Melhores práticas de segurança operacional do Azure

Este artigo fornece um conjunto de práticas recomendadas operacionais para proteger seus dados, aplicativos e outros ativos em Azure.

As práticas recomendadas são baseadas em um consenso de opinião e funcionam com os recursos atuais da plataforma Azure e conjuntos de recursos. As opiniões e as tecnologias mudam ao longo do tempo. A Microsoft atualiza este artigo regularmente para refletir essas mudanças.

Este artigo se alinha ao modelo de segurança Confiança Zero da Microsoft, que pressupõe violação e requer verificação contínua. Para obter controles de segurança prescritivos com imposição de Azure Policy, consulte Microsoft Cloud Security Benchmark v2 – Resposta a incidentes e MCSB v2 – Gerenciamento de Posturas e Vulnerabilidades.

Definir e implantar práticas fortes de segurança operacional

Azure segurança operacional refere-se aos serviços, controles e recursos disponíveis aos usuários para proteger seus dados, aplicativos e outros ativos em Azure. A segurança operacional do Azure é construída sobre uma estrutura que incorpora o conhecimento adquirido através de capacidades exclusivas da Microsoft, incluindo o Security Development Lifecycle (SDL), o Microsoft Security Response Center e profunda compreensão do cenário de ameaças de segurança cibernética.

Impor a verificação multifator para usuários

Exija verificação em duas etapas para todos os seus usuários. Esse requisito inclui administradores e outras pessoas da sua organização que podem ter um impacto significativo se sua conta for comprometida, como diretores financeiros.

Você tem várias opções para exigir verificação em duas etapas. A melhor opção para você depende de suas metas, da edição Microsoft Entra que você está executando e do seu programa de licenciamento. Consulte Como exigir verificação em duas etapas para um usuário para determinar a melhor opção para você. Consulte a documentação do Microsoft Entra ID e da autenticação multifator do Microsoft Entra para obter mais informações sobre licenças e preços.

As seguintes opções e benefícios podem ajudar você a possibilitar a verificação em duas etapas:

Opção 1: Ative MFA para todos os usuários e métodos de login com os padrões de segurança do Microsoft Entra Benefício: Esta opção permite que você aplique rapidamente o MFA para todos os usuários do seu ambiente com uma política rigorosa para:

• Desafiar contas administrativas e mecanismos de logon administrativo
• Exigir um desafio de MFA através do Microsoft Authenticator para todos os usuários
• Restringir protocolos de autenticação herdados.

Você pode usar esse método com todos os níveis de licenciamento, mas não pode combiná-lo com as políticas existentes de Acesso Condicional. Para mais informações, veja Padrões de Segurança da Microsoft Entra.

Opção 2: habilite a autenticação multifator alterando o estado do usuário. Benefício: A opção 2 é o método tradicional para exigir verificação em duas etapas. Esse método funciona tanto com a autenticação multifator Microsoft Entra na nuvem quanto com o servidor de autenticação multifator Azure. Esse método exige que os usuários executem a verificação em duas etapas sempre que entrarem e substituirem as políticas de Acesso Condicional.

Para determinar onde ativar a autenticação multifator, veja Qual versão da autenticação multifator Microsoft Entra é a mais adequada para minha organização?

Opção 3: habilite a autenticação multifator com a política de Acesso Condicional. Benefício: Esta opção solicita a verificação em duas etapas sob condições específicas usando o Acesso Condicional. Condições específicas podem incluir login do usuário a partir de locais diferentes, dispositivos não confiáveis ou aplicativos que você considere arriscados. Definir condições específicas nas quais você exige verificação em duas etapas permite que você evite solicitações constantes aos seus usuários, o que pode ser uma experiência de usuário desagradável.

A opção 3 é a forma mais flexível de habilitar a verificação em duas etapas para seus usuários. Habilitar uma política de Acesso Condicional funciona apenas para Microsoft Entra autenticação multifator na nuvem e é um recurso premium de Microsoft Entra ID. Para obter mais informações sobre esse método, consulte Implantar autenticação multifator Microsoft Entra baseada em nuvem.

Opção 4: habilite a autenticação multifator com políticas de Acesso Condicional avaliando as políticas de Acesso Condicional baseadas em risco. Benefício: Essa opção permite que você:

• Detectar possíveis vulnerabilidades que afetem as identidades da organização.
• Configurar respostas automatizadas para ações suspeitas detectadas que se relacionem com as identidades da sua organização.
• Investigar incidentes suspeitos e tomar as devidas providências para resolvê-los.

