmurowych platform Kubernetes. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla programu SQL powinny być włączone dla niechronionych obszarów roboczych usługi Synapse | Włącz Defender dla usługi SQL, aby chronić obszary robocze usługi Synapse. Defender dla usługi SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla magazynu należy włączyć | Microsoft Defender dla usługi Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy Defender dla planu magazynu obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto storage) kontroli nad pokryciem i kosztami. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| SQL server automatyczne aprowizowanie powinno być włączone dla serwerów SQL w planie maszyn | Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że agent monitorowania Azure SQL jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie agenta monitorowania Microsoft, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
LT-1: Włączanie możliwości wykrywania zagrożeń
Aby uzyskać więcej informacji, zobacz Rejestrowanie i wykrywanie zagrożeń: LT-1: Włączanie możliwości wykrywania zagrożeń.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| [wersja zapoznawcza]: Azure Arc włączone klastry Kubernetes powinny mieć zainstalowane rozszerzenie Microsoft Defender dla Chmury | rozszerzenie Microsoft Defender dla Chmury dla Azure Arc zapewnia ochronę przed zagrożeniami dla klastrów Kubernetes z obsługą usługi Arc. Rozszerzenie zbiera dane ze wszystkich węzłów w klastrze i wysyła je do Azure Defender zaplecza kubernetes w chmurze w celu dalszej analizy. Dowiedz się więcej na temat oceny Secure w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | Wersja zapoznawcza 6.0.0 |
| Azure Defender dla usługi App Service należy włączyć | Azure Defender dla usługi App Service wykorzystuje skalę chmury i widoczność, która Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla serwerów Azure SQL Database należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla Key Vault należy włączyć | Azure Defender dla Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń, wykrywając nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont key vault lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla relacyjnych baz danych typu open source należy włączyć | Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej na temat możliwości Azure Defender dla relacyjnych baz danych typu open source na stronie Przegląd Defender dla relacyjnych baz danych Open-Source. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla Resource Manager należy włączyć | Azure Defender dla Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach Azure Defender dla Resource Manager na stronie Microsoft Defender for Resource Manager — Benefits and Features . Włączenie tego planu Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury . | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów należy włączyć | Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla serwerów SQL na maszynach należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów Azure SQL | Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych MySQL | Inspekcja serwerów elastycznych MySQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych PostgreSQL | Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla usługi SQL powinny być włączone dla niechronionych wystąpień zarządzanych SQL | Przeprowadź inspekcję poszczególnych SQL Managed Instance bez zaawansowanych zabezpieczeń danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| klastry Azure Kubernetes Service powinny mieć włączony profil Defender | Microsoft Defender for Containers zapewnia natywne dla chmury funkcje zabezpieczeń platformy Kubernetes, w tym zabezpieczenia środowiska, ochronę obciążeń i ochronę w czasie wykonywania. Po włączeniu elementu SecurityProfile.AzureDefender w klastrze Azure Kubernetes Service agent zostanie wdrożony w klastrze w celu zbierania danych zdarzeń zabezpieczeń. Dowiedz się więcej o Microsoft Defender for Containers w Zarządzanie zaleceniami mcSB w Defender dla Chmury | Audyt; Niepełnosprawny | 2.0.1 |
| [Wersja zapoznawcza]: rozszerzenie ChangeTracking powinno być zainstalowane na maszynie z systemem Linux Arc | Zainstaluj rozszerzenie ChangeTracking na maszynach z systemem Linux Arc, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 1.0.0-preview |
| [Wersja zapoznawcza]: rozszerzenie ChangeTracking powinno być zainstalowane na maszynie wirtualnej z systemem Linux | Zainstaluj rozszerzenie ChangeTracking na maszynach wirtualnych z systemem Linux, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 2.0.0-preview |
| Rozszerzenie ChangeTracking powinno być zainstalowane w zestawach skalowania maszyn wirtualnych z systemem Linux | Zainstaluj rozszerzenie ChangeTracking w zestawach skalowania maszyn wirtualnych z systemem Linux, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| [wersja zapoznawcza]: rozszerzenie ChangeTracking powinno być zainstalowane na maszynie Windows Arc | Zainstaluj rozszerzenie ChangeTracking na maszynach Windows Arc, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: rozszerzenie ChangeTracking powinno być zainstalowane na maszynie wirtualnej Windows | Zainstaluj rozszerzenie ChangeTracking na maszynach wirtualnych Windows, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 2.0.0-preview |
| rozszerzenie ChangeTracking powinno być zainstalowane w zestawach skalowania maszyn wirtualnych Windows | Zainstaluj rozszerzenie ChangeTracking na zestawach skalowania maszyn wirtualnych Windows, aby włączyć monitorowanie integralności plików (FIM) w Azure Security Center. Program FIM sprawdza pliki systemu operacyjnego, rejestry Windows, oprogramowanie aplikacji, pliki systemowe systemu Linux i nie tylko pod kątem zmian, które mogą wskazywać na atak. Rozszerzenie można zainstalować na maszynach wirtualnych i lokalizacjach obsługiwanych przez agenta monitorowania Azure. | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| W CSPM w usłudze Defender Microsoft powinna być włączona | Defender Zarządzanie stanem zabezpieczeń w chmurze (CSPM) zapewnia ulepszone możliwości stanu i nowy inteligentny wykres zabezpieczeń chmury, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla interfejsów API należy włączyć | Microsoft Defender dla interfejsów API zapewnia nowe funkcje odnajdywania, ochrony, wykrywania i reagowania w celu monitorowania typowych ataków opartych na interfejsie API i błędów konfiguracji zabezpieczeń. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Microsoft Defender dla Azure Cosmos DB należy włączyć | Usługa Microsoft Defender dla usługi Azure Cosmos DB to natywna dla platformy Azure warstwa zabezpieczeń, która wykrywa próby wykorzystania baz danych na kontach usługi Azure Cosmos DB. Defender dla Azure Cosmos DB wykrywa potencjalne wstrzyknięcia kodu SQL, znane złe podmioty oparte na Microsoft Analiza zagrożeń, podejrzane wzorce dostępu i potencjalne wykorzystanie bazy danych za pośrednictwem tożsamości naruszonych lub złośliwych testerów. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla kontenerów należy włączyć | Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Azure, hybrydowych i wielochmurowych platform Kubernetes. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla programu SQL powinny być włączone dla niechronionych obszarów roboczych usługi Synapse | Włącz Defender dla usługi SQL, aby chronić obszary robocze usługi Synapse. Defender dla usługi SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla magazynu należy włączyć | Microsoft Defender dla usługi Storage wykrywa potencjalne zagrożenia dla kont magazynu. Pomaga to zapobiec trzem głównym wpływom na dane i obciążenie: złośliwe przekazywanie plików, eksfiltrację poufnych danych i uszkodzenie danych. Nowy Defender dla planu magazynu obejmuje skanowanie złośliwego oprogramowania i wykrywanie zagrożeń poufnych danych. Ten plan zapewnia również przewidywalną strukturę cenową (na konto storage) kontroli nad pokryciem i kosztami. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Należy wybrać warstwę cenową Usługi Security Center w warstwie Standardowa | Warstwa cenowa Standardowa umożliwia wykrywanie zagrożeń dla sieci i maszyn wirtualnych, zapewniając analizę zagrożeń, wykrywanie anomalii i analizę zachowań w Azure Security Center | Audyt; Niepełnosprawny | 1.1.0 |
| SQL server automatyczne aprowizowanie powinno być włączone dla serwerów SQL w planie maszyn | Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że agent monitorowania Azure SQL jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie agenta monitorowania Microsoft, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Windows Defender Exploit Guard powinien być włączony na maszynach | Windows Defender Exploit Guard używa agenta konfiguracji gościa Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach złośliwego oprogramowania, umożliwiając przedsiębiorstwom równoważenie ryzyka bezpieczeństwa i wymagań dotyczących produktywności (tylko Windows). | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
LT-2: Włączanie wykrywania zagrożeń dla tożsamości i zarządzania access
Aby uzyskać więcej informacji, zobacz
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure Defender dla usługi App Service należy włączyć | Azure Defender dla usługi App Service wykorzystuje skalę chmury i widoczność, która Azure ma jako dostawcę usług w chmurze, do monitorowania typowych ataków aplikacji internetowych. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla serwerów Azure SQL Database należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla Key Vault należy włączyć | Azure Defender dla Key Vault zapewnia dodatkową warstwę ochrony i analizy zabezpieczeń, wykrywając nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do kont key vault lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| Azure Defender dla Resource Manager należy włączyć | Azure Defender dla Resource Manager automatycznie monitoruje operacje zarządzania zasobami w organizacji. Azure Defender wykrywa zagrożenia i ostrzega o podejrzanych działaniach. Dowiedz się więcej o możliwościach Azure Defender dla Resource Manager na stronie Microsoft Defender for Resource Manager — Benefits and Features . Włączenie tego planu Azure Defender powoduje naliczanie opłat. Dowiedz się więcej o szczegółach cennika dla regionu na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury . | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów SQL na maszynach należy włączyć | Azure Defender dla bazy danych SQL udostępnia funkcje umożliwiające uzyskiwanie i ograniczanie potencjalnych luk w zabezpieczeniach bazy danych, wykrywanie nietypowych działań, które mogą wskazywać zagrożenia dla baz danych SQL oraz odnajdywanie i klasyfikowanie poufnych danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów Azure SQL | Przeprowadzanie inspekcji serwerów SQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych MySQL | Inspekcja serwerów elastycznych MySQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla programu SQL powinny być włączone dla niechronionych serwerów elastycznych PostgreSQL | Inspekcja serwerów elastycznych PostgreSQL bez usługi Advanced Data Security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla usługi SQL powinny być włączone dla niechronionych wystąpień zarządzanych SQL | Przeprowadź inspekcję poszczególnych SQL Managed Instance bez zaawansowanych zabezpieczeń danych. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Azure Defender dla relacyjnych baz danych typu open source należy włączyć | Azure Defender dla relacyjnych baz danych typu open source wykrywa nietypowe działania wskazujące na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. Dowiedz się więcej na temat możliwości Azure Defender dla relacyjnych baz danych typu open source na stronie Przegląd Defender dla relacyjnych baz danych Open-Source. Ważne: włączenie tego planu spowoduje naliczanie opłat za ochronę relacyjnych baz danych typu open source. Dowiedz się więcej o cenach na stronie cennika usługi Security Center: Pricing — Microsoft Defender dla Chmury | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Defender dla serwerów należy włączyć | Azure Defender dla serwerów zapewnia ochronę przed zagrożeniami w czasie rzeczywistym dla obciążeń serwera i generuje zalecenia dotyczące wzmacniania zabezpieczeń, a także alerty dotyczące podejrzanych działań. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| klastry Azure Kubernetes Service powinny mieć włączony profil Defender | Microsoft Defender for Containers zapewnia natywne dla chmury funkcje zabezpieczeń platformy Kubernetes, w tym zabezpieczenia środowiska, ochronę obciążeń i ochronę w czasie wykonywania. Po włączeniu elementu SecurityProfile.AzureDefender w klastrze Azure Kubernetes Service agent zostanie wdrożony w klastrze w celu zbierania danych zdarzeń zabezpieczeń. Dowiedz się więcej o Microsoft Defender for Containers w Zarządzanie zaleceniami mcSB w Defender dla Chmury | Audyt; Niepełnosprawny | 2.0.1 |
| W CSPM w usłudze Defender Microsoft powinna być włączona | Defender Zarządzanie stanem zabezpieczeń w chmurze (CSPM) zapewnia ulepszone możliwości stanu i nowy inteligentny wykres zabezpieczeń chmury, który ułatwia identyfikowanie, określanie priorytetów i zmniejszanie ryzyka. CSPM w usłudze Defender jest dostępna oprócz bezpłatnych podstawowych funkcji stanu zabezpieczeń, które są domyślnie włączone w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla kontenerów należy włączyć | Microsoft Defender for Containers zapewnia ochronę przed zabezpieczeniami, ocenę luk w zabezpieczeniach i ochronę w czasie wykonywania dla środowisk Azure, hybrydowych i wielochmurowych platform Kubernetes. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Microsoft Defender dla programu SQL powinny być włączone dla niechronionych obszarów roboczych usługi Synapse | Włącz Defender dla usługi SQL, aby chronić obszary robocze usługi Synapse. Defender dla usługi SQL monitoruje usługę Synapse SQL w celu wykrywania nietypowych działań wskazujących na nietypowe i potencjalnie szkodliwe próby uzyskania dostępu do baz danych lub wykorzystania ich. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| SQL server automatyczne aprowizowanie powinno być włączone dla serwerów SQL w planie maszyn | Aby upewnić się, że maszyny wirtualne SQL i serwery SQL z obsługą usługi Arc są chronione, upewnij się, że agent monitorowania Azure SQL jest skonfigurowany do automatycznego wdrażania. Jest to również konieczne, jeśli wcześniej skonfigurowano automatyczne aprowizowanie agenta monitorowania Microsoft, ponieważ ten składnik jest przestarzały. Dowiedz się więcej: Migrate to Defender for SQL on machines using AMA | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Windows Defender Exploit Guard powinien być włączony na maszynach | Windows Defender Exploit Guard używa agenta konfiguracji gościa Azure Policy. Funkcja Exploit Guard ma cztery składniki, które są przeznaczone do blokowania urządzeń przed szeroką gamą wektorów ataków i blokowania zachowań często używanych w atakach złośliwego oprogramowania, umożliwiając przedsiębiorstwom równoważenie ryzyka bezpieczeństwa i wymagań dotyczących produktywności (tylko Windows). | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| [wersja zapoznawcza]: Azure Arc włączone klastry Kubernetes powinny mieć zainstalowane rozszerzenie Microsoft Defender dla Chmury | rozszerzenie Microsoft Defender dla Chmury dla Azure Arc zapewnia ochronę przed zagrożeniami dla klastrów Kubernetes z obsługą usługi Arc. Rozszerzenie zbiera dane ze wszystkich węzłów w klastrze i wysyła je do Azure Defender zaplecza kubernetes w chmurze w celu dalszej analizy. Dowiedz się więcej na temat oceny Secure w Defender dla Chmury. | AuditIfNotExists; Niepełnosprawny | Wersja zapoznawcza 6.0.0 |
LT-3: Włączanie rejestrowania na potrzeby badania zabezpieczeń
Aby uzyskać więcej informacji, zobacz Rejestrowanie i wykrywanie zagrożeń: LT-3: Włączanie rejestrowania na potrzeby badania zabezpieczeń.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Dziennik aktywności powinien być zachowywany przez co najmniej jeden rok | Te zasady sprawdzają dziennik aktywności, jeśli okres przechowywania nie jest ustawiony na 365 dni lub na zawsze (dni przechowywania ustawione na 0). | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Alert dziennika aktywności powinien istnieć dla określonych operacji administracyjnych | Ta polityka audytuje określone operacje administracyjne, które nie mają skonfigurowanych alertów dziennika aktywności. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Powinien istnieć alert dziennika aktywności dla określonych operacji polityki | Ta polityka kontroluje określone operacje polityki bez skonfigurowanych alertów dziennika aktywności. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Alert dziennika aktywności powinien istnieć dla określonych operacji zabezpieczeń | Ta polityka przeprowadza audyty konkretnych operacji zabezpieczeń bez skonfigurowanych alertów rejestrowania aktywności. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Sloty aplikacji w usłudze App Service powinny mieć włączone dzienniki zasobów | Audyt włączenia dzienników zasobów na aplikacji. Dzięki temu można ponownie utworzyć ślady aktywności na potrzeby badania, jeśli wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| App Service aplikacje powinny mieć włączone dzienniki zasobów | Audyt włączenia dzienników zasobów na aplikacji. Dzięki temu można ponownie utworzyć ślady aktywności na potrzeby badania, jeśli wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona. | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| Auditing na SQL server należy włączyć | Inspekcja SQL Server powinna być włączona w celu śledzenia działań bazy danych we wszystkich bazach danych na serwerze i zapisywania ich w dzienniku inspekcji. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| aplikacja systemu Azure Gateway powinna mieć włączone dzienniki zasobów | Włącz dzienniki zasobów dla Azure Application Gateway (plus zapory aplikacji internetowej) i przesyłaj strumieniowo do obszaru roboczego Log Analytics. Uzyskaj szczegółowy wgląd w przychodzący ruch internetowy i akcje podjęte w celu wyeliminowania ataków. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Front Door powinien mieć włączone dzienniki zasobów | Włącz dzienniki zasobów dla Azure Front Door (plus zapora aplikacji internetowej) i przesyłaj strumieniowo do obszaru roboczego Log Analytics. Uzyskaj szczegółowy wgląd w przychodzący ruch internetowy i akcje podjęte w celu wyeliminowania ataków. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Profil dziennika usługi Azure Monitor powinien zbierać dzienniki dla kategorii "write", "delete" i "action" | Ta polityka zapewnia, że profil dziennika gromadzi logi dla kategorii 'zapis', 'usuwanie' i 'działanie'. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Dzienniki usługi Azure Monitor dla usługi Application Insights powinny być połączone z obszarem roboczym usługi Log Analytics | Połącz składnik usługi Application Insights z obszarem roboczym usługi Log Analytics w celu szyfrowania dzienników. Klucze zarządzane przez klienta są często wymagane do spełnienia zgodności z przepisami i uzyskania większej kontroli nad dostępem do danych w usłudze Azure Monitor. Łączenie składnika z obszarem roboczym Log Analytics, który jest włączony przy użyciu klucza zarządzanego przez klienta, zapewnia, że dzienniki usługi Application Insights spełniają to wymaganie dotyczące zgodności, zobacz /azure/azure-monitor/platform/customer-managed-keys. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Usługa Azure Monitor powinna zbierać dzienniki aktywności ze wszystkich regionów | Ta polityka przeprowadza inspekcję profilu dziennika usługi Azure Monitor, który nie eksportuje działań ze wszystkich regionów obsługiwanych przez platformę Azure, w tym globalnych. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| Azure Monitor rozwiązanie "Zabezpieczenia i inspekcja" musi zostać wdrożone | Te zasady zapewniają wdrożenie zabezpieczeń i inspekcji. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Usługa Azure SignalR Service powinna włączyć dzienniki diagnostyczne | Inspekcja włączania dzienników diagnostycznych. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Subskrypcje platformy Azure powinny mieć profil dziennika dla dziennika aktywności | Ta zasada zapewnia, że profil dziennikowy jest włączony na potrzeby eksportowania dzienników aktywności. Przeprowadza audyt, czy nie został utworzony profil dziennika w celu eksportowania dzienników do konta magazynu lub do centrum zdarzeń. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Usługa Azure Web PubSub powinna włączyć dzienniki diagnostyczne | Inspekcja włączania dzienników diagnostycznych. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| [Wersja zapoznawcza]: Konfigurowanie subskrypcji w celu włączenia reguły monitorowania alertów kondycji usługi | Można przypisać na poziomie subskrypcji lub grupy zarządzania, te zasady zapewniają, że każda subskrypcja ma regułę alertu kondycji usługi skonfigurowaną przy użyciu warunków alertu i mapowania do grup akcji określonych w parametrach zasad. Domyślnie tworzy grupę zasobów, regułę alertu i grupę akcji skonfigurowaną do wysyłania wiadomości e-mail do właścicieli subskrypcji dla wszystkich zdarzeń kondycji usługi. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.4.0-preview |