Esse método utiliza a avaliação de risco Microsoft Entra ID Protection para determinar se a verificação em duas etapas se aplica com base no risco do usuário e de login para todas as aplicações em nuvem. Esse método requer o licenciamento Microsoft Entra ID P2. Para obter mais informações sobre esse método, consulte Microsoft Entra ID Protection.

Organizações que não adicionam camadas extras de proteção de identidade, como a verificação em duas etapas, são mais suscetíveis a ataques de roubo de credenciais. Um ataque de roubo de credencial pode levar ao comprometimento de dados.

Gerenciar e monitorar senhas de usuário

A seguinte tabela lista algumas das práticas recomendadas relacionadas ao gerenciamento de senhas de usuário:

• Garanta o nível adequado de proteção por senha na nuvem. Siga as orientações do Microsoft Password Guidance, que são direcionadas para usuários das plataformas de identidade da Microsoft (Microsoft Entra ID, Active Directory e conta Microsoft).

• Monitore ações suspeitas relacionadas às suas contas de usuário. Monitore usuários em risco e logins arriscados usando relatórios de segurança do Microsoft Entra.

• Detectar e corrigir automaticamente senhas de alto risco.Microsoft Entra ID Protection é um recurso da edição P2 do Microsoft Entra ID que permite que você:

  • Detecte possíveis vulnerabilidades que afetam as identidades da sua organização.
  • Configure respostas automatizadas para ações suspeitas detectadas relacionadas às identidades da sua organização.
  • Investigue incidentes suspeitos e tome as medidas adequadas para resolvê-los.

Receber notificações de incidentes da Microsoft

Garanta que sua equipe de operações de segurança receba notificações de incidentes do Azure da Microsoft. Uma notificação de incidente ajuda sua equipe de segurança a saber que seus recursos do Azure estão comprometidos, para que possam responder rapidamente e remediar potenciais riscos de segurança.

No portal de registro do Azure, você pode garantir que as informações de contato do administrador incluam detalhes que notifiquem as operações de segurança. Informações de contato são um número de telefone e um endereço de email.

Organizar assinaturas Azure em grupos de gerenciamento

Se a organização tiver muitas assinaturas, talvez você precise de uma forma de gerenciar o acesso, as políticas e a conformidade com eficiência para essas assinaturas. Grupos de Gerenciamento do Azure fornecem um nível de escopo que está acima das assinaturas. Você organiza as assinaturas em contêineres chamados grupos de gerenciamento e aplica suas condições de governança a esses grupos. Todas as assinaturas dentro de um grupo de gerenciamento herdam automaticamente as condições aplicadas ao grupo de gerenciamento.

Você pode criar uma estrutura flexível de grupos de gerenciamento e assinaturas em um diretório. Cada diretório recebe um único grupo de gerenciamento de nível superior chamado grupo de gerenciamento "raiz". Esse grupo de gerenciamento raiz é compilado na hierarquia para que todos os grupos de gerenciamento e assinaturas sejam dobrados nele. O grupo de gerenciamento raiz permite que políticas globais e atribuições de função Azure sejam aplicadas no nível do diretório.

Veja algumas práticas recomendadas para o uso de grupos de gerenciamento:

• Garanta que novas assinaturas apliquem elementos de governança, como políticas e permissões, conforme você as adiciona. Use o grupo de gerenciamento raiz para atribuir elementos de segurança em toda a empresa que se aplicam a todos os ativos do Azure. Políticas e permissões são exemplos de elementos.

• Alinhe os níveis superiores dos grupos de gestão com sua estratégia de segmentação para fornecer um ponto de controle e consistência de políticas dentro de cada segmento. Crie um único grupo de gerenciamento para cada segmento dentro do grupo de gerenciamento raiz. Não crie nenhum outro grupo de gerenciamento na raiz.

• Limite a profundidade do grupo de gestão para evitar confusões que dificultem tanto as operações quanto a segurança. Limite sua hierarquia a três níveis, incluindo a raiz.

• Selecione cuidadosamente quais itens devem ser aplicados a toda a organização no grupo de gerenciamento raiz. Garanta que os elementos do grupo de gerenciamento raiz tenham uma necessidade clara de serem aplicados em todos os recursos e que sejam de baixo impacto.

Bons candidatos incluem:

• Exigências regulatórias que tenham um impacto claro nos negócios, como restrições relacionadas à soberania dos dados.

• Requisitos com potencial de efeito negativo quase nulo nas operações, como política com efeito de auditoria ou atribuições de permissões do Azure RBAC que são cuidadosamente revisadas.

• Planeje e teste cuidadosamente todas as mudanças empresariais no grupo de gerenciamento raiz antes de aplicá-las (política, modelo RBAC do Azure, e assim por diante). Mudanças no grupo de gerenciamento de raiz podem afetar todos os recursos no Azure. Embora eles forneçam uma maneira poderosa de garantir a consistência em toda a empresa, os erros ou o uso incorreto podem afetar negativamente as operações de produção. Teste todas as alterações no grupo de gerenciamento raiz em um laboratório de teste ou em um piloto de produção.

Simplifique a criação de ambientes com pilhas de implantação e especificações de modelo

Use Pilhas de implantação do Azure para implantar e gerenciar coleções reutilizáveis de recursos do Azure como uma única unidade. As pilhas de implantação dão suporte a modelos do Bicep e do Azure Resource Manager, ao gerenciamento de ciclo de vida e a configurações de negação que ajudam a proteger recursos gerenciados contra alterações indesejadas. Use as especificações de templates do Azure Resource Manager para armazenar, versionar e compartilhar templates aprovados em toda a sua organização.

Monitorar serviços de armazenamento quanto a mudanças inesperadas no comportamento

Diagnosticar e solucionar problemas em uma aplicação distribuída hospedada em um ambiente de nuvem pode ser mais complexo do que em ambientes tradicionais. Você pode implantar aplicações em infraestrutura PaaS ou IaaS, on-premises, em um dispositivo móvel ou em alguma combinação desses ambientes. Tráfego de rede do seu aplicativo pode passar por redes públicas e privadas, e seu aplicativo poderá usar várias tecnologias de armazenamento.

Monitore continuamente os serviços de armazenamento que sua aplicação utiliza para quaisquer mudanças inesperadas no comportamento, como tempos de resposta mais lentos. Use o log para coletar dados mais detalhados e analisar o problema em profundidade. As informações de diagnóstico que você obtém tanto pelo monitoramento quanto pelo logging ajudam a determinar a causa raiz do problema que sua aplicação enfrentou. Depois, você pode resolver o problema e determinar os passos adequados para resolvê-lo.

Azure Análise de Armazenamento executa o registro em log e fornece dados de métricas para uma conta de armazenamento Azure. Use esses dados para rastrear solicitações, analisar tendências de uso e diagnosticar problemas com sua conta de armazenamento.

Evitar, detectar e reagir a ameaças

O Microsoft Defender para Nuvem ajuda você a prevenir, detectar e responder a ameaças ao fornecer maior visibilidade e controle sobre a segurança dos seus recursos Azure. O Defender para Nuvem oferece monitoramento integrado de segurança e gerenciamento de políticas em suas assinaturas do Azure, ajuda a detectar ameaças que poderiam passar despercebidas e trabalha com diversas soluções de segurança.

O Defender para Nuvem inclui recursos fundamentais de Gerenciamento de Postura de Segurança na Nuvem (CSPM) e acesso gratuito ao Microsoft Defender XDR. Para ampliar a proteção, ative planos pagos do Defender para Nuvem para as cargas de trabalho que você deseja proteger, como GPSN do Defender, Defender for Servers Plan 1 ou Plan 2, Defender for Storage, Defender for Databases, Defender for Containers, Defender para Key Vault, Defender para App Service, Defender para Resource Manager, Defender para APIs e Serviços de IA. Esses planos ajudam você a encontrar e corrigir vulnerabilidades de segurança, aplicar controles de acesso e aplicação para bloquear atividades maliciosas, detectar ameaças usando análises e inteligência, e responder rapidamente quando sob ataque.

Você pode testar o Defender para Nuvem gratuitamente pelos primeiros 30 dias, ou até certos planos atingirem seus limites de uso, o que acontecer primeiro. Após o término do período de teste ou limite de uso, as cobranças começam a ser baseadas nos planos que você habilita no seu ambiente. Para mais informações, veja Conecte suas assinaturas do Azure e O que é Microsoft Defender para Nuvem?.

Use o Defender para Nuvem para obter uma visão central do estado de segurança de todos os seus recursos em seus próprios data centers, Azure e outras nuvens. Verifique rapidamente se os controles de segurança apropriados estão em vigor e configurados de maneira correta, além disso, identifique com rapidez os recursos que exigem atenção.