| Dzienniki diagnostyczne w zasobach Azure AI services powinny być włączone | Włącz dzienniki dla zasobów Azure AI services. Dzięki temu można odtworzyć ślady aktywności na potrzeby badania, gdy wystąpi zdarzenie zabezpieczeń lub sieć zostanie naruszona | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| dzienniki Resource w magazynie Azure Data Lake powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| dzienniki Resource w obszarach roboczych Azure Databricks powinny być włączone | Dzienniki zasobów umożliwiają ponowne tworzenie śladów aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| W zarządzanym module HSM usługi Azure Key Vault powinny być włączone dzienniki zasobów | Aby ponownie utworzyć ślady aktywności na potrzeby badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci, możesz chcieć przeprowadzić inspekcję, włączając dzienniki zasobów w zarządzanych modułach HSM. Postępuj zgodnie z instrukcjami w tym miejscu: /azure/key-vault/managed-hsm/logging. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Resource dzienniki w Azure Kubernetes Service powinny być włączone | dzienniki zasobów Azure Kubernetes Service mogą pomóc w ponownym utworzeniu śladów aktywności podczas badania zdarzeń zabezpieczeń. Włącz tę funkcję, aby upewnić się, że dzienniki będą istnieć w razie potrzeby | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Resource dzienniki w obszarach roboczych Azure Machine Learning powinny być włączone | Dzienniki zasobów umożliwiają ponowne tworzenie śladów aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| dzienniki Resource w Azure Stream Analytics powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| Resource dzienniki na kontach usługi Batch powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| Resource dzienniki w Data Lake Analytics powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| Dzienniki usługi Event Hub powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| dzienniki Resource w IoT Hub powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Resource dzienniki w Key Vault powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można ponownie utworzyć ślady aktywności do celów badania w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| Resource dzienniki w usłudze Logic Apps powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.1.0 |
| Resource dzienniki w usługach wyszukiwania powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
| dzienniki Resource w Service Bus powinny być włączone | Inspekcja włączania dzienników zasobów. Dzięki temu można odtworzyć ślady aktywności do użytku w celach badania; w przypadku wystąpienia zdarzenia zabezpieczeń lub naruszenia zabezpieczeń sieci | AuditIfNotExists; Niepełnosprawny | 5.0.0 |
LT-4: Włączanie rejestrowania sieci na potrzeby badania zabezpieczeń
Aby uzyskać więcej informacji, zobacz Rejestrowanie i wykrywanie zagrożeń: LT-4: Włączanie rejestrowania sieci na potrzeby badania zabezpieczeń.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Wszystkie zasoby dziennika przepływu powinny być w stanie włączonym | Przeprowadź inspekcję zasobów dziennika przepływu, aby sprawdzić, czy stan dziennika przepływu jest włączony. Włączenie dzienników przepływu umożliwia rejestrowanie informacji o przepływie ruchu IP. Może służyć do optymalizowania przepływów sieciowych, monitorowania przepływności, weryfikowania zgodności, wykrywania nieautoryzowanego dostępu i nie tylko. | Audyt; Niepełnosprawny | 1.0.1 |
| Audytuj konfigurację dzienników przepływu dla każdej sieci wirtualnej | Przeprowadź inspekcję dla sieci wirtualnej, aby sprawdzić, czy dzienniki przepływu są skonfigurowane. Włączenie dzienników przepływu umożliwia rejestrowanie informacji o ruchu IP przepływającym przez sieć wirtualną. Może służyć do optymalizowania przepływów sieciowych, monitorowania przepływności, weryfikowania zgodności, wykrywania nieautoryzowanego dostępu i nie tylko. | Audyt; Niepełnosprawny | 1.0.1 |
| Włączanie rejestrowania według grupy kategorii dla bram aplikacji (microsoft.network/applicationgateways) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla bram aplikacji (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla bram aplikacji (microsoft.network/applicationgateways) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla bram aplikacji (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla bram aplikacji (microsoft.network/applicationgateways) w usłudze Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla bram aplikacji (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla usługi Bastions (microsoft.network/bastionhosts) w centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla usługi Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Włączanie rejestrowania według grupy kategorii dla usługi Bastions (microsoft.network/bastionhosts) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla usługi Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla usługi Bastions (microsoft.network/bastionhosts) w usłudze Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla usługi Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla punktów końcowych (microsoft.cdn/profiles/endpoints) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla punktów końcowych (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla punktów końcowych (microsoft.cdn/profiles/endpoints) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla punktów końcowych (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla punktów końcowych (microsoft.cdn/profiles/endpoints) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla punktów końcowych (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Rejestrowanie według grupy kategorii dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits) do usługi Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla obwodów usługi ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Wylogowywania według grupy kategorii zapory (microsoft.network/azurefirewalls) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics zapory (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla zapór (microsoft.network/azurefirewalls) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla zapór (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla zapór (microsoft.network/azurefirewalls) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla zapór (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla zapór (microsoft.network/azurefirewalls) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla zapór (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i cdN (microsoft.cdn/profiles) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla profilów usługi Front Door i cdN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i cdN (microsoft.cdn/profiles) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla profilów usługi Front Door i cdN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i CDN (microsoft.cdn/profiles) w usłudze Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla profilów usługi Front Door i cdN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i CDN (microsoft.network/frontdoors) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla profilów usługi Front Door i cdN (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i cdN (microsoft.network/frontdoors) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla profilów usługi Front Door i cdN (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Front Door i CDN (microsoft.network/frontdoors) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla profilów usługi Front Door i CDN (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla modułów równoważenia obciążenia (microsoft.network/loadbalancers) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla modułów równoważenia obciążenia (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Wylogowywania według grupy kategorii dla modułów równoważenia obciążenia (microsoft.network/loadbalancers) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla modułów równoważenia obciążenia (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla modułów równoważenia obciążenia (microsoft.network/loadbalancers) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla modułów równoważenia obciążenia (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.cdn/cdnwebapplicationfirewallpolicies do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Rejestrowanie według grupy kategorii dla grupy kategorii microsoft.cdn/cdnwebapplicationfirewallpolicies do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla elementu microsoft.cdn/cdnwebapplicationfirewallpolicies to Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/dnsresolverpolicies do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włącz rejestrowanie według grupy kategorii dla microsoft.network/dnsresolverpolicies do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla elementu microsoft.network/dnsresolverpolicies do usługi Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/networkmanagers/ipampools do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączenie rejestrowania według grupy kategorii dla microsoft.network/networkmanagers/ipampools do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/networkmanagers/ipampools do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/networksecurityperimeters do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/networksecurityperimeters do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/networksecurityperimeters do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/p2svpngateways do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla usługi microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Wylogowywania według grupy kategorii dla microsoft.network/p2svpngateways do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla usługi microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.network/p2svpngateways do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla usługi microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla usługi microsoft.network/vpngateways w usłudze Event Hub | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Wylogowywania według grupy kategorii dla microsoft.network/vpngateways do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla usługi microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla usługi microsoft.network/vpngateways w usłudze Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla usługi microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla microsoft.networkfunction/azuretrafficcollectors do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla elementu microsoft.networkfunction/azuretrafficcollectors do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla elementu microsoft.networkfunction/azuretrafficcollectors do usługi Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla menedżerów sieci (microsoft.network/networkmanagers) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla menedżerów sieci (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii menedżerów sieci (microsoft.network/networkmanagers) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla menedżerów sieci (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla menedżerów sieci (microsoft.network/networkmanagers) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla menedżerów sieci (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla sieciowych grup zabezpieczeń (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla publicznych adresów IP (microsoft.network/publicipaddresses) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla publicznych adresów IP (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Włączanie rejestrowania według grupy kategorii dla publicznych adresów IP (microsoft.network/publicipaddresses) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla publicznych adresów IP (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla publicznych adresów IP (microsoft.network/publicipaddresses) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla publicznych adresów IP (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla prefiksów publicznych adresów IP (microsoft.network/publicipprefixes) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla prefiksów publicznych adresów IP (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Rejestrowanie według grupy kategorii dla prefiksów publicznych adresów IP (microsoft.network/publicipprefixes) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla prefiksów publicznego adresu IP (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla prefiksów publicznych adresów IP (microsoft.network/publicipprefixes) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla prefiksów publicznych adresów IP (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles) do usługi Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla profilów usługi Traffic Manager (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.2.0 |
| Rejestrowanie według grupy kategorii dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways) do magazynu | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla bram sieci wirtualnej (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla sieci wirtualnych (microsoft.network/virtualnetworks) do centrum zdarzeń | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do centrum zdarzeń dla sieci wirtualnych (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| Włączanie rejestrowania według grupy kategorii dla sieci wirtualnych (microsoft.network/virtualnetworks) do Log Analytics | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do obszaru roboczego Log Analytics dla sieci wirtualnych (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.1.0 |
| Włączanie rejestrowania według grupy kategorii dla sieci wirtualnych (microsoft.network/virtualnetworks) w usłudze Storage | Dzienniki zasobów powinny być włączone w celu śledzenia działań i zdarzeń, które mają miejsce w zasobach, oraz zapewniania widoczności i wglądu w wszelkie zmiany, które występują. Te zasady wdrażają ustawienie diagnostyczne przy użyciu grupy kategorii w celu kierowania dzienników do konta magazynu dla sieci wirtualnych (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Wyłączone | 1.0.0 |
| dzienniki Flow powinny być skonfigurowane dla każdej sieciowej grupy zabezpieczeń | Przeprowadź inspekcję sieciowych grup zabezpieczeń, aby sprawdzić, czy dzienniki przepływu są skonfigurowane. Włączenie dzienników przepływu umożliwia rejestrowanie informacji o ruchu IP przepływającym za pośrednictwem sieciowej grupy zabezpieczeń. Może służyć do optymalizowania przepływów sieciowych, monitorowania przepływności, weryfikowania zgodności, wykrywania nieautoryzowanego dostępu i nie tylko. | Audyt; Niepełnosprawny | 1.1.0 |
| [wersja zapoznawcza]: agent zbierania danych ruchu sieciowego powinien być zainstalowany w systemie Linux virtual machines | Usługa Security Center używa agenta zależności Microsoft do zbierania danych ruchu sieciowego z maszyn wirtualnych Azure w celu włączenia zaawansowanych funkcji ochrony sieci, takich jak wizualizacja ruchu na mapie sieci, rekomendacje dotyczące wzmacniania zabezpieczeń sieci i określone zagrożenia sieciowe. | AuditIfNotExists; Niepełnosprawny | 1.0.2—wersja zapoznawcza |
| [wersja zapoznawcza]: agent zbierania danych ruchu sieciowego powinien być zainstalowany na maszynach wirtualnych Windows | Usługa Security Center używa agenta zależności Microsoft do zbierania danych ruchu sieciowego z maszyn wirtualnych Azure w celu włączenia zaawansowanych funkcji ochrony sieci, takich jak wizualizacja ruchu na mapie sieci, rekomendacje dotyczące wzmacniania zabezpieczeń sieci i określone zagrożenia sieciowe. | AuditIfNotExists; Niepełnosprawny | 1.0.2—wersja zapoznawcza |
| Dzienniki przepływu usługi Network Watcher powinny mieć włączoną analizę ruchu | Analiza ruchu analizuje dzienniki przepływów, aby zapewnić wgląd w przepływ ruchu w chmurze Azure. Może służyć do wizualizowania aktywności sieci w ramach subskrypcji Azure i identyfikowania punktów aktywnych, identyfikowania zagrożeń bezpieczeństwa, zrozumienia wzorców przepływu ruchu, wskazywania błędów konfiguracji sieci i nie tylko. | Audyt; Niepełnosprawny | 1.0.1 |
| Publiczne adresy IP powinny mieć włączone dzienniki zasobów dla usługi Azure DDoS Protection | Włącz dzienniki zasobów dla publicznych adresów IP w ustawieniach diagnostycznych, aby przesyłać strumieniowo do obszaru roboczego Log Analytics. Uzyskaj szczegółowy wgląd w ruch ataków i akcje podejmowane w celu wyeliminowania ataków DDoS za pośrednictwem powiadomień, raportów i dzienników przepływu. | AuditIfNotExists; DeployIfNotExists; Wyłączone | 1.0.1 |
LT-5: Scentralizowane zarządzanie dziennikami zabezpieczeń i analiza
Aby uzyskać więcej informacji, zobacz Rejestrowanie i wykrywanie zagrożeń: LT-5: Scentralizowane zarządzanie dziennikami zabezpieczeń i analiza.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Maszyny z obsługą usługi Arc w systemie Azure Monitor powinny być zainstalowane Azure Monitor agenta | Maszyny z obsługą usługi Linux Arc powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Te zasady przeprowadźą inspekcję maszyn z obsługą usługi Arc w obsługiwanych regionach. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 1.2.0 |
| Linux zestawy skalowania maszyn wirtualnych powinny mieć zainstalowany agent Azure Monitor | Zestawy skalowania maszyn wirtualnych z systemem Linux powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Te zasady będą przeprowadzać inspekcję zestawów skalowania maszyn wirtualnych przy użyciu obsługiwanych obrazów systemu operacyjnego w obsługiwanych regionach. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 3.6.0 |
| maszyny wirtualne Linux powinny mieć zainstalowany agent Azure Monitor | Maszyny wirtualne z systemem Linux powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Te zasady będą przeprowadzać inspekcję maszyn wirtualnych z obsługiwanymi obrazami systemu operacyjnego w obsługiwanych regionach. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 3.6.0 |
| Log Analytics agent powinien być zainstalowany w wystąpieniach ról usług Cloud Services (rozszerzonej pomocy technicznej | Usługa Security Center zbiera dane z wystąpień ról usług Cloud Services (rozszerzonej pomocy technicznej) w celu monitorowania pod kątem luk w zabezpieczeniach i zagrożeń. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| Zapytane zapytania w Azure Monitor powinny być zapisywane na koncie magazynu klienta na potrzeby szyfrowania dzienników | Połącz konto magazynu z obszarem roboczym Log Analytics w celu ochrony zapisanych zapytań przy użyciu szyfrowania konta magazynu. Klucze zarządzane przez klienta są często wymagane do spełnienia zgodności z przepisami i większej kontroli nad dostępem do zapisanych zapytań w Azure Monitor. Aby uzyskać więcej informacji na temat powyższych informacji, zobacz Klucz zarządzany przez programCustomer dla zapisanych zapytań w Azure Monitor. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Windows maszyny z obsługą usługi Arc powinny mieć zainstalowany agent Azure Monitor | Windows maszyny z obsługą usługi Arc powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Windows maszyny z obsługą usługi Arc w obsługiwanych regionach są monitorowane pod kątem wdrażania agenta Azure Monitor. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 1.4.0 |
| Windows zestawy skalowania maszyn wirtualnych powinny mieć zainstalowany agent Azure Monitor | Windows zestawy skalowania maszyn wirtualnych powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Zestawy skalowania maszyn wirtualnych z obsługiwanym systemem operacyjnym i w obsługiwanych regionach są monitorowane pod kątem wdrażania agenta Azure Monitor. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 3.5.0 |
| Windows maszyny wirtualne powinny mieć zainstalowany agent Azure Monitor | Windows maszyny wirtualne powinny być monitorowane i zabezpieczone za pośrednictwem wdrożonego agenta Azure Monitor. Agent Azure Monitor zbiera dane telemetryczne z systemu operacyjnego gościa. Windows maszyny wirtualne z obsługiwanym systemem operacyjnym i w obsługiwanych regionach są monitorowane pod kątem wdrażania agenta Azure Monitor. Dowiedz się więcej: https://aka.ms/AMAOverview. | AuditIfNotExists; Niepełnosprawny | 3.5.0 |
LT-6: Konfigurowanie przechowywania storage dziennika
Aby uzyskać więcej informacji, zobacz Logging and Threat Detection: LT-6: Configure log storage retention.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| serwery SQL z inspekcją miejsca docelowego konta storage powinny być skonfigurowane z 90-dniowym przechowywaniem lub wyższym | W celach badania zdarzeń zalecamy ustawienie przechowywania danych dla inspekcji SQL Server do miejsca docelowego konta magazynu na co najmniej 90 dni. Upewnij się, że spełniasz niezbędne reguły przechowywania dla regionów, w których działasz. Czasami jest to wymagane w celu zachowania zgodności ze standardami prawnymi. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
NS-1: Ustanawianie granic segmentacji sieci
Aby uzyskać więcej informacji, zobacz Zabezpieczenia sieci: NS-1: Ustanawianie granic segmentacji sieci.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Wszystkie porty sieciowe powinny być ograniczone w sieciowych grupach zabezpieczeń skojarzonych z maszyną wirtualną | Azure Security Center zidentyfikował niektóre reguły ruchu przychodzącego sieciowych grup zabezpieczeń, aby być zbyt permisywne. Reguły ruchu przychodzącego nie powinny zezwalać na access z zakresów "Dowolny" ani "Internet". Może to potencjalnie umożliwić osobom atakującym kierowanie zasobów. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Azure Klastry Kubernetes powinny używać Azure CNI | Azure CNI jest wymaganiem wstępnym dla niektórych funkcji Azure Kubernetes Service, w tym Azure zasad sieciowych, pul węzłów Windows i dodatków węzłów wirtualnych. Dowiedz się więcej na stronie: https://aka.ms/aks-azure-cni | Audyt; Niepełnosprawny | 1.0.1 |
| Internet virtual machines powinny być chronione za pomocą sieciowych grup zabezpieczeń | Chroń virtual machines przed potencjalnymi zagrożeniami, ograniczając access do nich przy użyciu sieciowych grup zabezpieczeń. Dowiedz się więcej o kontrolowaniu ruchu za pomocą sieciowych grup zabezpieczeń na stronie Azure omówienie sieciowych grup zabezpieczeń | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| [Wersja zapoznawcza]: Maszyny powinny mieć zamknięte porty, które mogą uwidaczniać wektory ataków | Azure Warunki użytkowania zabraniają korzystania z usług Azure w sposób, który może uszkodzić, wyłączyć, przeciążyć lub osłabić dowolny serwer Microsoft lub sieć. Uwidocznione porty zidentyfikowane przez to zalecenie muszą zostać zamknięte w celu zapewnienia ciągłego zabezpieczeń. W przypadku każdego zidentyfikowanego portu zalecenie zawiera również wyjaśnienie potencjalnego zagrożenia. | AuditIfNotExists; Niepełnosprawny | 1.0.0-preview |
| Non-Internet-facing virtual machines powinny być chronione za pomocą sieciowych grup zabezpieczeń | Chroń virtual machines przed potencjalnymi zagrożeniami, ograniczając access z sieciowymi grupami zabezpieczeń. Dowiedz się więcej o kontrolowaniu ruchu za pomocą sieciowych grup zabezpieczeń na stronie Azure omówienie sieciowych grup zabezpieczeń | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Subnets powinny być skojarzone z sieciową grupą zabezpieczeń | Chroń podsieć przed potencjalnymi zagrożeniami, ograniczając access do niej za pomocą sieciowej grupy zabezpieczeń. Sieciowe grupy zabezpieczeń zawierają listę reguł listy Access Control (ACL), które zezwalają na ruch sieciowy do podsieci lub odmawiają go. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny wirtualne powinny być połączone z zatwierdzoną siecią wirtualną | Te zasady przeprowadzają inspekcję każdej maszyny wirtualnej połączonej z siecią wirtualną, która nie jest zatwierdzona. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Sieci wirtualne powinny używać określonej bramy sieci wirtualnej | Te zasady przeprowadzają inspekcję dowolnej sieci wirtualnej, jeśli trasa domyślna nie wskazuje określonej bramy sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
NS-2: Zabezpieczanie usług natywnych dla chmury za pomocą kontrolek sieci
Aby uzyskać więcej informacji, zobacz Zabezpieczenia sieciowe: NS-2: Zabezpieczanie usług natywnych dla chmury za pomocą mechanizmów kontroli sieci.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| usługi API Management powinny używać virtual network | Azure Virtual Network wdrożenie zapewnia zwiększone zabezpieczenia, izolację i umożliwia umieszczenie usługi API Management w sieci nieinternetowej, do której kontrolujesz dostęp. Te sieci można następnie połączyć z sieciami lokalnymi przy użyciu różnych technologii sieci VPN, co umożliwia access usług zaplecza w sieci i/lub lokalnie. Portal dla deweloperów i brama interfejsu API można skonfigurować tak, aby był dostępny z Internetu lub tylko w virtual network. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.2 |
| API Management należy wyłączyć access sieci publicznej do punktów końcowych konfiguracji usługi | Aby zwiększyć bezpieczeństwo usług API Management, ogranicz łączność z punktami końcowymi konfiguracji usługi, takimi jak bezpośredni interfejs API zarządzania access, punkt końcowy zarządzania konfiguracją usługi Git lub punkt końcowy konfiguracji bram hostowanych samodzielnie. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Użyj prywatne punkty końcowe dla Azure App Configuration. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 | |
| App Configuration należy użyć jednostki SKU obsługującej private link | W przypadku korzystania z obsługiwanej jednostki SKU Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na wystąpienia app configuration zamiast całej usługi, będziesz również chronić przed wyciekiem danych. Dowiedz się więcej na stronie: Użyj prywatne punkty końcowe dla Azure App Configuration. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| App Configuration należy użyć private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na wystąpienia app configuration zamiast całej usługi, będziesz również chronić przed wyciekiem danych. Dowiedz się więcej na stronie: Użyj prywatne punkty końcowe dla Azure App Configuration. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Miejsca aplikacji App Service powinny być włączane do sieci wirtualnej | Wstrzykiwanie aplikacji usługi App Service w sieci wirtualnej umożliwia odblokowanie zaawansowanych funkcji sieciowych i zabezpieczeń usługi App Service oraz zapewnia większą kontrolę nad konfiguracją zabezpieczeń sieci. Dowiedz się więcej na stronie: /azure/app-service/web-sites-integrate-with-vnet. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| App Service miejsca aplikacji powinny wyłączyć sieć publiczną access | Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że App Service nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie App Service. Dowiedz się więcej na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0 |
| Miejsca aplikacji usługiApp Service powinny włączyć routing konfiguracji do Azure Virtual Network | Domyślnie konfiguracja aplikacji, na przykład ściąganie obrazów kontenerów i instalowanie magazynu zawartości, nie jest kierowana przez regionalną integrację z siecią wirtualną. W przypadku wersji interfejsu API przed 2024-11-01 ustaw wartość "vnetImagePullEnabled" i "vnetContentShareEnabled". W przypadku wersji 2024-11-01+ustaw wartość "outboundVnetRouting.imagePullTraffic" i "outboundVnetRouting.contentShareTraffic". Dowiedz się więcej na stronie https://aka.ms/appservice-vnet-configuration-routing. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Miejsca aplikacji usługiApp Service powinny włączać wychodzący ruch inny niż RFC 1918 do Azure Virtual Network | Domyślnie regionalna integracja z siecią wirtualną kieruje tylko RFC1918 ruchu do sieci wirtualnej. W przypadku wersji interfejsu API przed 2024-11-01 ustaw wartość "vnetRouteAllEnabled", aby włączyć cały ruch wychodzący do Azure Virtual Network. W przypadku wersji 2024-11-01+ustaw wartość "outboundVnetRouting.applicationTraffic". Umożliwia to sieciowe grupy zabezpieczeń i trasy zdefiniowane przez użytkownika dla całego ruchu wychodzącego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Aplikacje usługi App Service powinny być wstrzykiwane do sieci wirtualnej | Wstrzykiwanie aplikacji usługi App Service w sieci wirtualnej umożliwia odblokowanie zaawansowanych funkcji sieciowych i zabezpieczeń usługi App Service oraz zapewnia większą kontrolę nad konfiguracją zabezpieczeń sieci. Dowiedz się więcej na stronie: /azure/app-service/web-sites-integrate-with-vnet. | Audyt; Zaprzeczać; Niepełnosprawny | 3.2.0 |
| aplikacje |
Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że App Service nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie App Service. Dowiedz się więcej na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Niepełnosprawny; Zaprzeczać | 1.1.0 |
| aplikacje usługi App Service powinny włączyć routing konfiguracji do Azure Virtual Network | Domyślnie konfiguracja aplikacji, na przykład ściąganie obrazów kontenerów i instalowanie magazynu zawartości, nie jest kierowana przez regionalną integrację z siecią wirtualną. W przypadku wersji interfejsu API przed 2024-11-01 ustaw wartość "vnetImagePullEnabled" i "vnetContentShareEnabled". W przypadku wersji 2024-11-01+ustaw wartość "outboundVnetRouting.imagePullTraffic" i "outboundVnetRouting.contentShareTraffic". Dowiedz się więcej na stronie https://aka.ms/appservice-vnet-configuration-routing. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| aplikacje usługi App Service powinny włączać ruch wychodzący inny niż RFC 1918 do Azure Virtual Network | Domyślnie regionalna integracja z siecią wirtualną kieruje tylko RFC1918 ruchu do sieci wirtualnej. W przypadku wersji interfejsu API przed 2024-11-01 ustaw wartość "vnetRouteAllEnabled", aby włączyć cały ruch wychodzący do Azure Virtual Network. W przypadku wersji 2024-11-01+ustaw wartość "outboundVnetRouting.applicationTraffic". Umożliwia to sieciowe grupy zabezpieczeń i trasy zdefiniowane przez użytkownika dla całego ruchu wychodzącego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| App Service aplikacje powinny używać jednostki SKU obsługującej private link | W przypadku obsługiwanych jednostek SKU Azure Private Link umożliwia łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na aplikacje, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Zaprzeczać; Niepełnosprawny | 4.3.0 |
| Aplikacje usługi App Service powinny używać punktu końcowego usługi sieci wirtualnej | Użyj punktów końcowych usługi sieci wirtualnej, aby ograniczyć dostęp do aplikacji z wybranych podsieci z sieci wirtualnej platformy Azure. Aby dowiedzieć się więcej o punktach końcowych usługi App Service, odwiedź stronę https://aka.ms/appservice-vnet-service-endpoint. | AuditIfNotExists; Niepełnosprawny | 2.0.1 |
| aplikacje App Service powinny używać private link | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na App Service, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| App Service Environment aplikacje nie powinny być dostępne za pośrednictwem publicznego Internetu | Aby zapewnić, że aplikacje wdrożone w App Service Environment nie są dostępne za pośrednictwem publicznego Internetu, należy wdrożyć App Service Environment z adresem IP w sieci wirtualnej. Aby ustawić adres IP na adres IP sieci wirtualnej, należy wdrożyć App Service Environment z wewnętrznym modułem równoważenia obciążenia. | Audyt; Zaprzeczać; Niepełnosprawny | 3.0.0 |
| składniki Application Insights powinny blokować pozyskiwanie dzienników i wykonywanie zapytań z sieci publicznych | Zwiększ bezpieczeństwo usługi Application Insights, blokując pozyskiwanie dzienników i wykonywanie zapytań z sieci publicznych. Tylko sieci połączone za pomocą łącza prywatnego będą mogły pozyskiwać i wykonywać zapytania dotyczące dzienników tego składnika. Dowiedz się więcej na stronie Użyj Azure Private Link, aby połączyć sieci z Azure Monitor. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Komponenty Application Insights z włączonym Private Link powinny używać kont Bring Your Own Storage dla profilera i debuggera. | Aby obsługiwać zasady linków prywatnych i kluczy zarządzanych przez klienta, utwórz własne konto magazynu dla profilera i debugera. Dowiedz się więcej w witrynie /azure/azure-monitor/app/profiler-bring-your-own-storage | Zaprzeczać; Audyt; Niepełnosprawny | 1.0.0 |
| Zdefiniowane zakresy adresów IP powinny być zdefiniowane w usługach Kubernetes Services | Ogranicz access do interfejsu API usługi Kubernetes Service Management, udzielając interfejsu API access tylko do adresów IP w określonych zakresach. Zaleca się ograniczenie access autoryzowanych zakresów adresów IP w celu zapewnienia, że tylko aplikacje z dozwolonych sieci mogą access klastrze. | Audyt; Niepełnosprawny | 2.0.1 |
| konta |
Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego możesz ograniczyć narażenie zasobów konta usługi Automation, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: Użyj Azure Private Link do bezpiecznego łączenia sieci z Azure Automation. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| usługa Wyszukiwanie AI platformy Azure powinna używać jednostki SKU obsługującej łącze prywatne | W przypadku obsługiwanych jednostek SKU Wyszukiwanie AI platformy Azure Azure Private Link umożliwia łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na Search service zmniejsza ryzyko wycieku danych. Dowiedz się więcej na stronie: Utwórz prywatny punkt końcowy dla bezpiecznego połączenia. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Wyszukiwanie AI platformy Azure usługi powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że usługa Wyszukiwanie AI platformy Azure nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie Search service. Dowiedz się więcej na stronie: Utwórz prywatny punkt końcowy dla bezpiecznego połączenia. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure zasoby usług sztucznej inteligencji powinny ograniczać dostęp do sieci | Ograniczając access sieci, możesz upewnić się, że tylko dozwolone sieci mogą access usługę. Można to osiągnąć, konfigurując reguły sieci, aby tylko aplikacje z dozwolonych sieci mogły uzyskiwać dostęp do narzędzia Microsoft Foundry. | Audyt; Zaprzeczać; Niepełnosprawny | 3.3.0 |
| Azure zasoby usług sztucznej inteligencji powinny używać Azure Private Link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link zmniejsza ryzyko wycieku danych dzięki obsłudze łączności między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Dowiedz się więcej o linkach prywatnych na stronie: Jak jest Azure Private Link? | Audyt; Niepełnosprawny | 1.0.0 |
| Azure API for FHIR powinien używać łącza prywatnego | Azure interfejs API for FHIR powinien mieć co najmniej jedno zatwierdzone prywatne połączenie punktu końcowego. Klienci w virtual network mogą bezpiecznie access zasobów, które mają prywatne połączenia punktu końcowego za pośrednictwem linków prywatnych. Aby uzyskać więcej informacji, odwiedź stronę: Konfigurowanie Private Link dla Azure Health Data Services. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Arc Private Link Zakresy należy skonfigurować z prywatnym punktem końcowym | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na zakresy Azure Arc Private Link zmniejsza ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Użyj Azure Private Link do łączenia serwerów z Azure Arc przy użyciu prywatnego punktu końcowego. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Arc Private Link Zakresy powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że Azure Arc zasoby nie mogą łączyć się za pośrednictwem publicznego Internetu. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie Azure Arc zasobów. Dowiedz się więcej na stronie: Użyj Azure Private Link na łączenie serwerów z Azure Arc przy użyciu prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Arc klastry kubernetes z włączoną obsługą należy skonfigurować przy użyciu zakresu Azure Arc Private Link | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie serwerów z obsługą Azure Arc na zakres Azure Arc Private Link skonfigurowany przy użyciu prywatnego punktu końcowego powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Użyj Azure Private Link do łączenia serwerów z Azure Arc przy użyciu prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| serwery z obsługą Azure Arc powinny być skonfigurowane z zakresem Azure Arc Private Link | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie serwerów z obsługą Azure Arc na zakres Azure Arc Private Link skonfigurowany przy użyciu prywatnego punktu końcowego powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Użyj Azure Private Link do łączenia serwerów z Azure Arc przy użyciu prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Attestation dostawcy powinni wyłączyć dostęp do sieci publicznej | Aby zwiększyć bezpieczeństwo usługi Azure Attestation, upewnij się, że nie jest ona widoczna dla publicznego Internetu i może być dostępna tylko z prywatnego punktu końcowego. Wyłącz właściwość access sieci publicznej zgodnie z opisem w aka.ms/azureattestation. Ta opcja wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. Zmniejsza to ryzyko wycieku danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Cache for Redis Enterprise powinien używać łącza prywatnego | Prywatne punkty końcowe umożliwiają łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Mapowanie prywatnych punktów końcowych na wystąpienia Azure Cache for Redis Enterprise zmniejsza ryzyko wycieku danych. Dowiedz się więcej na stronie: Jak Azure Cache for Redis z Azure Private Link?. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Cache for Redis powinien wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że Azure Cache for Redis nie jest uwidoczniona w publicznym Internecie. Zamiast tego można ograniczyć narażenie Azure Cache for Redis, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: Jak Azure Cache for Redis z Azure Private Link?. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Cache for Redis należy użyć łącza prywatnego | Prywatne punkty końcowe umożliwiają łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Mapowanie prywatnych punktów końcowych na wystąpienia Azure Cache for Redis zmniejsza ryzyko wycieku danych. Dowiedz się więcej na stronie: Jak Azure Cache for Redis z Azure Private Link?. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure grupa kontenerów usługi Container Instance powinna zostać wdrożona w sieci wirtualnej | Bezpieczna komunikacja między kontenerami za pomocą sieci wirtualnych Azure. Po określeniu sieci wirtualnej zasoby w sieci wirtualnej mogą bezpiecznie i prywatnie komunikować się ze sobą. | Audyt; Niepełnosprawny; Zaprzeczać | 2.0.0 |
| konta Azure Cosmos DB powinny mieć reguły zapory | Reguły zapory powinny być zdefiniowane na kontach Azure Cosmos DB, aby uniemożliwić ruch z nieautoryzowanych źródeł. Konta, które mają co najmniej jedną regułę ip zdefiniowaną z włączonym filtrem virtual network, są uznawane za zgodne. Konta wyłączające publiczne access są również uznawane za zgodne. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Azure Cosmos DB powinien wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że konto usługi CosmosDB nie jest uwidocznione w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie konta usługi CosmosDB. Dowiedz się więcej na stronie: Blokowanie dostępu do sieci publicznej podczas tworzenia konta Azure Cosmos DB. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| klaster Azure Data Explorer powinien używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe do klastra Azure Data Explorer, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: |
Audyt; Niepełnosprawny | 1.0.0 |
| Azure Data Explorer należy użyć jednostki SKU obsługującej łącze prywatne | W przypadku obsługiwanych jednostek SKU Azure Private Link umożliwia łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na aplikacje, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Data Factory należy użyć łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na Azure Data Factory zmniejsza ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Azure Private Link dla Azure Data Factory. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Databricks Klastry powinny wyłączyć publiczny adres IP | Wyłączenie publicznego adresu IP klastrów w obszarach roboczych Azure Databricks zwiększa bezpieczeństwo, zapewniając, że klastry nie są uwidocznione w publicznym Internecie. Dowiedz się więcej na stronie: Włączenie bezpiecznego klastra. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Databricks Obszary robocze powinny znajdować się w sieci wirtualnej | Azure sieci wirtualne zapewniają zwiększone zabezpieczenia i izolację dla obszarów roboczych Azure Databricks, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Dowiedz się więcej na stronie: Deploy Azure Databricks w sieci wirtualnej Azure (iniekcja sieci wirtualnej). | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.2 |
| Azure Databricks obszary robocze powinny być jednostkami SKU w warstwie Premium, która obsługuje funkcje, takie jak prywatny link, klucz zarządzany przez klienta na potrzeby szyfrowania | Zezwalaj tylko na obszar roboczy usługi Databricks z jednostkami SKU w warstwie Premium, którą organizacja może wdrożyć w celu obsługi funkcji, takich jak Private Link, klucz zarządzany przez klienta na potrzeby szyfrowania. Dowiedz się więcej na stronie: Konfiguruj prywatną łączność zaplecza z Azure Databricks. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Databricks Obszary robocze powinny wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję zasobów, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: Azure Private Link pojęcia. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Databricks Obszary robocze powinny używać łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na obszary robocze Azure Databricks, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Konfiguruj prywatną łączność zaplecza z Azure Databricks. | Audyt; Niepełnosprawny | 1.0.2 |
| Azure Aktualizacja urządzenia dla kont IoT Hub powinna używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na Azure aktualizacji urządzeń dla kont IoT Hub zmniejsza ryzyko wycieku danych. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Event Grid domeny powinny wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid domeny powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe do domeny usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Niepełnosprawny | 1.0.2 |