Defender para Nuvem também se integra com o Microsoft Defender para Ponto de Extremidade, que oferece capacidades abrangentes de detecção e resposta de endpoints (EDR). Com a integração do Microsoft Defender para Ponto de Extremidade, você pode identificar irregularidades e detectar vulnerabilidades. Você também pode detectar e responder a ataques avançados em endpoints de servidor monitorados pelo Defender para Nuvem.

Quase todas as organizações empresariais têm um sistema SIEM (gerenciamento de informações e eventos de segurança) para ajudar a identificar ameaças emergentes, consolidando informações de log de diferentes dispositivos de coleta de sinais. Os logs são então analisados por um sistema de análise de dados para ajudar a identificar o que é "interessante" em relação ao ruído inevitável em todas as soluções de coleta e análise de logs.

O Microsoft Sentinel é uma solução escalonável, nativa de nuvem, de gerenciamento de informações e eventos de segurança (SIEM) e de orquestração, automação e resposta de segurança (SOAR). O Microsoft Sentinel fornece análises inteligentes de segurança e inteligência de ameaças por meio de detecção de alertas, visibilidade de ameaças, caça proativa e resposta automatizada a ameaças.

Veja algumas práticas recomendadas para impedir, detectar e responder a ameaças:

• Aumente a velocidade e a escalabilidade da sua solução SIEM usando um SIEM baseado em nuvem. Investigue as funcionalidades e capacidades do Microsoft Sentinel e compare-as com as capacidades do que você está usando atualmente localmente. Considere adotar Microsoft Sentinel se ele atender aos requisitos de SIEM da sua organização.

• Encontre as vulnerabilidades de segurança mais graves para priorizar a investigação. Revise sua pontuação Azure Secure para ver as recomendações resultantes das políticas e iniciativas do Azure incorporadas ao Microsoft Defender para Nuvem. Essas recomendações ajudam a lidar com os principais riscos, como atualizações de segurança, proteção de endpoint, criptografia, configurações de segurança, WAF ausente, VMs conectadas à Internet, entre muitos outros.

A pontuação segura, baseada nos controles do Center for Internet Security (CIS), ajuda você a comparar a segurança do Azure da sua organização com fontes externas. A validação externa ajuda a validar e enriquecer a estratégia de segurança de sua equipe.

• Monitore a postura de segurança de máquinas, redes, serviços de armazenamento e dados, e aplicações para identificar e priorizar possíveis problemas de segurança. Siga as recomendações de segurança no Defender para Nuvem, começando pelos itens de maior prioridade.

• Integre alertas do Defender para Nuvem à sua solução de gerenciamento de informações e eventos de segurança (SIEM). A maioria das organizações com um SIEM o utiliza como ponto central para alertas de segurança que exigem uma resposta de um analista. Os eventos processados produzidos pelo Defender para Nuvem são publicados no Log de Atividades do Azure, um dos logs disponíveis por meio de Azure Monitor. Azure Monitor oferece um pipeline consolidado para rotear qualquer um dos dados de monitoramento para uma ferramenta SIEM. Veja mais instruções em Transmitir alertas para uma solução de Gerenciamento de Serviços de TI, de SIEM ou SOAR. Se você estiver usando Microsoft Sentinel, consulte Conectar Microsoft Defender para Nuvem.

• Integre os logs do Azure com seu SIEM. Use o Azure Monitor para coletar e exportar dados. Essa prática é essencial para habilitar a investigação de incidentes de segurança e a retenção de log online é limitada. Se você estiver usando Microsoft Sentinel, consulte Conectar fontes de dados.

• Acelere seus processos de investigação e caça e reduza falsos positivos integrando capacidades de detecção e resposta de endpoints (EDR) à sua investigação de ataque.Ative a integração do Microsoft Defender para Ponto de Extremidade por meio da sua política de segurança do Defender para Nuvem. Considere usar Microsoft Sentinel para busca de ameaças e resposta a incidentes.

Acompanhar monitoramento de rede baseado em cenário de ponta a ponta

Organizações constroem uma rede de ponta a ponta no Azure combinando recursos de rede como uma rede virtual, ExpressRoute, Application Gateway e balanceadores de carga. Você pode monitorar cada um desses recursos de rede.

Observador de Rede do Azure é um serviço regional. Use suas ferramentas de diagnóstico e visualização para monitorar e diagnosticar condições em um nível de cenário de rede no Azure, para o Azure e do Azure.

A seguir estão as melhores práticas para monitoramento de rede e as ferramentas disponíveis.