| broker Azure Event Grid przestrzeni nazw MQTT powinien używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na przestrzeń nazw usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Event Grid broker tematu przestrzeni nazw powinien używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na przestrzeń nazw usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Event Grid przestrzenie nazw powinny wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid tematy powinny wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Event Grid tematy powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na temat usługi Event Grid zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnych punktów końcowych dla tematów lub domen. | Audyt; Niepełnosprawny | 1.0.2 |
| Azure File Sync należy użyć łącza prywatnego | Utworzenie prywatnego punktu końcowego dla wskazanego zasobu usługi synchronizacji Storage umożliwia adresowanie zasobu usługi synchronizacji Storage z poziomu prywatnej przestrzeni adresowej IP sieci organizacji, a nie za pośrednictwem publicznego punktu końcowego dostępnego z Internetu. Samo utworzenie prywatnego punktu końcowego nie powoduje wyłączenia publicznego punktu końcowego. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| profile Azure Front Door powinny używać warstwy Premium obsługującej zarządzane reguły zapory aplikacji internetowej i link prywatny | Azure Front Door Premium obsługuje reguły zarządzanej zapory aplikacji internetowej Azure i link prywatny do obsługiwanych źródeł Azure. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure HDInsight należy użyć łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na klastry Azure HDInsight, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Enable Private Link w klastrze Azure HDInsight. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Health Data Services usługa usuwania identyfikacji powinna wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Health Data Services usługa usuwania identyfikacji powinna używać łącza prywatnego | Azure Health Data Services usługa usuwania identyfikacji powinna mieć co najmniej jedno zatwierdzone prywatne połączenie punktu końcowego. Klienci w virtual network mogą bezpiecznie access zasobów, które mają prywatne połączenia punktu końcowego za pośrednictwem linków prywatnych. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Health Data Services obszar roboczy powinien używać łącza prywatnego | Obszar roboczy usług danych kondycji powinien mieć co najmniej jedno zatwierdzone prywatne połączenie punktu końcowego. Klienci w virtual network mogą bezpiecznie access zasobów, które mają prywatne połączenia punktu końcowego za pośrednictwem linków prywatnych. Aby uzyskać więcej informacji, odwiedź stronę: Konfigurowanie Private Link dla Azure Health Data Services. | Audyt; Niepełnosprawny | 1.0.0 |
| [wersja zapoznawcza]: Azure Key Vault Zarządzany moduł HSM powinien wyłączyć dostęp do sieci publicznej | Wyłącz dostęp do sieci publicznej dla zarządzanego modułu HSM Azure Key Vault, aby nie był dostępny za pośrednictwem publicznego Internetu. Może to zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na stronie: Allow trusted services to access Managed HSM( | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: Azure Key Vault Zarządzany moduł HSM powinien używać łącza prywatnego | Usługa Private Link umożliwia łączenie Azure Key Vault zarządzanym modułem HSM z zasobami Azure bez wysyłania ruchu przez publiczny Internet. Private link zapewnia ochronę w głębi systemu ochrony przed eksfiltracją danych. Dowiedz się więcej na stronie: Integrate Managed HSM with Azure Private Link | Audyt; Niepełnosprawny | 1.0.0-preview |
| Azure Key Vault powinien wyłączyć dostęp do sieci publicznej | Wyłącz access sieci publicznej dla key vault, aby nie była dostępna za pośrednictwem publicznego Internetu. Może to zmniejszyć ryzyko wycieku danych. Dowiedz się więcej na stronie: Integrate Key Vault z Azure Private Link. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Azure Key Vault powinna być wyłączona zapora lub dostęp do sieci publicznej | Włącz zaporę key vault, aby key vault była domyślnie niedostępna dla żadnych publicznych adresów IP lub wyłączyć access sieci publicznej dla key vault, aby była niedostępna za pośrednictwem publicznego Internetu. Opcjonalnie można skonfigurować określone zakresy adresów IP, aby ograniczyć access do tych sieci. Dowiedz się więcej na stronie: Network security for Azure Key Vault and Integrate Key Vault with Azure Private Link | Audyt; Zaprzeczać; Niepełnosprawny | 3.3.0 |
| Azure Usługa Key Vault powinna używać łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na key vault, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Integrate Key Vault z Azure Private Link. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.1 |
| Azure Kubernetes Service należy włączyć klastry prywatne | Włącz funkcję klastra prywatnego dla klastra Azure Kubernetes Service, aby zapewnić, że ruch sieciowy między serwerem interfejsu API a pulami węzłów pozostaje tylko w sieci prywatnej. Jest to typowe wymaganie w wielu standardach zgodności z przepisami i branży. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Machine Learning i Ai Studio powinny używać trybu zezwalania tylko na zatwierdzone wychodzące zarządzane sieci wirtualnej | Izolacja zarządzanej sieci wirtualnej usprawnia i automatyzuje konfigurację izolacji sieci za pomocą wbudowanej, Azure Machine Learning zarządzanej sieci wirtualnej na poziomie obszaru roboczego. Zarządzana sieć wirtualna zabezpiecza zarządzane zasoby Azure Machine Learning, takie jak wystąpienia obliczeniowe, klastry obliczeniowe, bezserwerowe obliczenia i zarządzane punkty końcowe online. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Machine Learning Obliczenia powinny znajdować się w sieci wirtualnej | Azure Sieci wirtualne zapewniają zwiększone zabezpieczenia i izolację klastrów obliczeniowych i wystąpień Azure Machine Learning, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. Jeśli środowisko obliczeniowe jest skonfigurowane przy użyciu virtual network, nie można go publicznie adresować i można uzyskać do niego dostęp tylko z virtual machines i aplikacji w ramach virtual network. | Audyt; Niepełnosprawny | 1.0.1 |
| Azure Machine Learning Obszary robocze powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że obszary robocze Machine Learning nie są uwidocznione w publicznym Internecie. Zamiast tego możesz kontrolować ekspozycję obszarów roboczych, tworząc prywatne punkty końcowe. Dowiedz się więcej na stronie: Konfigurowanie prywatnego punktu końcowego dla obszaru roboczego Azure Machine Learning. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.1 |
| Azure Machine Learning obszary robocze powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na obszary robocze Azure Machine Learning zmniejsza ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Konfigurowanie prywatnego punktu końcowego dla obszaru roboczego Azure Machine Learning. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Managed Grafana obszary robocze powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że obszar roboczy Azure Managed Grafana nie jest uwidoczniony w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie obszarów roboczych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Managed Grafana obszary robocze powinny używać łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na zarządzaną platformę Grafana, można zmniejszyć ryzyko wycieku danych. | Audyt; Niepełnosprawny | 1.0.1 |
| Azure Monitor Private Link Zakres powinien blokować dostęp do zasobów innych niż private link | Azure Private Link umożliwia łączenie sieci wirtualnych z zasobami Azure za pośrednictwem prywatnego punktu końcowego z zakresem Azure Monitor Private Link (AMPLS). Private Link tryby dostępu są ustawione na poziomie AMPLS, aby kontrolować, czy pozyskiwanie i wysyłanie zapytań z sieci może dotrzeć do wszystkich zasobów, czy tylko Private Link zasobów (aby zapobiec eksfiltracji danych). Dowiedz się więcej na temat linków prywatnych na stronie: tryby dostępu Azure Private Link (tylko prywatne a otwarte). | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Monitor Private Link Zakres powinien używać private link | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na zakres Azure Monitor łącza prywatne, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Użyj Azure Private Link do łączenia sieci z Azure Monitor. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure konta usługi Purview powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na konta usługi Azure Purview zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Użyj prywatne punkty końcowe w klasycznym portalu ładu Microsoft Purview. | Audyt; Niepełnosprawny | 1.0.0 |
| [Wersja zapoznawcza]: Magazyny usługi Azure Recovery Services powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że magazyn usługi Recovery Services nie jest uwidoczniony w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie magazynu usługi Recovery Services. Dowiedz się więcej na stronie: https://aka.ms/AB-PublicNetworkAccess-Deny. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: magazyny usługi Azure Recovery Services powinny używać łącza prywatnego do tworzenia kopii zapasowych | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na magazyny usługi Recovery Services Azure zmniejsza ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Tworzenie prywatnych punktów końcowych i używanie ich do Azure Backup. | Audyt; Niepełnosprawny | 2.0.0-preview |
| Azure Service Bus przestrzenie nazw powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na Service Bus przestrzenie nazw, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej na stronie: Allow dostęp do przestrzeni nazw Azure Service Bus za pośrednictwem prywatnych punktów końcowych. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure SignalR Service należy wyłączyć dostęp do sieci publicznej | Aby zwiększyć bezpieczeństwo zasobu Azure SignalR Service, upewnij się, że nie jest on udostępniany publicznemu Internetowi i można uzyskać do niego dostęp tylko z prywatnego punktu końcowego. Wyłącz właściwość access sieci publicznej zgodnie z opisem w Konfiguruj sieć access control. Ta opcja wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. Zmniejsza to ryzyko wycieku danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| Azure SignalR Service należy użyć Private Link włączonej jednostki SKU | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym, które chronią zasoby przed ryzykiem wycieku danych publicznych. Zasady ograniczają Private Link włączone jednostki SKU dla Azure SignalR Service. Dowiedz się więcej o private link na stronie: Użyj prywatnych punktów końcowych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure SignalR Service należy użyć łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na zasób Azure SignalR Service zamiast całej usługi, zmniejszysz ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Używanie prywatnych punktów końcowych. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Spring Cloud powinien używać iniekcji sieci | Azure wystąpienia usługi Spring Cloud powinny używać iniekcji sieci wirtualnej do następujących celów: 1. Izolowanie Azure Spring Cloud z Internetu. 2. Włącz Azure Spring Cloud, aby wchodzić w interakcje z systemami w lokalnych centrach danych lub w usłudze Azure w innych sieciach wirtualnych. 3. Umożliwienie klientom kontrolowania przychodzącej i wychodzącej komunikacji sieciowej na potrzeby usługi Azure Spring Cloud. | Audyt; Niepełnosprawny; Zaprzeczać | 1.2.0 |
| Azure SQL Wystąpienia zarządzane powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej (publicznego punktu końcowego) w usłudze Azure SQL Managed Instances zwiększa bezpieczeństwo, zapewniając dostęp do nich tylko z sieci wirtualnych lub za pośrednictwem prywatnych punktów końcowych. Aby dowiedzieć się więcej na temat access sieci publicznej, odwiedź Konfigurowanie publicznego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Synapse obszary robocze powinny zezwalać na ruch wychodzący danych tylko do zatwierdzonych obiektów docelowych | Zwiększ bezpieczeństwo obszaru roboczego usługi Synapse, zezwalając na ruch wychodzący danych tylko do zatwierdzonych obiektów docelowych. Pomaga to zapobiegać eksfiltracji danych, sprawdzając cel przed wysłaniem danych. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0 |
| Azure Synapse obszary robocze powinny wyłączyć dostęp do sieci publicznej | Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że obszar roboczy usługi Synapse nie jest uwidoczniony w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie obszarów roboczych usługi Synapse. Dowiedz się więcej na stronie: Azure Synapse Analytics ustawienia łączności. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Synapse obszary robocze powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na obszar roboczy Azure Synapse zmniejsza ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Połączenie z obszarem roboczym Azure Synapse przy użyciu linków prywatnych. | Audyt; Niepełnosprawny | 1.0.1 |
| Azure Virtual Desktop bufory hostów powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo i zapewnia bezpieczeństwo danych, zapewniając, że dostęp do usługi Azure Virtual Desktop nie jest udostępniany publicznemu Internetowi. Dowiedz się więcej na stronie: |
Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Virtual Desktop bufory hostów powinny wyłączać dostęp do sieci publicznej tylko na hostach sesji | Wyłączenie dostępu do sieci publicznej dla hostów sesji puli hostów Azure Virtual Desktop, ale zezwolenie na dostęp publiczny dla użytkowników końcowych zwiększa bezpieczeństwo przez ograniczenie narażenia na publiczny Internet. Dowiedz się więcej na stronie: |
Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Virtual Desktop usługa powinna używać łącza prywatnego | Korzystanie z Azure Private Link z zasobami Azure Virtual Desktop może zwiększyć bezpieczeństwo i zapewnić bezpieczeństwo danych. Dowiedz się więcej na temat linków prywatnych na stronie: Konsekguruj Private Link za pomocą Azure Virtual Desktop. | Audyt; Niepełnosprawny | 1.0.0 |
| Azure Virtual Desktop obszary robocze powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej dla zasobu obszaru roboczego Azure Virtual Desktop uniemożliwia dostęp do kanału informacyjnego za pośrednictwem publicznego Internetu. Zezwalanie tylko na sieć prywatną access poprawia bezpieczeństwo i zapewnia bezpieczeństwo danych. Dowiedz się więcej na stronie: |
Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| usługa Azure Web PubSub powinna wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że usługa Azure Web PubSub nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie Azure Web PubSub usługi. Dowiedz się więcej na stronie: Azure Web PubSub kontrola dostępu do sieci. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| usługa Azure Web PubSub powinna używać jednostki SKU obsługującej łącze prywatne | W przypadku obsługiwanej jednostki SKU Azure Private Link umożliwia łączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na usługę Azure Web PubSub, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Azure Web PubSub prywatny punkt końcowy usługi. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| usługa Azure Web PubSub powinna używać łącza prywatnego | Azure Private Link umożliwia łączenie sieci wirtualnych z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na usługę Azure Web PubSub, można zmniejszyć ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych na stronie: Azure Web PubSub prywatny punkt końcowy usługi. | Audyt; Niepełnosprawny | 1.0.0 |
| Bot Service powinien mieć włączony tryb izolowany | Boty powinny być ustawione na tryb "tylko izolowany". To ustawienie umożliwia skonfigurowanie kanałów Bot Service, które wymagają wyłączenia ruchu przez publiczny Internet. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Bot Service powinien mieć wyłączony dostęp do sieci publicznej | Boty powinny być ustawione na tryb "tylko izolowany". To ustawienie umożliwia skonfigurowanie kanałów Bot Service, które wymagają wyłączenia ruchu przez publiczny Internet. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| zasoby BotService powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na zasób usługi BotService powoduje zmniejszenie ryzyka wycieku danych. | Audyt; Niepełnosprawny | 1.0.0 |
| Środowiska aplikacji kontenera powinny używać iniekcji sieci | Środowiska usługi Container Apps powinny używać iniekcji sieci wirtualnej do: 1.Izoluj aplikacje kontenerów z publicznego Internetu 2.Włącz integrację sieci z zasobami lokalnie lub w innych sieciach wirtualnych Azure 3.Uzyskaj bardziej szczegółową kontrolę nad przepływem ruchu sieciowego do i ze środowiska. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.2 |
| Container Apps środowisko powinno wyłączyć sieć publiczną access | Wyłącz access sieci publicznej, aby zwiększyć bezpieczeństwo, ujawniając środowisko usługi Container Apps za pośrednictwem wewnętrznego load balancer. Eliminuje to potrzebę publicznego adresu IP i uniemożliwia korzystanie z internetu access do wszystkich aplikacji kontenera w środowisku. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Usługa Container Apps powinna wyłączyć dostęp do sieci zewnętrznej | Wyłącz dostęp do sieci zewnętrznej do usługi Container Apps, wymuszając ruch przychodzący tylko do wewnątrz. Dzięki temu komunikacja przychodząca dla usługi Container Apps jest ograniczona do osób wywołujących w środowisku usługi Container Apps. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| rejestry Container powinny mieć jednostki SKU obsługujące łącza prywatne | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych do rejestrów kontenerów zamiast całej usługi zmniejsza ryzyko wycieku danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnego punktu końcowego przy użyciu Private Link dla usługi ACR. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| rejestry |
Azure rejestry kontenerów domyślnie akceptują połączenia przez Internet z hostów w dowolnej sieci. Aby chronić rejestry przed potencjalnymi zagrożeniami, zezwól na access tylko przed określonymi prywatnymi punktami końcowymi, publicznymi adresami IP lub zakresami adresów. Jeśli rejestr nie ma skonfigurowanych reguł sieciowych, pojawi się w zasobach w złej kondycji. Dowiedz się więcej o regułach sieci usługi Container Registry tutaj: Konfiguruj prywatny punkt końcowy za pomocą Private Link dla usługi ACR, Konfiguruj dostęp do rejestru publicznego w Azure i Restrict Access w celu Azure Container Registry przy użyciu punktów końcowych usługi. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| rejestry Container powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe do rejestrów kontenerów zamiast całej usługi, będziesz również chronić przed zagrożeniami wycieków danych. Dowiedz się więcej na stronie: Konfigurowanie prywatnego punktu końcowego przy użyciu Private Link dla usługi ACR. | Audyt; Niepełnosprawny | 1.0.1 |
| [Wersja zapoznawcza]: Usługa Container Registry powinna używać punktu końcowego usługi sieci wirtualnej | Te zasady przeprowadzają inspekcję dowolnego rejestru kontenerów, który nie jest skonfigurowany do używania punktu końcowego usługi sieci wirtualnej. | Audyt; Niepełnosprawny | 1.0.0-preview |
| Usługa Cosmos DB powinna używać punktu końcowego usługi sieci wirtualnej | Te zasady audytują każdą bazę danych Cosmos DB, która nie jest skonfigurowana do używania punktu końcowego usługi sieci wirtualnej. | Audyt; Niepełnosprawny | 1.0.0 |
| konta CosmosDB powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na konto usługi CosmosDB powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Konfigurowanie Azure Private Link dla konta Azure Cosmos DB. | Audyt; Niepełnosprawny | 1.0.0 |
| Disk access zasobów powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na diskAccesses, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Restrict import/export access do managed disks. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| ElasticSan powinien wyłączyć sieć publiczną access | Wyłącz access sieci publicznej dla usługi ElasticSan, aby nie była dostępna za pośrednictwem publicznego Internetu. Może to zmniejszyć ryzyko wycieku danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Event Hub Przestrzenie nazw powinny wyłączyć sieć publiczną access | Azure centrum zdarzeń powinno mieć wyłączony dostęp do sieci publicznej. Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Allow access to Azure Event Hubs namespaces via private endpoints | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| przestrzenie nazw Event Hub powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na przestrzenie nazw centrum zdarzeń, zmniejsza się ryzyko wycieku danych. Dowiedz się więcej na stronie: |
AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Centrum zdarzeń powinno używać punktu końcowego usługi sieci wirtualnej | Te zasady sprawdzają, czy żadne centrum zdarzeń nie jest skonfigurowane do korzystania z punktu końcowego usługi sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Właszczyny aplikacji funkcji powinny wyłączyć sieć publiczną access | Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że aplikacja funkcji nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie aplikacji funkcji. Dowiedz się więcej na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Niepełnosprawny; Zaprzeczać | 1.1.0 |
| aplikacje |
Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że aplikacja funkcji nie jest uwidoczniona w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie aplikacji funkcji. Dowiedz się więcej na stronie: Używanie prywatnych punktów końcowych dla aplikacji. | Audyt; Niepełnosprawny; Zaprzeczać | 1.1.0 |
| IoT Central powinna używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma łącza prywatnego obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapując prywatne punkty końcowe na aplikację usługi IoT Central zamiast całej usługi, zmniejszysz ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Zabezpieczenia sieci przy użyciu prywatnych punktów końcowych w usłudze IoT Central. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| IoT Hub wystąpienia usługi aprowizacji urządzeń powinny wyłączyć dostęp do sieci publicznej | Wyłączenie dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że IoT Hub wystąpienie usługi aprowizacji urządzeń nie jest uwidocznione w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie IoT Hub wystąpień aprowizacji urządzeń. Dowiedz się więcej na stronie: Virtual network połączenia dla usługi DPS. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| IoT Hub wystąpienia usługi aprowizacji urządzeń powinny używać łącza prywatnego | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na usługę aprowizacji urządzeń IoT Hub zmniejsza ryzyko wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Virtual network połączenia dla usługi DPS. | Audyt; Niepełnosprawny | 1.0.0 |
| Reguły zapory adresów IP w obszarach roboczych usługi Azure Synapse powinny zostać usunięte | Usunięcie wszystkich reguł zapory ip zwiększa bezpieczeństwo, zapewniając dostęp do obszaru roboczego Azure Synapse tylko z prywatnego punktu końcowego. Ta konfiguracja przeprowadza inspekcję tworzenia reguł zapory, które zezwalają na dostęp do sieci publicznej w obszarze roboczym. | Audyt; Niepełnosprawny | 1.0.0 |
| Key Vault powinien używać punktu końcowego usługi sieci wirtualnej | Te zasady przeprowadzają inspekcję wszystkich Key Vault, które nie zostały skonfigurowane do korzystania z punktu końcowego usługi sieci wirtualnej. | Audyt; Niepełnosprawny | 1.0.0 |
| Log Analytics obszary robocze powinny blokować pozyskiwanie dzienników i wykonywanie zapytań z sieci publicznych | Zwiększ bezpieczeństwo obszaru roboczego, blokując pozyskiwanie dzienników i wykonywanie zapytań z sieci publicznych. Tylko sieci połączone za pomocą łącza prywatnego będą mogły pozyskiwać dzienniki i wykonywać zapytania w tym obszarze roboczym. Dowiedz się więcej na stronie Użyj Azure Private Link, aby połączyć sieci z Azure Monitor. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 1.1.0 |
| Managed disks powinna wyłączyć sieć publiczną access | Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że dysk zarządzany nie jest uwidoczniony w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie managed disks. Dowiedz się więcej na stronie: Restrict import/export access to managed disks. | Audyt; Zaprzeczać; Niepełnosprawny | 2.1.0 |
| Sieć wirtualna zarządzanego obszaru roboczego w obszarach roboczych Azure Synapse powinna być włączona | Włączenie zarządzanej sieci wirtualnej obszaru roboczego gwarantuje, że obszar roboczy jest odizolowany od innych obszarów roboczych. Integracja danych i zasoby platformy Spark wdrożone w tej sieci wirtualnej zapewniają również izolację na poziomie użytkownika dla działań platformy Spark. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Serwer MariaDB powinien używać punktu końcowego usługi sieci wirtualnej | Reguły zapory oparte na sieci wirtualnej służą do włączania ruchu z określonej podsieci do Azure Database for MariaDB przy jednoczesnym zapewnieniu, że ruch pozostaje w granicach Azure. Te zasady umożliwiają inspekcję, czy Azure Database for MariaDB ma używany punkt końcowy usługi sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Serwer MySQL powinien używać punktu końcowego usługi sieci wirtualnej | Reguły zapory oparte na sieci wirtualnej służą do włączania ruchu z określonej podsieci do Azure Database for MySQL przy jednoczesnym zapewnieniu, że ruch pozostaje w granicach Azure. Te zasady umożliwiają inspekcję, czy Azure Database for MySQL ma używany punkt końcowy usługi sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Serwer PostgreSQL powinien używać punktu końcowego usługi sieci wirtualnej | Reguły zapory oparte na sieci wirtualnej służą do włączania ruchu z określonej podsieci do Azure Database for PostgreSQL przy jednoczesnym zapewnieniu, że ruch pozostaje w granicach Azure. Te zasady umożliwiają inspekcję, czy Azure Database for PostgreSQL ma używany punkt końcowy usługi sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Należy włączyć połączenia prywatnego punktu końcowego na kontach usługi Automation | Połączenia prywatnych punktów końcowych umożliwiają bezpieczną komunikację, umożliwiając prywatną łączność z kontami usługi Automation bez konieczności używania publicznych adresów IP w źródle lub miejscu docelowym. Dowiedz się więcej o prywatnych punktach końcowych w Azure Automation na stronie /azure/automation/how-to/private-link-security | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Prywatne połączenia punktu końcowego w Azure SQL Database powinny być włączone | Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, umożliwiając łączność prywatną z Azure SQL Database. | Audyt; Niepełnosprawny | 1.1.0 |
| Należy włączyć połączenia prywatnego punktu końcowego na kontach usługi Batch | Połączenia prywatnych punktów końcowych umożliwiają bezpieczną komunikację, umożliwiając prywatną łączność z kontami usługi Batch bez konieczności używania publicznych adresów IP w źródle lub miejscu docelowym. Dowiedz się więcej o prywatnych punktach końcowych w usłudze Batch na stronie /azure/batch/private-connectivity. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Prywatny punkt końcowy powinien być włączony dla IoT Hub | Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, umożliwiając łączność prywatną z IoT Hub. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym w Azure. | Audyt; Niepełnosprawny | 1.0.0 |
| Prywatny punkt końcowy powinien być włączony dla serwerów MariaDB | Połączenia prywatnego punktu końcowego wymuszają bezpieczną komunikację, umożliwiając prywatną łączność z usługą Azure Database for MariaDB. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym w Azure. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Private punkt końcowy powinien być włączony dla serwerów MySQL | Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, umożliwiając łączność prywatną z Azure Database for MySQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym w Azure. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Private punkt końcowy powinien być włączony dla serwerów PostgreSQL | Połączenia prywatnych punktów końcowych wymuszają bezpieczną komunikację, umożliwiając łączność prywatną z Azure Database for PostgreSQL. Skonfiguruj połączenie prywatnego punktu końcowego, aby umożliwić dostęp do ruchu pochodzącego tylko ze znanych sieci i uniemożliwić dostęp ze wszystkich innych adresów IP, w tym w Azure. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| Public dostęp sieciowy dla Azure Device Update dla kont IoT Hub należy wyłączyć | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do Azure Device Update dla kont IoT Hub tylko z prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public dostęp sieciowy w Azure Data Explorer powinien być wyłączony | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając, że dostęp do Azure Data Explorer można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja odrzuca wszystkie identyfikatory logowania zgodne z adresem IP lub virtual network regułami zapory. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public dostęp sieciowy w Azure Data Factory powinien być wyłączony | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do Azure Data Factory tylko z prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public dostęp sieciowy w Azure IoT Hub powinien być wyłączony | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do Azure IoT Hub tylko z prywatnego punktu końcowego. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public dostęp sieciowy w Azure SQL Database powinien być wyłączony | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając dostęp do Azure SQL Database tylko z prywatnego punktu końcowego. Ta konfiguracja odrzuca wszystkie identyfikatory logowania zgodne z adresem IP lub virtual network regułami zapory. | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| Public dostęp sieciowy powinien być wyłączony dla Azure File Sync | Wyłączenie publicznego punktu końcowego umożliwia ograniczenie access do zasobu usługi synchronizacji Storage do żądań kierowanych do zatwierdzonych prywatnych punktów końcowych w sieci organizacji. Nie ma z natury pewności co do zezwalania na żądania do publicznego punktu końcowego, jednak możesz wyłączyć je tak, aby spełniały wymagania zasad prawnych, prawnych lub organizacyjnych. Publiczny punkt końcowy dla usługi synchronizacji Storage można wyłączyć, ustawiając wartość incomingTrafficPolicy zasobu na Wartość AllowVirtualNetworksOnly. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public access sieci powinna być wyłączona dla kont usługi Batch | Wyłączenie sieci publicznej access na koncie usługi Batch zwiększa bezpieczeństwo, zapewniając, że dostęp do konta usługi Batch można uzyskać tylko z prywatnego punktu końcowego. Dowiedz się więcej na temat wyłączania dostępu do sieci publicznej na stronie Użyj prywatne punkty końcowe przy użyciu kont Azure Batch. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public access sieci należy wyłączyć dla rejestrów kontenerów | Wyłączenie sieci publicznej access poprawia bezpieczeństwo, zapewniając, że rejestry kontenerów nie są widoczne w publicznym Internecie. Tworzenie prywatnych punktów końcowych może ograniczyć narażenie zasobów rejestru kontenerów. Dowiedz się więcej na stronie: Konfigurowanie dostępu do rejestru publicznego w Azure i Konfigurowanie prywatnego punktu końcowego przy użyciu Private Link dla usługi ACR. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Public access sieci powinna być wyłączona dla usługi IoT Central | Aby zwiększyć bezpieczeństwo usługi IoT Central, upewnij się, że nie jest on udostępniany publicznemu Internetowi i można uzyskać do niego dostęp tylko z prywatnego punktu końcowego. Wyłącz właściwość dostępu do sieci publicznej zgodnie z opisem w Utwórz prywatny punkt końcowy dla Azure IoT Central. Ta opcja wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. Zmniejsza to ryzyko wycieku danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Dostęp do sieci publicznej powinien być wyłączony dla serwerów MariaDB | Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do Azure Database for MariaDB można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| Public access sieci należy wyłączyć dla serwerów elastycznych MySQL | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając Azure Database for MySQL dostęp do serwerów elastycznych tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. | Audyt; Zaprzeczać; Niepełnosprawny | 2.3.0 |
| Public access sieci należy wyłączyć dla serwerów MySQL | Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do Azure Database for MySQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| Public access sieci powinna być wyłączona dla serwerów elastycznych PostgreSQL | Wyłączenie właściwości dostępu do sieci publicznej zwiększa bezpieczeństwo, zapewniając Azure Database for PostgreSQL dostęp do serwerów elastycznych tylko z prywatnego punktu końcowego. Ta konfiguracja ściśle wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP. | Audyt; Zaprzeczać; Niepełnosprawny | 3.1.0 |
| Public access sieci powinna być wyłączona dla serwerów PostgreSQL | Wyłącz właściwość dostępu do sieci publicznej, aby zwiększyć bezpieczeństwo i upewnić się, że dostęp do Azure Database for PostgreSQL można uzyskać tylko z prywatnego punktu końcowego. Ta konfiguracja wyłącza dostęp z dowolnej przestrzeni adresów publicznych poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.1 |
| [wersja zapoznawcza]: magazyny usługi Recovery Services powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na magazyny usługi Recovery Services Azure zmniejsza ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych dla Azure Site Recovery na stronie: Włączenie replikacji dla maszyn lokalnych z prywatnymi punktami końcowymi i Włączenie replikacji dla prywatnych punktów końcowych w Azure Site Recovery. | Audyt; Niepełnosprawny | 1.0.0-preview |
| Service Bus Przestrzenie nazw powinny wyłączyć dostęp do sieci publicznej | Azure Service Bus powinien mieć wyłączony dostęp do sieci publicznej. Wyłączenie sieci publicznej access zwiększa bezpieczeństwo, zapewniając, że zasób nie jest uwidoczniony w publicznym Internecie. Zamiast tego można ograniczyć narażenie zasobów przez utworzenie prywatnych punktów końcowych. Dowiedz się więcej na stronie: Allow access to Azure Service Bus namespaces via private endpoints | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.0 |
| SQL Server Integration Services środowiska Integration Runtime w Azure Data Factory powinny być przyłączone do sieci wirtualnej | Azure Virtual Network wdrożenie zapewnia zwiększone zabezpieczenia i izolację dla SQL Server Integration Services środowiska Integration Runtime w Azure Data Factory, a także podsieci, zasad kontroli dostępu i innych funkcji w celu dalszego ograniczenia dostępu. | Audyt; Zaprzeczać; Niepełnosprawny | 2.3.0 |
| Program SQL Server powinien używać punktu końcowego usługi sieci wirtualnej | Te zasady przeprowadzają inspekcję wszystkich SQL Server, które nie zostały skonfigurowane do korzystania z punktu końcowego usługi sieci wirtualnej. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Storage konto publiczne access powinno być niedozwolone | Anonimowy publiczny dostęp do odczytu do kontenerów i obiektów blob w Azure Storage jest wygodnym sposobem udostępniania danych, ale może stanowić zagrożenie bezpieczeństwa. Aby zapobiec naruszeniom zabezpieczeń danych spowodowanym niepożądanym dostępem anonimowym, Microsoft zaleca zapobieganie publicznemu dostępowi do konta magazynu, chyba że scenariusz tego wymaga. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 3.1.1 |
| Konta magazynowe powinny zezwalać na dostęp z zaufanych usług firmy Microsoft | Niektóre usługi firmy Microsoft, które współdziałają z kontami magazynu, działają z sieci, których nie można udzielić dostępu za pośrednictwem reguł sieciowych. Aby ułatwić pracę tego typu usług zgodnie z oczekiwaniami, zezwól zestawowi zaufanych usługi firmy Microsoft na obejście reguł sieci. Te usługi będą następnie używać silnego uwierzytelniania w celu uzyskania dostępu do konta magazynu. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konta |
Aby zwiększyć bezpieczeństwo kont Storage, upewnij się, że nie są one widoczne dla publicznego Internetu i mogą być dostępne tylko z prywatnego punktu końcowego. Wyłącz właściwość access sieci publicznej zgodnie z opisem w Storage konto publiczne access. Ta opcja wyłącza dostęp z dowolnej przestrzeni adresowej publicznej poza zakresem adresów IP Azure i odrzuca wszystkie identyfikatory logowania zgodne z regułami zapory opartymi na adresach IP lub sieci wirtualnej. Zmniejsza to ryzyko wycieku danych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| konta |
Należy ograniczyć access sieci do kont storage. Skonfiguruj reguły sieci, aby tylko aplikacje z dozwolonych sieci mogły access konta storage. Aby zezwolić na połączenia z określonych klientów internetowych lub lokalnych, można udzielić dostępu do ruchu z określonych sieci wirtualnych Azure lub do publicznych zakresów adresów IP internetowych | Audyt; Zaprzeczać; Niepełnosprawny | 1.1.1 |
| Konta magazynu powinny ograniczać dostęp sieciowy tylko za pośrednictwem konfiguracji pomijania listy ACL sieci. | Aby zwiększyć bezpieczeństwo kont magazynu, włącz dostęp tylko za pośrednictwem obejścia listy ACL sieci. Te zasady powinny być używane w połączeniu z prywatnym punktem końcowym na potrzeby dostępu do konta magazynu. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| konta Storage powinny ograniczać access sieci przy użyciu reguł virtual network | Chroń konta storage przed potencjalnymi zagrożeniami przy użyciu reguł virtual network jako preferowanej metody zamiast filtrowania opartego na adresach IP. Wyłączenie filtrowania opartego na adresach IP uniemożliwia publicznym adresom IP uzyskiwanie dostępu do kont storage. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| konta Storage powinny ograniczać access sieci przy użyciu reguł virtual network (z wyjątkiem kont storage utworzonych przez usługę Databricks) | Chroń konta storage przed potencjalnymi zagrożeniami przy użyciu reguł virtual network jako preferowanej metody zamiast filtrowania opartego na adresach IP. Wyłączenie filtrowania opartego na adresach IP uniemożliwia publicznym adresom IP uzyskiwanie dostępu do kont storage. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Konta magazynu powinny używać punktu końcowego usługi sieci wirtualnej | Te zasady sprawdzają, czy żadne konto magazynu nie zostało skonfigurowane do używania punktu końcowego usługi sieci wirtualnej. | Audyt; Niepełnosprawny | 1.0.0 |
| konta Storage powinny używać private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na konto storage zmniejsza ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem - Jak Azure Private Link? | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| konta Storage powinny używać private link (z wyłączeniem kont storage utworzonych przez usługę Databricks) | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na konto storage zmniejsza ryzyko wycieku danych. Dowiedz się więcej o linkach prywatnych pod adresem - Jak Azure Private Link? | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Zarządzane prywatne punkty końcowe usługi Synapse powinny łączyć się tylko z zasobami w zatwierdzonych dzierżawach Azure Active Directory | Chroń obszar roboczy usługi Synapse, zezwalając tylko na połączenia z zasobami w zatwierdzonych dzierżawach Azure Active Directory (Azure AD). Zatwierdzone Azure dzierżawy usługi AD można zdefiniować podczas przypisywania zasad. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.0 |
| szablony VM Image Builder powinny używać szablonów private link | Azure Private Link umożliwia połączenie sieci wirtualnej z usługami Azure bez publicznego adresu IP w źródle lub miejscu docelowym. Platforma Private Link obsługuje łączność między konsumentami i usługami za pośrednictwem sieci szkieletowej Azure. Mapowanie prywatnych punktów końcowych na zasoby tworzenia zasobów w narzędziu Image Builder maszyny wirtualnej powoduje zmniejszenie ryzyka wycieku danych. Dowiedz się więcej na temat linków prywatnych na stronie: Azure opcje sieciowe konstruktora obrazów maszyny wirtualnej — wdrażanie przy użyciu istniejącej sieci wirtualnej. | Audyt; Niepełnosprawny; Zaprzeczać | 1.1.0 |
NS-3: Wdrażanie zapory na brzegu sieci przedsiębiorstwa
Aby uzyskać więcej informacji, zobacz Zabezpieczenia sieciowe: NS-3: Wdrażanie zapory na brzegu sieci przedsiębiorstwa.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| przekazywanie IP na maszynie wirtualnej powinno być wyłączone | Włączenie przekazywania adresów IP na karcie sieciowej maszyny wirtualnej umożliwia maszynie odbieranie ruchu adresowanego do innych miejsc docelowych. Przekazywanie adresów IP jest rzadko wymagane (np. w przypadku korzystania z maszyny wirtualnej jako wirtualnego urządzenia sieciowego), dlatego powinno to zostać przejrzane przez zespół ds. zabezpieczeń sieci. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Możliwy dostęp just in time (JIT) sieci będzie monitorowany przez Azure Security Center zgodnie z zaleceniami | AuditIfNotExists; Niepełnosprawny | 3.0.0 | |
| Porty zarządzania powinny być zamknięte na virtual machines | Otwarte porty zarządzania zdalnego uwidaczniają maszynę wirtualną na wysokim poziomie ryzyka związanego z atakami internetowymi. Te ataki próbują wymusić na maszynie poświadczenia, aby uzyskać access administratora. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| [wersja zapoznawcza]: cały ruch internetowy powinien być kierowany za pośrednictwem wdrożonego Azure Firewall | Azure Security Center wykryła, że niektóre podsieci nie są chronione za pomocą zapory nowej generacji. Ochrona podsieci przed potencjalnymi zagrożeniami przez ograniczenie dostępu do nich za pomocą Azure Firewall lub obsługiwanej zapory nowej generacji | AuditIfNotExists; Niepełnosprawny | 3.0.0-preview |
NS-5: Wdrażanie ochrony przed atakami DDOS
Aby uzyskać więcej informacji, zobacz Zabezpieczenia sieciowe: NS-5: Wdrażanie ochrony przed atakami DDOS.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure należy włączyć ochronę przed atakami DDoS | Ochrona przed atakami DDoS powinna być włączona dla wszystkich sieci wirtualnych z podsiecią, która jest częścią application gateway z publicznym adresem IP. | AuditIfNotExists; Niepełnosprawny | 3.0.1 |