• Automatize o monitoramento remoto da rede com captura de pacotes. Monitore e diagnostique problemas de rede sem fazer login nas suas VMs usando o Observador de Rede. Acionar captura de pacote por meio da configuração de alertas e obter acesso a informações de desempenho em tempo real no nível de pacote. Quando você percebe um problema, pode investigar em detalhes para obter diagnósticos melhores.

• Obtenha insights sobre o tráfego da sua rede usando logs de fluxo. Construa uma compreensão mais profunda dos seus padrões de tráfego de rede usando logs de fluxo de grupos de segurança de rede. As informações em logs de fluxo ajudam a coletar dados para conformidade, auditoria e monitoramento do seu perfil de segurança de rede.

• Diagnosticar problemas de conectividade VPN. Use o Observador de Rede para diagnosticar problemas comuns de Gateway de VPN e conexão. Você pode identificar o problema e usar registros detalhados para investigar mais a fundo.

Implantação segura usando ferramentas do DevOps comprovadas

Use as seguintes práticas recomendadas de DevOps para garantir que suas equipes e sua empresa sejam produtivas e eficientes.

• Automatize a construção e implantação dos serviços.Infraestrutura como código é um conjunto de técnicas e práticas que ajudam os profissionais de TI a eliminar o peso da construção e gestão diária de infraestrutura modular. A infraestrutura como código permite que profissionais de TI construam e mantenham seu ambiente de servidor moderno de uma forma semelhante à forma como desenvolvedores de software constroem e mantêm código de aplicação.

Você pode usar Azure Resource Manager para provisionar seus aplicativos usando um modelo declarativo. Em um modelo único, você pode implantar vários serviços, juntamente com suas dependências. Use o mesmo modelo para implantar repetidamente seu aplicativo em cada estágio do ciclo de vida do aplicativo.

• Construa e implante automaticamente em aplicativos web ou serviços em nuvem do Azure. Você pode configurar seus projetos Azure DevOps para compilar e implantar automaticamente em aplicativos web ou serviços em nuvem do Azure. O Azure DevOps implanta automaticamente binários no Azure após cada check-in de código. O processo de build do pacote é equivalente ao comando Pacote em Visual Studio e as etapas de publicação são equivalentes ao comando Publicar no Visual Studio.

• Automatize o gerenciamento de releases.Azure Pipelines é uma solução para automatizar implantações em múltiplas etapas e gerenciar o processo de lançamento. Crie pipelines de implantação gerenciados e contínuos, a fim de lançar com rapidez e frequência. Com o Azure Pipelines, você pode automatizar seu processo de lançamento com fluxos de trabalho de aprovação pré-definidos. Implante localmente e na nuvem, estenda e personalize conforme a necessidade.

• Verifique o desempenho do seu app antes de abri-lo ou implante atualizações em produção. Execute testes de carga baseados na nuvem para:

  • Localizar problemas de desempenho em seu aplicativo Web.
  • Melhorar a qualidade da implantação.
  • Garanta que seu aplicativo esteja sempre disponível.
  • Garanta que seu aplicativo consiga lidar com tráfego para seu próximo lançamento ou campanha de marketing.

Apache JMeter é uma ferramenta de código aberto gratuita e popular com um forte apoio da comunidade.

• Monitore o desempenho da aplicação.Aplicativo Azure Insights é um serviço extensível de gerenciamento de desempenho de aplicações (APM) para desenvolvedores web em múltiplas plataformas. Use o Application Insights para monitorar seu aplicativo Web em tempo real. Ele detecta anomalias de desempenho automaticamente. Inclui ferramentas de análise para ajudar a diagnosticar problemas e entender o que os usuários realmente fazem com seu app. Ele foi projetado para ajudar você a aprimorar continuamente o desempenho e a usabilidade do seu aplicativo.

Atenuação de riscos e proteção contra DDoS

Ataque de DDoS (negação de serviço distribuído) é um tipo de ataque que tenta esgotar os recursos do aplicativo. A meta é afetar a disponibilidade do aplicativo e sua capacidade de lidar com solicitações legítimas. Esses ataques estão se tornando cada vez mais sofisticados e maiores tanto em termos de tamanho quanto de impacto. Atacantes podem ter como alvo qualquer endpoint acessível publicamente pela internet.

Projetar e criar para garantir a resiliência contra DDoS exige planejar e projetar para uma variedade de modos de falha. A seguir estão as práticas recomendadas para a criação de serviços resilientes a DDoS em Azure.