| Włącz regułę limitu szybkości, aby chronić przed atakami DDoS na Azure Front Door WAF | Reguła limitu szybkości Azure Web Application Firewall (WAF) dla Azure Front Door kontroluje liczbę żądań dozwolonych z określonego adresu IP klienta do aplikacji w czasie trwania limitu szybkości. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Sieci wirtualne powinny być chronione przez usługę Azure DDoS Protection | Ochrona sieci wirtualnych przed atakami woluminowymi i protokołami za pomocą usługi Azure DDoS Protection. Aby uzyskać więcej informacji, odwiedź Azure Omówienie ochrony przed atakami DDoS. | Modyfikować; Audyt; Niepełnosprawny | 1.0.1 |
NS-6: Wdrażanie web application firewall
Aby uzyskać więcej informacji, zobacz
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Usługa Azure Front Door Standard lub Premium (Plus WAF) powinna mieć włączone dzienniki zasobów | Włącz dzienniki zasobów dla usługi Azure Front Door Standard lub Premium (plus WAF) i strumieniuj do obszaru roboczego usługi Log Analytics. Uzyskaj szczegółowy wgląd w przychodzący ruch internetowy i akcje podjęte w celu wyeliminowania ataków. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Firewall aplikacji internetowej Azure na bramie aplikacji Azure powinien mieć włączoną inspekcję treści żądania | Upewnij się, że zapory aplikacji internetowej skojarzone z bramami aplikacja systemu Azure mają włączoną inspekcję treści żądania. Dzięki temu zapora aplikacji internetowej może sprawdzać właściwości w treści protokołu HTTP, które mogą nie być oceniane w nagłówkach HTTP, plikach cookie lub identyfikatorze URI. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Usługa Azure Web Application Firewall w usłudze Azure Front Door powinna mieć włączoną inspekcję treści żądania | Upewnij się, że zapory aplikacji internetowej skojarzone z usługą Azure Front Door mają włączoną inspekcję treści. Dzięki temu zapora aplikacji internetowej może sprawdzać właściwości w treści protokołu HTTP, które mogą nie być oceniane w nagłówkach HTTP, plikach cookie lub identyfikatorze URI. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Web Application Firewall należy włączyć dla Azure Front Door punktów wejścia | Wdróż Azure Web Application Firewall (WAF) przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Web Application Firewall (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Można również ograniczyć access do aplikacji internetowych według krajów/regionów, zakresów adresów IP i innych parametrów http za pośrednictwem reguł niestandardowych. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.2 |
| Włącz regułę limitu szybkości, aby chronić przed atakami DDoS na Azure Front Door WAF | Reguła limitu szybkości Azure Web Application Firewall (WAF) dla Azure Front Door kontroluje liczbę żądań dozwolonych z określonego adresu IP klienta do aplikacji w czasie trwania limitu szybkości. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Migrowanie WAF z konfiguracji do zasad WAF na Application Gateway | Jeśli masz konfigurację zapory aplikacji internetowej zamiast zasad zapory aplikacji internetowej, możesz przejść do nowych zasad zapory aplikacji internetowej. W przyszłości zasady zapory będą obsługiwać ustawienia zasad zapory aplikacji internetowej, zarządzane zestawy reguł, wykluczenia i wyłączone grupy reguł. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Web Application Firewall (WAF) należy włączyć dla usługi Application Gateway | Wdróż Azure Web Application Firewall (WAF) przed publicznymi aplikacjami internetowymi w celu dodatkowej inspekcji ruchu przychodzącego. Web Application Firewall (WAF) zapewnia scentralizowaną ochronę aplikacji internetowych przed typowymi programami wykorzystującymi luki w zabezpieczeniach i lukami w zabezpieczeniach, takimi jak iniekcje SQL, wykonywanie skryptów między witrynami, lokalne i zdalne wykonywanie plików. Można również ograniczyć access do aplikacji internetowych według krajów/regionów, zakresów adresów IP i innych parametrów http za pośrednictwem reguł niestandardowych. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.0 |
| Zapora aplikacji internetowej (WAF) powinna używać określonego trybu dla usługi Application Gateway | Nakazuje korzystanie z trybu wykrywania lub zapobiegania, aby był aktywny we wszystkich zasadach Web Application Firewall dla usługi Application Gateway. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Zapora aplikacji internetowej (WAF) powinna używać określonego trybu dla usługi Azure Front Door Service | Nakazuje korzystanie z trybu "Wykrywanie" lub "Zapobieganie", aby być aktywne na wszystkich Web Application Firewall zasad dla Azure Front Door Service. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
NS-8: Wykrywanie i wyłączanie niezabezpieczonych usług i protokołów
Aby uzyskać więcej informacji, zobacz Zabezpieczenia sieciowe: NS-8: Wykrywanie i wyłączanie niezabezpieczonych usług i protokołów.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| App Service aplikacje powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Uaktualnij do najnowszej wersji protokołu TLS dla aplikacji App Service, aby skorzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 2.2.0 |
| Bramy sieci VPN platformy Azure nie powinny używać SKU o nazwie "podstawowa" | Te zasady zapewniają, że bramy sieci VPN nie używają jednostki SKU "podstawowa". | Audyt; Niepełnosprawny | 1.0.0 |
| aplikacje Function powinny używać najnowszej wersji protokołu TLS | Okresowo nowsze wersje są wydawane dla protokołu TLS z powodu wad zabezpieczeń, obejmują dodatkowe funkcje i zwiększają szybkość. Zaktualizuj do najnowszej wersji protokołu TLS dla aplikacji Function, aby skorzystać z poprawek zabezpieczeń, jeśli takie istnieją, oraz/lub nowych funkcjonalności najnowszej wersji. | AuditIfNotExists; Niepełnosprawny | 2.3.0 |
PA-1: Oddzielanie i ograniczanie wysoce uprzywilejowanych/administracyjnych użytkowników
Aby uzyskać więcej informacji, zobacz Privileged Access: PA-1: Oddzielanie i ograniczanie wysoce uprzywilejowanych/administracyjnych użytkowników.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| A maksymalnie 3 właściciele powinni być wyznaczeni dla twojej subskrypcji | Zaleca się wyznaczenie maksymalnie 3 właścicieli subskrypcji w celu zmniejszenia potencjalnego naruszenia przez naruszonego właściciela. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Blokowane konta z uprawnieniami właściciela do zasobów Azure należy usunąć | Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Konta z uprawnieniami właściciela do zasobów Azure należy usunąć | Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu access. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| [Wersja zapoznawcza]: Dla magazynów usługi Recovery Services musi być włączona autoryzacja wielu użytkowników (MUA). | Te zasady sprawdzają, czy dla magazynów usługi Recovery Services włączono autoryzację wielu użytkowników (MUA). Usługa MUA pomaga w zabezpieczaniu magazynów usługi Recovery Services przez dodanie dodatkowej warstwy ochrony do krytycznych operacji. Aby dowiedzieć się więcej, odwiedź stronę https://aka.ms/MUAforRSV. | Audyt; Niepełnosprawny | 1.0.0-preview |
| There powinien być więcej niż jeden właściciel przypisany do subskrypcji | Zaleca się wyznaczenie więcej niż jednego właściciela subskrypcji, aby administrator access nadmiarowości. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
PA-2: Unikaj stałego access dla kont użytkowników i uprawnień
Aby uzyskać więcej informacji, zobacz Privileged Access: PA-2: Unikaj stałego access dla kont użytkowników i uprawnień.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Możliwy dostęp just in time (JIT) sieci będzie monitorowany przez Azure Security Center zgodnie z zaleceniami | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
PA-4: Regularne przeglądanie i uzgadnianie access użytkownika
Aby uzyskać więcej informacji, zobacz Privileged Access: PA-4: Przeglądanie i uzgadnianie access użytkownika regularnie.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Blokowane konta z uprawnieniami właściciela do zasobów Azure należy usunąć | Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Blokowane konta z uprawnieniami do odczytu i zapisu w zasobach Azure należy usunąć | Przestarzałe konta powinny zostać usunięte z subskrypcji. Przestarzałe konta to konta, które zostały zablokowane podczas logowania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Konta z uprawnieniami właściciela do zasobów Azure należy usunąć | Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu access. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Konta z uprawnieniami do odczytu Azure zasobów powinny zostać usunięte | Konta zewnętrzne z uprawnieniami do odczytu powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu access. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Konta z uprawnieniami do zapisu w zasobach Azure należy usunąć | Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji, aby zapobiec niemonitorowanemu access. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
PA-7: Przestrzegaj zasady minimalnej administracji (najmniejszych uprawnień)
Aby uzyskać więcej informacji, zobacz Privileged Access: PA-7: Przestrzegaj zasady wystarczającej liczby uprawnień administracyjnych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Wszystkie reguły autoryzacji z wyjątkiem RootManageSharedAccessKey powinny zostać usunięte z przestrzeni nazw centrum zdarzeń | Klienci usługi Event Hub nie powinni używać zasad dostępu na poziomie przestrzeni nazw, które zapewniają dostęp do wszystkich kolejek i tematów w przestrzeni nazw. Aby dopasować go do modelu zabezpieczeń najniższych uprawnień, należy utworzyć zasady dostępu na poziomie jednostki dla kolejek i tematów, aby zapewnić dostęp tylko do określonej jednostki | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Wszystkie reguły autoryzacji z wyjątkiem RootManageSharedAccessKey powinny zostać usunięte z przestrzeni nazw Service Bus | Service Bus klienci nie powinni używać zasad dostępu na poziomie przestrzeni nazw, które zapewniają dostęp do wszystkich kolejek i tematów w przestrzeni nazw. Aby dopasować go do modelu zabezpieczeń najniższych uprawnień, należy utworzyć zasady dostępu na poziomie jednostki dla kolejek i tematów, aby zapewnić dostęp tylko do określonej jednostki | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| API Management subskrypcje nie powinny być ograniczone do wszystkich interfejsów API | API Management subskrypcje powinny być ograniczone do produktu lub pojedynczego interfejsu API zamiast wszystkich interfejsów API, co może spowodować nadmierne ujawnienie danych. | Audyt; Niepełnosprawny; Zaprzeczać | 1.1.0 |
| Audit użycie niestandardowych ról RBAC | Przeprowadź inspekcję wbudowanych ról, takich jak "Właściciel, Współautor, Czytelnik" zamiast niestandardowych ról RBAC, które są podatne na błędy. Używanie ról niestandardowych jest traktowane jako wyjątek i wymaga rygorystycznego przeglądu i modelowania zagrożeń | Audyt; Niepełnosprawny | 1.0.1 |
| Reguły autoryzacji w wystąpieniu centrum zdarzeń powinny być zdefiniowane | Inspekcja istnienia reguł autoryzacji w jednostkach centrum zdarzeń w celu udzielenia dostępu z najniższymi uprawnieniami | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Azure Key Vault powinien używać modelu uprawnień RBAC | Włącz model uprawnień RBAC w usłudze Key Vault. Dowiedz się więcej na stronie: Migrate from vault access policy to an Azure role-based access control model | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Azure Kubernetes Service Klastry powinny wyłączyć wywołanie polecenia | Wyłączenie wywołania polecenia może zwiększyć bezpieczeństwo, unikając obejścia ograniczonego dostępu do sieci lub kontroli dostępu opartej na rolach platformy Kubernetes | Audyt; Niepełnosprawny | 1.0.1 |
| Klastry Kubernetes powinny mieć pewność, że rola administratora klastra jest używana tylko wtedy, gdy jest to wymagane | Rola "cluster-admin" zapewnia szerokie uprawnienia w środowisku i powinna być używana tylko tam, gdzie i w razie potrzeby. | Audyt; Niepełnosprawny | 1.1.0 |
| Klastry Kubernetes powinny zminimalizować użycie symboli wieloznacznych w roli roli i klastra | Użycie symboli wieloznacznych "*" może stanowić zagrożenie bezpieczeństwa, ponieważ przyznaje szerokie uprawnienia, które mogą nie być konieczne dla określonej roli. Jeśli rola ma zbyt wiele uprawnień, może być potencjalnie nadużywana przez osobę atakującą lub naruszonego użytkownika w celu uzyskania nieautoryzowanego dostępu do zasobów w klastrze. | Audyt; Niepełnosprawny | 1.1.0 |
| Role-Based Access Control (RBAC) należy używać w usługach Kubernetes Services | Aby zapewnić szczegółowe filtrowanie akcji, które użytkownicy mogą wykonywać, użyj Role-Based Access Control (RBAC), aby zarządzać uprawnieniami w klastrach usługi Kubernetes Service i konfigurować odpowiednie zasady autoryzacji. | Audyt; Niepełnosprawny | 1.1.0 |
PV-2: Przeprowadzanie inspekcji i wymuszanie bezpiecznych konfiguracji
Aby uzyskać więcej informacji, zobacz Stan i Zarządzanie lukami w zabezpieczeniach: PV-2: Inspekcja i wymuszanie bezpiecznych konfiguracji.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| [Wersja zapoznawcza]: [Integralność obrazu] Klastry Kubernetes powinny używać tylko obrazów podpisanych za pomocą notacji | Użyj obrazów podpisanych za pomocą notacji, aby upewnić się, że obrazy pochodzą z zaufanych źródeł i nie zostaną złośliwie zmodyfikowane. Aby uzyskać więcej informacji, odwiedź stronę https://aka.ms/aks/image-integrity | Audyt; Niepełnosprawny | 1.1.0-preview |
| API Management nie należy włączać bezpośredniego punktu końcowego zarządzania | Bezpośredni interfejs API REST zarządzania w Azure API Management pomija Azure Resource Manager mechanizmów kontroli dostępu, autoryzacji i ograniczania dostępu opartego na rolach, co zwiększa lukę w zabezpieczeniach usługi. | Audyt; Niepełnosprawny; Zaprzeczać | 1.0.2 |
| Miejsca aplikacji usługi App Service powinny mieć wyłączone zdalne debugowanie | Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacji App Service. Zdalne debugowanie powinno być wyłączone. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Miejsca aplikacji usługi App Service nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi dostęp do aplikacji | Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na access aplikacji. Zezwalaj tylko wymaganym domenom na interakcję z twoją aplikacją. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Miejsca aplikacji usługi App Service powinny używać najnowszej wersji protokołu HTTP | Okresowo nowsze wersje są wydawane dla protokołu HTTP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystając z najnowszej wersji protokołu HTTP dla aplikacji internetowych, można korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji nowszej wersji. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Miejsca aplikacji usługi App Service korzystające z języka PHP powinny używać określonej wersji języka PHP | Okresowo nowsze wersje są wydawane dla oprogramowania PHP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka PHP dla aplikacji usługi App Service jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji PHP spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Miejsca aplikacji usługi App Service korzystające z języka Python powinny używać określonej wersji języka Python | Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Python dla aplikacji usługi App Service jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Python spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| App Service aplikacje powinny mieć włączone certyfikaty klienta (przychodzące certyfikaty klienta | Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. Te zasady dotyczą aplikacji z ustawioną wersją http na 1.1. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| App Service aplikacje powinny mieć wyłączone zdalne debugowanie | Debugowanie zdalne wymaga otwarcia portów przychodzących w aplikacji App Service. Zdalne debugowanie powinno być wyłączone. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| App Service aplikacje nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi access aplikacje | Udostępnianie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na access aplikacji. Zezwalaj tylko wymaganym domenom na interakcję z twoją aplikacją. | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| Aplikacje usługi App Service powinny używać najnowszej wersji protokołu HTTP | Okresowo nowsze wersje są wydawane dla protokołu HTTP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystając z najnowszej wersji protokołu HTTP dla aplikacji internetowych, można korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji nowszej wersji. | AuditIfNotExists; Niepełnosprawny | 4.0.0 |
| Aplikacje usługi App Service korzystające z języka Java powinny używać określonej wersji języka Java | Okresowo nowsze wersje są wydawane dla oprogramowania Java ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Java dla aplikacji usługi App Service jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Java spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Aplikacje usługi App Service korzystające z języka PHP powinny używać określonej wersji języka PHP | Okresowo nowsze wersje są wydawane dla oprogramowania PHP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka PHP dla aplikacji usługi App Service jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji PHP spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 3.2.0 |
| Aplikacje usługi App Service korzystające z języka Python powinny używać określonej wersji języka Python | Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Python dla aplikacji usługi App Service jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Python spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 4.1.0 |
| [Wersja zapoznawcza]: Przypisanie profilu konfiguracji automatycznego zarządzania powinno być zgodne | Zasoby zarządzane przez funkcję Automanage powinny mieć stan Zgodne lub ZgodneKorekty. | AuditIfNotExists; Niepełnosprawny | 1.0.0-preview |
| Azure API Management wersja platformy powinna mieć wartość stv2 | Azure API Management wersja platformy obliczeniowej stv1 zostanie wycofana z dnia 31 sierpnia 2024 r., a te wystąpienia powinny zostać zmigrowane na platformę obliczeniową stv2 w celu zapewnienia dalszej obsługi. Dowiedz się więcej na temat wycofania platformy API Management stv1 — Global Azure Cloud (sierpień 2024) | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Arc włączone klastry Kubernetes powinny mieć zainstalowane rozszerzenie Azure Policy | Rozszerzenie Azure Policy dla Azure Arc zapewnia wymuszanie na dużą skalę i zabezpieczenia klastrów Kubernetes z obsługą usługi Arc w sposób scentralizowany i spójny. Dowiedz się więcej na stronie Understand Azure Policy dla klastrów Kubernetes. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Azure Data Factory należy użyć repozytorium Git do kontroli źródła | Skonfiguruj tylko swoją deweloperską fabrykę danych z integracją Git. Zmiany w środowisku testowym i produkcyjnym powinny być wdrażane za pośrednictwem ciągłej integracji/ciągłego wdrażania i nie powinny mieć integracji z usługą Git. NIE stosuj tych zasad w fabrykach danych QA/Test/Production. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.1 |
| Wystąpienie obliczeniowe usługi Azure Machine Learning powinno mieć zamknięcie bezczynności. | Posiadanie harmonogramu zamknięcia bezczynności zmniejsza koszt, zamykając obliczenia bezczynne po wstępnie określonym okresie działania. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Machine Learning wystąpienia obliczeniowe powinny być ponownie tworzone, aby uzyskać najnowsze aktualizacje oprogramowania | Upewnij się, że Azure Machine Learning wystąpienia obliczeniowe działają w najnowszym dostępnym systemie operacyjnym. Zabezpieczenia są ulepszane, a podatności zmniejszane dzięki zastosowaniu najnowszych poprawek zabezpieczeń. Aby uzyskać więcej informacji, odwiedź stronę https://aka.ms/azureml-ci-updates/. | Audyt; Niepełnosprawny | 1.0.3 |
| Obszary robocze usługi Azure Machine Learning powinny włączyć tryb V1LegacyMode, aby obsługiwać zgodność z poprzednimi wersjami izolacji sieci | Usługa Azure ML wykonuje przejście na nową platformę interfejsu API w wersji 2 w usłudze Azure Resource Manager i można kontrolować wersję platformy interfejsu API przy użyciu parametru V1LegacyMode. Włączenie parametru V1LegacyMode umożliwi zachowanie obszarów roboczych w tej samej izolacji sieciowej co wersja 1, chociaż nie będziesz korzystać z nowych funkcji w wersji 2. Zalecamy włączenie trybu starszego w wersji 1 tylko wtedy, gdy chcesz przechowywać dane płaszczyzny sterowania AzureML wewnątrz sieci prywatnych. Dowiedz się więcej na stronie: https://aka.ms/V1LegacyMode. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Azure Policy dodatek dla usługi Kubernetes Service (AKS) powinien zostać zainstalowany i włączony w klastrach | Azure Policy dodatek dla usługi Kubernetes Service (AKS) rozszerza usługę Gatekeeper w wersji 3, element webhook kontrolera dostępu dla agenta open policy agent (OPA), aby zastosować wymuszanie na dużą skalę i zabezpieczenia w klastrach w sposób scentralizowany, spójny. | Audyt; Niepełnosprawny | 1.0.2 |
| [Wersja zapoznawcza]: Diagnostyka rozruchu powinna być włączona na maszynach wirtualnych | Azure maszyny wirtualne powinny mieć włączoną diagniostics rozruchu. | Audyt; Niepełnosprawny | 1.0.0-preview |
| Nie można edytować poszczególnych węzłów | Nie można edytować poszczególnych węzłów. Użytkownicy nie powinni edytować poszczególnych węzłów. Edytuj pule węzłów. Modyfikowanie poszczególnych węzłów może prowadzić do niespójnych ustawień, wyzwań operacyjnych i potencjalnych zagrożeń bezpieczeństwa. | Audyt; Zaprzeczać; Niepełnosprawny | 1.3.1 |
| Należy włączyć ograniczanie połączeń dla serwerów baz danych PostgreSQL | Te zasady ułatwiają inspekcję wszystkich baz danych PostgreSQL w środowisku bez włączonego ograniczania połączeń. To ustawienie umożliwia tymczasowe ograniczanie przepustowości połączenia na adres IP dla zbyt wielu nieprawidłowych niepowodzeń logowania haseł. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Rejestry kontenerów powinny mieć wyłączone eksporty | Wyłączenie eksportów zwiększa bezpieczeństwo, zapewniając, że dane w rejestrze są dostępne wyłącznie za pośrednictwem płaszczyzny danych ('docker pull'). Nie można przenosić danych z rejestru za pomocą 'acr import' lub 'acr transfer'. Aby wyłączyć eksporty, należy wyłączyć dostęp do sieci publicznej. Dowiedz się więcej na stronie: https://aka.ms/acr/export-policy. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Upewnij się, że kontenery klastra mają skonfigurowane sondy gotowości lub aktualności | Te zasady wymuszają, że wszystkie zasobniki mają skonfigurowane sondy gotowości i/lub aktualności. Typy sond mogą być dowolnymi typami tcpSocket, httpGet i exec. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać instrukcje dotyczące korzystania z tych zasad, odwiedź stronę https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 3.3.0 |
| Miejsca aplikacji funkcji powinny być wyłączone zdalnego debugowania | Zdalne debugowanie wymaga otwarcia portów przychodzących na aplikacjach typu Function. Zdalne debugowanie powinno być wyłączone. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Miejsca aplikacji funkcji nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi dostęp do aplikacji | Współużytkowanie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na access aplikacji funkcji. Zezwalaj tylko wymaganym domenom na interakcję z Twoją aplikacją funkcjonalną. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Sloty aplikacji funkcji powinny używać najnowszej wersji HTTP | Okresowo nowsze wersje są wydawane dla protokołu HTTP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystając z najnowszej wersji protokołu HTTP dla aplikacji internetowych, można korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji nowszej wersji. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| Sloty aplikacji funkcji używające Javy powinny korzystać z określonej wersji Javy | Okresowo nowsze wersje są wydawane dla oprogramowania Java ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Java dla aplikacji funkcji jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Java spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| aplikacje Function powinny mieć włączone certyfikaty klienta (przychodzące certyfikaty klienta | Certyfikaty klienta umożliwiają aplikacji żądanie certyfikatu dla żądań przychodzących. Tylko klienci z prawidłowym certyfikatem będą mogli uzyskać dostęp do aplikacji. Te zasady dotyczą aplikacji z ustawioną wersją http na 1.1. | AuditIfNotExists; Niepełnosprawny | 1.1.0 |
| aplikacje Function powinny mieć wyłączone zdalne debugowanie | Zdalne debugowanie wymaga otwarcia portów przychodzących na aplikacjach typu Function. Zdalne debugowanie powinno być wyłączone. | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Aplikacje funkcji nie powinny mieć skonfigurowanego mechanizmu CORS, aby umożliwić każdemu zasobowi access aplikacjom | Współużytkowanie zasobów między źródłami (CORS) nie powinno zezwalać wszystkim domenom na access aplikacji funkcji. Zezwalaj tylko wymaganym domenom na interakcję z Twoją aplikacją funkcjonalną. | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Aplikacje funkcji powinny używać najnowszej wersji protokołu HTTP | Okresowo nowsze wersje są wydawane dla protokołu HTTP ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystając z najnowszej wersji protokołu HTTP dla aplikacji internetowych, można korzystać z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji nowszej wersji. | AuditIfNotExists; Niepełnosprawny | 4.1.0 |
| Aplikacje funkcji korzystające z języka Java powinny używać określonej wersji języka Java | Okresowo nowsze wersje są wydawane dla oprogramowania Java ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Java dla aplikacji funkcji jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Java spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Aplikacje funkcji korzystające z języka Python powinny używać określonej wersji języka Python | Okresowo nowsze wersje są wydawane dla oprogramowania w języku Python ze względu na wady zabezpieczeń lub dodatkowe funkcje. Korzystanie z najnowszej wersji języka Python dla aplikacji funkcji jest zalecane w celu skorzystania z poprawek zabezpieczeń, jeśli istnieją i/lub nowych funkcji najnowszej wersji. Te zasady dotyczą tylko aplikacji systemu Linux. Te zasady wymagają określenia wersji języka Python spełniającej wymagania. | AuditIfNotExists; Niepełnosprawny | 4.1.0 |
| Obrazy kontenerów klastra Kubernetes nie powinny zawierać najnowszego tagu obrazu | Wymaga, aby obrazy kontenerów nie używały najnowszego tagu w rozwiązaniu Kubernetes. Najlepszym rozwiązaniem jest zapewnienie powtarzalności, zapobieganie niezamierzonym aktualizacjom oraz ułatwia debugowanie i wycofywanie przy użyciu jawnych i wersjonowanych obrazów kontenerów. | Audyt; Zaprzeczać; Niepełnosprawny | 2.0.1 |
| Kubernetes kontenery klastra cpu i limity zasobów pamięci nie powinny przekraczać określonych limitów | Wymuszanie limitów zasobów procesora CPU i pamięci kontenera w celu zapobiegania atakom wyczerpania zasobów w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 9.3.0 |
| Należy zdefiniować żądania zasobów procesora CPU i pamięci kontenerów klastra Kubernetes | Wymuszanie żądań zasobów procesora CPU kontenera i pamięci w celu zapewnienia, że zaplanowany węzeł ma wymagane zasoby. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| kontenery klastra Kubernetes nie powinny współużytkować przestrzeni nazw hostów | Blokuj udostępnianie przestrzeni nazw identyfikatora procesu hosta, przestrzeni nazw IPC hosta i przestrzeni nazw sieci hosta w klastrze Kubernetes. To zalecenie jest zgodne ze standardami zabezpieczeń zasobnika Kubernetes dla przestrzeni nazw hostów i jest częścią ciS 5.2.1, 5.2.2 i 5.2.3, które mają na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | Audyt; Zaprzeczać; Niepełnosprawny | 6.0.0 |
| kontenery klastra Kubernetes powinny używać tylko dozwolonych profilów AppArmor | Kontenery powinny używać tylko dozwolonych profilów AppArmor w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 6.2.1 |
| kontenery klastra Kubernetes powinny używać tylko dozwolonych funkcji | Ogranicz możliwości zmniejszenia surface ataków kontenerów w klastrze Kubernetes. To zalecenie jest częścią ciS 5.2.8 i CIS 5.2.9, które mają na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 6.2.0 |
| kontenery klastra Kubernetes powinny używać tylko dozwolonych obrazów | Użyj obrazów z zaufanych rejestrów, aby zmniejszyć ryzyko narażenia klastra Kubernetes na nieznane luki w zabezpieczeniach, problemy z zabezpieczeniami i złośliwe obrazy. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 9.3.0 |
| Kontenery klastra Kubernetes powinny używać tylko dozwolonego typu ProcMountType | Kontenery zasobników mogą używać tylko dozwolonych typów ProcMountTypes w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 8.2.0 |
| Kontenery klastra Kubernetes powinny używać tylko dozwolonych zasad ściągania | Ograniczanie zasad ściągania kontenerów w celu wymuszania kontenerów używania tylko dozwolonych obrazów we wdrożeniach | Audyt; Zaprzeczać; Niepełnosprawny | 3.2.0 |
| Kontenery klastra Kubernetes powinny używać tylko dozwolonych profilów seccomp | Kontenery zasobników mogą używać tylko dozwolonych profilów seccomp w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 7.2.0 |
| kontenery klastra Kubernetes powinny być uruchamiane z głównym systemem plików tylko do odczytu | Uruchamiaj kontenery z głównym systemem plików tylko do odczytu, aby chronić przed zmianami w czasie wykonywania, a złośliwe pliki binarne są dodawane do ścieżki w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 6.3.0 |
| [Wersja zapoznawcza]: Kontenery klastra Kubernetes powinny używać tylko dozwolonych interfejsów sysctl | Kontenery powinny używać tylko dozwolonych interfejsów sysctl w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0-preview |
| Kubernetes woluminy hostPath klastra powinny używać tylko dozwolonych ścieżek hostów | Ogranicz instalację woluminu HostPath zasobnika do dozwolonych ścieżek hostów w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i Azure Arc z włączoną usługą Kubernetes. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 6.3.0 |
| Zasobniki klastra Kubernetes i kontenery powinny być zgodne ze standardami zabezpieczeń SELinux | Te zasady wymuszają standardy zabezpieczeń zasobnika Kubernetes dla opcji SELinux. W trybie PSS pola "user" i "role" muszą być puste, a pole "type" musi być jedną z dozwolonych wartości. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 8.0.0 |
| Zasobniki klastra i kontenery klastra >Kubernetes powinny być uruchamiane tylko przy użyciu zatwierdzonych identyfikatorów użytkowników i grup | Kontroluj identyfikatory użytkowników, grup podstawowych, grup uzupełniających i grup plików, których zasobniki i kontenery mogą używać do uruchamiania w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 6.2.0 |
| Zasobniki klastra Kubernetes powinny używać tylko dozwolonych typów woluminów | Zasobniki mogą używać tylko dozwolonych typów woluminów w klastrze Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 5.2.0 |
| zasobniki klastra Kubernetes powinny używać tylko zatwierdzonej sieci hosta i listy portów | Ogranicz access zasobnika do sieci hostów i dozwolonych portów hosta w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.4, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes i jest zgodny ze standardami zabezpieczeń zasobników (PSS) dla hostPorts. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | Audyt; Zaprzeczać; Niepełnosprawny | 7.0.0 |
| usługi klastra Kubernetes powinny nasłuchiwać tylko na dozwolonych portach | Ogranicz usługi do nasłuchiwania tylko na dozwolonych portach, aby zabezpieczyć access do klastra Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 8.2.0 |
| Usługi klastra Kubernetes powinny używać tylko dozwolonych zewnętrznych adresów IP | Użyj dozwolonych zewnętrznych adresów IP, aby uniknąć potencjalnego ataku (CVE-2020-8554) w klastrze Kubernetes. Aby uzyskać więcej informacji, zobacz https://aka.ms/kubepolicydoc. | Audyt; Zaprzeczać; Niepełnosprawny | 5.2.0 |
| Usługi klastra Kubernetes powinny używać unikatowych selektorów | Upewnij się, że usługi w przestrzeni nazw mają unikatowe selektory. Unikatowy selektor usług zapewnia, że każda usługa w przestrzeni nazw jest unikatowo możliwa do zidentyfikowania na podstawie określonych kryteriów. Te zasady synchronizują zasoby usługi z usługą OPA za pośrednictwem usługi Gatekeeper. Przed zastosowaniem sprawdź, czy pojemność pamięci zasobników usługi Gatekeeper nie zostanie przekroczona. Parametry mają zastosowanie do określonych przestrzeni nazw, ale synchronizuje wszystkie zasoby tego typu we wszystkich przestrzeniach nazw. Obecnie w wersji zapoznawczej usługi Kubernetes Service (AKS). | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.2 |
| klaster Kubernetes nie powinien zezwalać na uprzywilejowane kontenery | Nie zezwalaj na tworzenie uprzywilejowanych kontenerów w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.1, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 9.2.0 |
| Klaster Kubernetes nie powinien używać zasobników nagich | Blokuj użycie nagich zasobników. Zasobniki naked nie zostaną ponownie ułożone w przypadku awarii węzła. Zasobniki powinny być zarządzane przez zadania deployment, Replicset, Daemonset lub Jobs | Audyt; Zaprzeczać; Niepełnosprawny | 2.3.1 |
| Kubernetes klastra Windows kontenery nie powinny być uruchamiane jako KontenerAdministrator | Zapobiegaj użyciu konteneraAdministrator jako użytkownik do wykonywania procesów kontenera dla zasobników lub kontenerów Windows. To zalecenie ma na celu poprawę bezpieczeństwa węzłów Windows. Aby uzyskać więcej informacji, zobacz https://kubernetes.io/docs/concepts/windows/intro/ . | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.0 |
| Kubernetes klastra Windows zasobniki nie powinny uruchamiać kontenerów HostProcess | Zapobiegaj dostępowi prviledged do węzła systemu Windows. To zalecenie ma na celu poprawę bezpieczeństwa węzłów Windows. Aby uzyskać więcej informacji, zobacz https://kubernetes.io/docs/concepts/windows/intro/ . | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| KlastryKubernetes powinny wyłączyć automatyczne instalowanie poświadczeń interfejsu API | Wyłącz automatyczne instalowanie poświadczeń interfejsu API, aby zapobiec potencjalnie naruszonemu zasobowi zasobnika uruchamiania poleceń interfejsu API w klastrach Kubernetes. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 4.2.0 |
| klastry Kubernetes nie powinny zezwalać na eskalację uprawnień kontenera | Nie zezwalaj kontenerom na uruchamianie z eskalacją uprawnień do katalogu głównego w klastrze Kubernetes. To zalecenie jest częścią modelu CIS 5.2.5, który ma na celu poprawę bezpieczeństwa środowisk Kubernetes. Te zasady są ogólnie dostępne dla usługi Kubernetes Service (AKS) i w wersji zapoznawczej dla platformy Kubernetes z włączoną obsługą Azure Arc. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | Audyt; Zaprzeczać; Niepełnosprawny | 8.0.0 |
| klastry Kubernetes nie powinny udzielać CAP_SYS_ADMIN możliwości zabezpieczeń | Aby zmniejszyć surface ataków kontenerów, ogranicz CAP_SYS_ADMIN możliwości systemu Linux. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 5.1.0 |
| klastry Kubernetes nie powinny używać domyślnej przestrzeni nazw | Zapobiegaj użyciu domyślnej przestrzeni nazw w klastrach Kubernetes w celu ochrony przed nieautoryzowanymi access dla typów zasobów ConfigMap, Pod, Secret, Service i ServiceAccount. Aby uzyskać więcej informacji, zobacz Understand Azure Policy dla klastrów Kubernetes. | audyt; Audyt; zaprzeczać; Zaprzeczać; niepełnosprawny; Niepełnosprawny | 4.2.0 |
| Klastry Kubernetes powinny używać sterownika Container Storage Interface (CSI) StorageClass | Interfejs Container Storage Interface (CSI) jest standardem pozwalającym na udostępnianie dowolnych systemów pamięci blokowej i plikowej obciążeniom konteneryzowanym w Kubernetes. Klasa StorageClass inicjowania obsługi administracyjnej w drzewie powinna być przestarzała od wersji 1.21 usługi AKS. Aby dowiedzieć się więcej, https://aka.ms/aks-csi-driver | Audyt; Zaprzeczać; Niepełnosprawny | 2.3.0 |
| Musi mieć ustawione reguły koligacji przeciw koligacji lub ograniczeń rozprzestrzeniania topologii | Te zasady zapewniają, że zasobniki są zaplanowane na różnych węzłach w klastrze. Wymuszając reguły koligacji lub ograniczenia rozprzestrzeniania się topologii zasobnika, dostępność jest utrzymywana nawet wtedy, gdy jeden z węzłów stanie się niedostępny. Zasobniki będą nadal działać w innych węzłach, zwiększając odporność. | Audyt; Zaprzeczać; Niepełnosprawny | 1.2.2 |
| Należy zainstalować tylko zatwierdzone rozszerzenia maszyny wirtualnej | Te zasady określają rozszerzenia maszyny wirtualnej, które nie są zatwierdzone. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Drukuje komunikat w przypadku zastosowania mutacji | Wyszukuje zastosowane adnotacje mutacji i wyświetla komunikat, jeśli adnotacja istnieje. | Audyt; Niepełnosprawny | 1.2.1 |
| Konta magazynu powinny uniemożliwiać replikację obiektów między dzierżawami | Przeprowadź inspekcję ograniczeń replikacji obiektów dla konta magazynu. Domyślnie użytkownicy mogą konfigurować replikację obiektów przy użyciu źródłowego konta magazynu w jednej dzierżawie usługi AD Azure i koncie docelowym w innej dzierżawie. Jest to problem z zabezpieczeniami, ponieważ dane klienta można replikować do konta magazynu należącego do klienta. Ustawiając wartość false allowCrossTenantReplication, replikacja obiektów można skonfigurować tylko wtedy, gdy konta źródłowe i docelowe znajdują się w tej samej dzierżawie usługi AD Azure. | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
PV-4: Przeprowadzanie inspekcji i wymuszanie bezpiecznych konfiguracji dla zasobów obliczeniowych
Aby uzyskać więcej informacji, zobacz Stan i Zarządzanie lukami w zabezpieczeniach: PV-4: Inspekcja i wymuszanie bezpiecznych konfiguracji dla zasobów obliczeniowych.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Inspekcja maszyn z systemem Linux, które zezwalają na połączenia zdalne z kont bez haseł | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli maszyny z systemem Linux, które zezwalają na połączenia zdalne z kont bez haseł | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Przeprowadź inspekcję maszyn z systemem Linux, które nie mają uprawnień pliku passwd ustawionych na 0644 | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli maszyny z systemem Linux, które nie mają uprawnień do przekazywania plików ustawionych na 0644 | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Inspekcja maszyn z systemem Linux z kontami bez haseł | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli maszyny z systemem Linux, które mają konta bez haseł | AuditIfNotExists; Niepełnosprawny | 3.1.0 |
| Przeprowadź inspekcję maszyn z systemem Windows, które umożliwiają ponowne użycie haseł po określonej liczbie unikatowych haseł | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które zezwalają na ponowne użycie haseł po określonej liczbie unikatowych haseł. Wartość domyślna dla unikatowych haseł to 24 | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Przeprowadź inspekcję maszyn z systemem Windows, które nie mają ustawionego maksymalnego wieku hasła na określoną liczbę dni | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które nie mają maksymalnego wieku hasła ustawionego na określoną liczbę dni. Wartość domyślna maksymalnego wieku hasła to 70 dni | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Przeprowadź inspekcję maszyn z systemem Windows, które nie mają minimalnego wieku hasła ustawionego na określoną liczbę dni | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które nie mają minimalnego wieku hasła ustawionego na określoną liczbę dni. Wartość domyślna minimalnego wieku hasła to 1 dzień | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Przeprowadź inspekcję maszyn z systemem Windows, które nie mają włączonego ustawienia złożoności hasła | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które nie mają włączonego ustawienia złożoności hasła | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| Przeprowadź inspekcję maszyn z systemem Windows, które nie ograniczają minimalnej długości hasła do określonej liczby znaków | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które nie ograniczają minimalnej długości hasła do określonej liczby znaków. Wartość domyślna minimalnej długości hasła to 14 znaków | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
| Inspekcja maszyn z systemem Windows, które nie przechowują haseł przy użyciu szyfrowania odwracalnego | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. Maszyny są niezgodne, jeśli Windows maszyny, które nie przechowują haseł przy użyciu szyfrowania odwracalnego | AuditIfNotExists; Niepełnosprawny | 2.0.0 |
| [wersja zapoznawcza]: serwery Azure Stack HCI powinny mieć spójnie wymuszane zasady kontroli aplikacji | Zastosuj co najmniej zasady podstawowe Microsoft WDAC w trybie wymuszanym na wszystkich serwerach Azure Stack HCI. Zastosowane zasady kontroli aplikacji (WDAC) Windows Defender muszą być spójne między serwerami w tym samym klastrze. | Audyt; Niepełnosprawny; AuditIfNotExists | 1.0.0-preview |
| [wersja zapoznawcza]: serwery Azure Stack HCI powinny spełniać wymagania zabezpieczonego rdzenia | Upewnij się, że wszystkie serwery Azure Stack HCI spełniają wymagania zabezpieczonego rdzenia. Aby włączyć wymagania serwera zabezpieczonego rdzenia: 1. Na stronie klastrów Azure Stack HCI przejdź do Windows Admin Center i wybierz pozycję Połącz. 2. Przejdź do rozszerzenia Zabezpieczenia i wybierz pozycję Zabezpieczone-core. 3. Wybierz dowolne ustawienie, które nie jest włączone, a następnie kliknij przycisk Włącz. | Audyt; Niepełnosprawny; AuditIfNotExists | 1.0.0-preview |
| Wystąpienia ról usług Cloud Services (wsparcie dodatkowe) należy skonfigurować bezpiecznie | Chroń wystąpienia ról usługi w chmurze (wsparcie dodatkowe) przed atakami, zapewniając, że nie są one ujawniane żadnym lukom w zabezpieczeniach systemu operacyjnego. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Dyski i obraz systemu operacyjnego powinny obsługiwać usługę TrustedLaunch | TrustedLaunch zwiększa bezpieczeństwo maszyny wirtualnej, co wymaga obsługi obrazu systemu operacyjnego i dysku systemu operacyjnego (Gen 2). Aby dowiedzieć się więcej o trustedLaunch, odwiedź stronę https://aka.ms/trustedlaunch | Audyt; Niepełnosprawny | 1.0.0 |
| [wersja zapoznawcza]: rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanym systemie Linux virtual machines | Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych z systemem Linux, aby umożliwić Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena ma zastosowanie do zaufanego uruchamiania i poufnego systemu Linux virtual machines. | AuditIfNotExists; Niepełnosprawny | Wersja zapoznawcza 6.0.0 |
| [wersja zapoznawcza]: rozszerzenie zaświadczania gościa powinno być zainstalowane w obsługiwanych zestawach skalowania systemu Linux virtual machines | Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych z systemem Linux, aby umożliwić Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanego uruchamiania i poufnego systemu Linux virtual machine scale sets. | AuditIfNotExists; Niepełnosprawny | Wersja zapoznawcza 5.1.0 |
| [wersja zapoznawcza]: rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych maszynach wirtualnych Windows | Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych maszynach wirtualnych, aby umożliwić Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych maszyn wirtualnych uruchamiania i poufnego Windows. | AuditIfNotExists; Niepełnosprawny | 4.0.0-preview |
| [wersja zapoznawcza]: rozszerzenie zaświadczania gościa powinno być zainstalowane na obsługiwanych zestawach skalowania maszyn wirtualnych Windows | Zainstaluj rozszerzenie zaświadczania gościa na obsługiwanych zestawach skalowania maszyn wirtualnych, aby umożliwić Azure Security Center proaktywne potwierdzanie i monitorowanie integralności rozruchu. Po zainstalowaniu integralność rozruchu zostanie zaświadczona za pośrednictwem zaświadczania zdalnego. Ta ocena dotyczy zaufanych uruchomiń i poufnych zestawów skalowania maszyn wirtualnych Windows. | AuditIfNotExists; Niepełnosprawny | 3.1.0-preview |
| Rozszerzenie konfiguracji usługiGuest powinno być zainstalowane na maszynach | Aby zapewnić bezpieczeństwo konfiguracji ustawień gościa maszyny, zainstaluj rozszerzenie Konfiguracja gościa. Ustawienia gościa monitorowane przez rozszerzenie obejmują konfigurację systemu operacyjnego, konfigurację aplikacji lub obecność oraz ustawienia środowiska. Po zainstalowaniu zasady gościa będą dostępne, takie jak "Windows Należy włączyć funkcję Exploit Guard". Dowiedz się więcej na stronie Understand Azure Machine Configuration. | AuditIfNotExists; Niepełnosprawny | 1.0.3 |
| maszyny Linux powinny spełniać wymagania dotyczące punktu odniesienia zabezpieczeń obliczeń Azure | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę Understand Azure Machine Configuration. Maszyny są niezgodne, jeśli maszyna nie jest poprawnie skonfigurowana dla jednego z zaleceń w punkcie odniesienia zabezpieczeń obliczeniowych Azure. | AuditIfNotExists; Niepełnosprawny | 2.3.0 |
| [wersja zapoznawcza]: virtual machines systemu Linux powinny używać tylko podpisanych i zaufanych składników rozruchu | Wszystkie składniki rozruchu systemu operacyjnego (moduł ładujący rozruchu, jądro, sterowniki jądra) muszą być podpisane przez zaufanych wydawców. Defender dla Chmury zidentyfikował niezaufane składniki rozruchu systemu operacyjnego na co najmniej jednej maszynie z systemem Linux. Aby chronić maszyny przed potencjalnie złośliwymi składnikami, dodaj je do listy dozwolonych lub usuń zidentyfikowane składniki. | AuditIfNotExists; Niepełnosprawny | 1.0.0-preview |
| [wersja zapoznawcza]: Bezpieczny rozruch powinien być włączony na obsługiwanych maszynach wirtualnych Windows | Włącz bezpieczny rozruch na obsługiwanych maszynach wirtualnych Windows, aby ograniczyć ryzyko złośliwych i nieautoryzowanych zmian w łańcuchu rozruchu. Po włączeniu będzie można uruchamiać tylko zaufane moduły ładujących, jądra i sterowniki jądra. Ta ocena dotyczy zaufanych maszyn wirtualnych uruchamiania i poufnego Windows. | Audyt; Niepełnosprawny | 4.0.0-preview |
| Maszyna wirtualna powinna mieć włączoną opcję TrustedLaunch | Włącz pozycję TrustedLaunch na maszynie wirtualnej w celu zapewnienia zwiększonych zabezpieczeń, użyj jednostki SKU maszyny wirtualnej (Gen 2), która obsługuje usługę TrustedLaunch. Aby dowiedzieć się więcej o trustedLaunch, odwiedź stronę /azure/virtual-machines/trusted-launch | Audyt; Niepełnosprawny | 1.0.0 |
| rozszerzenie konfiguracji gościa Virtual machines powinno zostać wdrożone z tożsamością zarządzaną przypisaną przez system | Rozszerzenie Konfiguracja gościa wymaga przypisanej przez system tożsamości zarządzanej. Azure maszyny wirtualne w zakresie tych zasad będą niezgodne, gdy mają zainstalowane rozszerzenie Konfiguracja gościa, ale nie mają przypisanej przez system tożsamości zarządzanej. Dowiedz się więcej na stronie Understand Azure Machine Configuration | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| [wersja zapoznawcza]: należy włączyć maszynę wirtualną vTPM w obsługiwanych virtual machines | Włącz wirtualne urządzenie TPM na obsługiwanych virtual machines, aby ułatwić mierzony rozruch i inne funkcje zabezpieczeń systemu operacyjnego, które wymagają modułu TPM. Po włączeniu maszyny vTPM mogą służyć do potwierdzania integralności rozruchu. Ta ocena dotyczy tylko zaufanych virtual machines uruchamiania. | Audyt; Niepełnosprawny | 2.0.0-preview |
| Maszyny z systemem Windows powinny skonfigurować usługę Windows Defender do aktualizowania sygnatur ochrony w ciągu jednego dnia | Aby zapewnić odpowiednią ochronę przed nowo wydanym złośliwym oprogramowaniem, należy regularnie aktualizować sygnatury ochrony Windows Defender, aby uwzględnić nowo wydane złośliwe oprogramowanie. Te zasady nie są stosowane do serwerów połączonych z usługą Arc i wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać więcej informacji na temat konfiguracji gościa, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Maszyny z systemem Windows powinny włączyć ochronę w czasie rzeczywistym w usłudze Windows Defender | Windows maszyny powinny włączyć ochronę w czasie rzeczywistym w Windows Defender w celu zapewnienia odpowiedniej ochrony przed nowo wydanym złośliwym oprogramowaniem. Te zasady nie mają zastosowania do serwerów połączonych z łukiem i wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać więcej informacji na temat konfiguracji gościa, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Windows maszyny powinny spełniać wymagania dotyczące szablonów administracyjnych — Panel sterowania | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Szablony administracyjne — Panel sterowania" na potrzeby personalizacji danych wejściowych i zapobiegania włączaniu ekranów blokady. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące szablonów administracyjnych — MSS (starsza wersja)" | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Szablony administracyjne — MSS (starsza wersja)" dla automatycznego logowania, wygaszacz ekranu, zachowanie sieci, bezpieczne biblioteki DLL i dziennik zdarzeń. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące szablonów administracyjnych — | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Szablony administracyjne — sieć" dla logowania gościa, równoczesne połączenia, mostek sieciowy, ICS i rozpoznawanie nazw multiemisji. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące szablonów administracyjnych — system | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Szablony administracyjne — system" dla ustawień kontrolujących środowisko administracyjne i Pomoc zdalna. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — konta | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — konta" w celu ograniczenia użycia pustych haseł i stanu konta gościa. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — inspekcja | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — inspekcja" wymuszania podkategorii zasad inspekcji i zamykania, jeśli nie można rejestrować inspekcji zabezpieczeń. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące opcji zabezpieczeń — urządzenia | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — urządzenia" do oddokowywania bez logowania, instalowania sterowników wydruku i formatowania/wysuwania nośnika. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — logowanie interakcyjne | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — logowanie interakcyjne" do wyświetlania nazwiska użytkownika i wymaga ctrl-alt-del. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące opcji zabezpieczeń — Microsoft klienta sieci | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — klient sieci Microsoft" dla klienta/serwera sieci Microsoft i SMB v1. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — Microsoft Network Server | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — Microsoft serwer sieciowy" na potrzeby wyłączania serwera SMB v1. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — dostęp sieciowy | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — dostęp sieciowy" w celu włączenia dostępu dla użytkowników anonimowych, kont lokalnych i dostępu zdalnego do rejestru. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — zabezpieczenia sieci | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — zabezpieczenia sieci" w celu włączenia zachowania systemu lokalnego, PKU2U, PROGRAMU LAN Manager, klienta LDAP i dostawcy SSP NTLM. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — konsola odzyskiwania | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — konsola odzyskiwania" umożliwiające kopiowanie dyskietek i dostęp do wszystkich dysków i folderów. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące opcji zabezpieczeń | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — zamknięcie", aby umożliwić zamknięcie bez logowania i wyczyszczenie pliku stronicowania pamięci wirtualnej. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania "Opcje zabezpieczeń — obiekty systemowe" | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — obiekty systemowe" w przypadku niewrażliwości na podsystemy inne niż Windows i uprawnienia obiektów systemu wewnętrznego. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące opcji zabezpieczeń — ustawienia systemu | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — ustawienia systemowe" dla reguł certyfikatów na plikach wykonywalnych dla SRP i opcjonalnych podsystemów. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące opcji zabezpieczeń — kontrola konta użytkownika | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Opcje zabezpieczeń — Kontrola konta użytkownika" dla administratorów, zachowanie monitu o podniesienie uprawnień oraz wirtualizacja błędów zapisu pliku i rejestru. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące ustawień zabezpieczeń — zasady konta | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Ustawienia zabezpieczeń — zasady konta" dla historii haseł, wieku, długości, złożoności i przechowywania haseł przy użyciu szyfrowania odwracalnego. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące zasad inspekcji systemu — logowanie konta | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — logowanie konta" na potrzeby inspekcji weryfikacji poświadczeń i innych zdarzeń logowania konta. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące zasad inspekcji systemu — zarządzanie kontami | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — zarządzanie kontami" na potrzeby inspekcji aplikacji, zabezpieczeń i zarządzania grupami użytkowników oraz innych zdarzeń zarządzania. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące zasad inspekcji systemu — szczegółowe śledzenie | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — szczegółowe śledzenie" na potrzeby inspekcji DPAPI, tworzenia/kończenia procesu, zdarzeń RPC i działania PNP. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące zasad inspekcji systemu — logowanie | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — Logon-Logoff" na potrzeby inspekcji protokołu IPSec, zasad sieciowych, oświadczeń, blokady konta, członkostwa w grupie i zdarzeń logowania/wylogowania. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące zasad inspekcji systemu — dostęp do obiektów | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — dostęp do obiektów" na potrzeby inspekcji plików, rejestru, SAM, magazynu, filtrowania, jądra i innych typów systemu. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące zasad inspekcji systemu — zmiana zasad | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — zmiana zasad" na potrzeby inspekcji zmian w zasadach inspekcji systemu. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące zasad inspekcji systemu — użycie uprawnień | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — użycie uprawnień" do inspekcji niewrażliwego i innego użycia uprawnień. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania dotyczące zasad inspekcji systemu — system | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Zasady inspekcji systemu — system" na potrzeby inspekcji sterownika IPsec, integralności systemu, rozszerzenia systemu, zmiany stanu i innych zdarzeń systemowych. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące przypisywania praw użytkownika | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Przypisywanie praw użytkownika" do zezwalania na logowanie lokalne, RDP, dostęp z sieci i wiele innych działań użytkownika. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| maszyny |
Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Windows Components" na potrzeby uwierzytelniania podstawowego, niezaszyfrowanego ruchu, kont Microsoft, telemetrii, Cortany i innych zachowań Windows. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Maszyny z systemem Windows powinny spełniać wymagania dotyczące właściwości zapory systemu Windows | Windows maszyny powinny mieć określone ustawienia zasad grupy w kategorii "Windows Właściwości zapory" dla stanu zapory, połączeń, zarządzania regułami i powiadomień. Te zasady wymagają wdrożenia wymagań wstępnych konfiguracji gościa w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę https://aka.ms/gcpol. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Windows maszyny powinny spełniać wymagania punktu odniesienia zabezpieczeń obliczeń Azure | Wymaga wdrożenia wymagań wstępnych w zakresie przypisania zasad. Aby uzyskać szczegółowe informacje, odwiedź stronę Understand Azure Machine Configuration. Maszyny są niezgodne, jeśli maszyna nie jest poprawnie skonfigurowana dla jednego z zaleceń w punkcie odniesienia zabezpieczeń obliczeniowych Azure. | AuditIfNotExists; Niepełnosprawny | 2.1.0 |
PV-5: Przeprowadzanie ocen luk w zabezpieczeniach
Aby uzyskać więcej informacji, zobacz Stan i Zarządzanie lukami w zabezpieczeniach: PV-5: Przeprowadzanie ocen luk w zabezpieczeniach.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| A należy włączyć rozwiązanie do oceny luk w zabezpieczeniach w virtual machines | Przeprowadza inspekcję virtual machines w celu wykrycia, czy są one uruchamiane obsługiwane rozwiązanie do oceny luk w zabezpieczeniach. Podstawowym składnikiem każdego programu cyberbezpieczeństwa i bezpieczeństwa jest identyfikacja i analiza luk w zabezpieczeniach. warstwa cenowa Azure Security Center obejmuje skanowanie w poszukiwaniu luk w zabezpieczeniach dla maszyn wirtualnych bez dodatkowych kosztów. Ponadto usługa Security Center może automatycznie wdrożyć to narzędzie. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Machines powinny mieć rozwiązane tajne ustalenia | Przeprowadza inspekcję virtual machines w celu wykrycia, czy zawierają tajne ustalenia z tajnych rozwiązań skanujących w virtual machines. | AuditIfNotExists; Niepełnosprawny | 1.0.2 |
| ocena Vulnerability powinna być włączona w SQL Managed Instance | Przeprowadź inspekcję poszczególnych SQL Managed Instance, które nie mają włączonych cyklicznych skanów oceny luk w zabezpieczeniach. Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| ocena Vulnerability powinna być włączona na serwerach SQL | Przeprowadź inspekcję serwerów Azure SQL, które nie mają prawidłowo skonfigurowanej oceny luk w zabezpieczeniach. Ocena luk w zabezpieczeniach może wykrywać, śledzić i pomagać w korygowaniu potencjalnych luk w zabezpieczeniach bazy danych. | AuditIfNotExists; Niepełnosprawny | 3.0.0 |
| Ocena luk w zabezpieczeniach powinna być włączona w obszarach roboczych usługi Synapse | Odnajdywanie, śledzenie i korygowanie potencjalnych luk w zabezpieczeniach przez skonfigurowanie cyklicznych skanów oceny luk w zabezpieczeniach SQL w obszarach roboczych usługi Synapse. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
PV-6: Szybkie i automatyczne korygowanie luk w zabezpieczeniach
Aby uzyskać więcej informacji, zobacz Stan i Zarządzanie lukami w zabezpieczeniach: PV-6: Szybkie i automatyczne korygowanie luk w zabezpieczeniach.
| Name | Description | Effect(s) | wersja |
|---|---|---|---|
| Azure obrazy kontenerów rejestru powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender) | Ocena podatności obrazów kontenerów skanuje rejestr w poszukiwaniu powszechnie znanych podatności (CVE) i generuje szczegółowy raport o podatności dla każdego obrazu. Rozwiązywanie luk w zabezpieczeniach może znacznie poprawić pozycję bezpieczeństwa, zapewniając, że obrazy są bezpieczne do użycia przed wdrożeniem. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Azure uruchomione obrazy kontenerów powinny mieć rozwiązane luki w zabezpieczeniach (obsługiwane przez Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender) | Ocena podatności obrazów kontenerów skanuje rejestr w poszukiwaniu powszechnie znanych podatności (CVE) i generuje szczegółowy raport o podatności dla każdego obrazu. To zalecenie zapewnia widoczność narażonych obrazów aktualnie uruchomionych w klastrach Kubernetes. Korygowanie luk w zabezpieczeniach obrazów kontenerów, które są obecnie uruchomione, ma kluczowe znaczenie dla poprawy stanu zabezpieczeń, co znacznie zmniejsza surface ataków dla konteneryzowanych obciążeń. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
| Wystąpienia ról usług Cloud Services (wsparcie dodatkowe) powinny mieć zainstalowane aktualizacje systemu | Zabezpieczanie wystąpień ról usług w chmurze (rozszerzonej pomocy technicznej), zapewniając zainstalowanie na nich najnowszych aktualizacji zabezpieczeń i krytycznych. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Właściwka powinna być włączona dla maszyn wirtualnych Windows Server Azure Edition | Zminimalizuj ponowne uruchomienie i szybko zainstaluj aktualizacje przy użyciu funkcji hotpatch. Dowiedz się więcej na stronie /azure/automanage/automanage-hotpatch | Audyt; Zaprzeczać; Niepełnosprawny | 1.0.0 |
| Usługi Kubernetes Services należy uaktualnić do wersji platformy Kubernetes, która nie jest podatna na zagrożenia | Uaktualnij klaster usługi Kubernetes do nowszej wersji rozwiązania Kubernetes, aby chronić przed znanymi lukami w zabezpieczeniach w bieżącej wersji rozwiązania Kubernetes. Luka w zabezpieczeniach CVE-2019-9946 została poprawiona w wersjach 1.11.9+, 1.12.7+, 1.13.5+i 1.14.0+ | Audyt; Niepełnosprawny | 1.0.2 |
| Machines należy skonfigurować do okresowego sprawdzania brakujących aktualizacji systemu | Aby zapewnić automatyczne wyzwalanie okresowych ocen brakujących aktualizacji systemu co 24 godziny, właściwość AssessmentMode powinna być ustawiona na wartość "AutomaticByPlatform". Dowiedz się więcej na temat właściwości AssessmentMode dla Windows: Windows tryb oceny poprawek dla systemu Linux: Tryb oceny popraweklinux. | Audyt; Zaprzeczać; Niepełnosprawny | 3.9.0 |
| SQL bazy danych powinny mieć rozwiązane wyniki luk w zabezpieczeniach | Monitoruj wyniki skanowania oceny luk w zabezpieczeniach i zalecenia dotyczące sposobu korygowania luk w zabezpieczeniach bazy danych. | AuditIfNotExists; Niepełnosprawny | 4.1.0 |
| SQL na maszynach powinny zostać rozwiązane wyniki luk w zabezpieczeniach | Ocena luk w zabezpieczeniach SQL skanuje bazę danych pod kątem luk w zabezpieczeniach i ujawnia wszelkie odchylenia od najlepszych rozwiązań, takich jak błędy konfiguracji, nadmierne uprawnienia i niechronione poufne dane. Rozwiązanie znalezionych luk w zabezpieczeniach może znacznie poprawić stan zabezpieczeń bazy danych. | AuditIfNotExists; Niepełnosprawny | 1.0.0 |
| Aktualizacje systemu powinny być zainstalowane na maszynach (obsługiwane przez Centrum aktualizacji) | Na maszynach brakuje systemu, zabezpieczeń i aktualizacji krytycznych. Aktualizacje oprogramowania często obejmują krytyczne poprawki do luk w zabezpieczeniach. Takie są często wykorzystywane w atakach złośliwego oprogramowania, dlatego ważne jest, aby oprogramowanie było aktualizowane. Aby zainstalować wszystkie zaległe poprawki i zabezpieczyć maszyny, wykonaj kroki korygowania. | AuditIfNotExists; Niepełnosprawny | 1.0.1 |
Dalsze kroki
- Przejrzyj Microsoft test porównawczy zabezpieczeń w chmurze, aby uzyskać więcej informacji na temat szczegółów kontroli.
- Zobacz mapowanie kontrolek CISB w wersji 2 do MODELU CIS , aby uzyskać skonsolidowany widok mapowań kontrolek CIS w wersji 8.1
- Przypisz zasady za pośrednictwem portalu Azure
- Dowiedz się więcej o Azure Policy