• Garanta que a segurança seja uma prioridade durante todo o ciclo de vida de um aplicativo, desde o design e implementação até a implantação e as operações. Aplicações podem ter bugs que permitem que um volume relativamente baixo de requisições use muitos recursos, resultando em uma queda de serviço. Para ajudar a proteger um serviço rodando no Azure, você deve ter um bom entendimento da arquitetura da sua aplicação e focar nos cinco pilares da qualidade do software. Você deve conhecer os volumes de tráfego típicos, o modelo de conectividade entre o aplicativo e outros aplicativos e os pontos de extremidade de serviço expostos à Internet pública.

O mais importante é garantir que um aplicativo seja resiliente o suficiente para lidar com uma negação de serviço direcionados ao próprio aplicativo. A segurança e a privacidade são integradas à plataforma Azure, começando com o Security Development Lifecycle (SDL). O SDL aborda a segurança em todas as fases de desenvolvimento e garante que Azure seja atualizada continuamente para torná-la ainda mais segura.

• Projete seus aplicativos para escalar horizontalmente de modo a atender ao aumento de carga, especificamente em caso de ataque de DDoS. Se seu aplicativo depender de uma única instância de um serviço, ele criará um único ponto de falha. O provisionamento de várias instâncias torna o sistema mais resiliente e mais escalonável. Para o Serviço de Aplicativo do Azure, selecione um Plano do Serviço de Aplicativo que ofereça várias instâncias.

Para o Serviços de Nuvem do Azure, configure cada uma de suas funções para usar várias instâncias.

Para Máquinas Virtuais do Azure, verifique se a arquitetura da VM inclui mais de uma VM e se cada VM está incluída em um conjunto de disponibilidade. Use o Conjuntos de Dimensionamento de Máquinas Virtuais para obter recursos de dimensionamento automático.

• Implementar defesas de segurança em camadas em um aplicativo reduz a possibilidade de um ataque ser bem-sucedido. Implemente designs seguros para seus aplicativos usando os recursos internos da plataforma Azure. O risco de ataque aumenta com o tamanho (área de superfície) da aplicação. Você pode reduzir a área da superfície usando uma lista de aprovação para fechar o espaço de endereço IP exposto e portas de escuta que não são necessárias nos balanceadores de carga (Azure Load Balancer e Gateway de Aplicativo do Azure).

Grupos de segurança de rede são outra maneira de reduzir a superfície de ataque. Você pode usar marcas de serviço e grupos de segurança de aplicativo para minimizar a complexidade da criação de regras de segurança e a configuração da segurança de rede, como uma extensão natural da estrutura do aplicativo.

Você deve implantar serviços Azure em uma rede virtual sempre que possível. Esta prática permite que os recursos de serviço se comuniquem por meio de endereços IP privados. Azure tráfego de serviço de uma rede virtual usa endereços IP públicos como endereços IP de origem por padrão.

Usar pontos de extremidade de serviço altera o tráfego de serviço para usar endereços de rede virtual privados como endereços IP de origem ao acessar o serviço do Azure de uma rede virtual.

Atacantes podem ter como alvo recursos locais, bem como recursos no Azure. Se você estiver conectando um ambiente local a Azure, minimize a exposição de recursos locais à Internet pública.

Azure tem duas ofertas de DDoS service que fornecem proteção contra ataques de rede:

• A DDoS Infrastructure Protection é integrada ao Azure por padrão, sem custo adicional. A escala e capacidade da rede Azure implantada globalmente defendem contra ataques comuns na camada de rede por meio de monitoramento de tráfego sempre ativo e mitigação em tempo real. A Proteção de Infraestrutura não exige configurações do usuário ou alterações de aplicação e ajuda a proteger todos os serviços do Azure, incluindo serviços PaaS como o DNS do Azure.
• A Proteção de Rede DDoS oferece capacidades avançadas de mitigação de DDoS contra ataques de rede. Ele é ajustado automaticamente para proteger seus recursos de Azure específicos. Você pode ativar a proteção durante a criação ou após a criação da rede virtual, e isso não requer mudanças de aplicação ou recursos.

Habilitar Azure Policy

Azure Policy é um serviço em Azure que você usa para criar, atribuir e gerenciar políticas. Essas políticas impõem regras e efeitos sobre seus recursos, de forma que esses recursos permaneçam em conformidade com seus padrões corporativos e contratos de nível de serviço. Azure Policy atende a essa necessidade avaliando seus recursos para não conformidade com políticas atribuídas.

Habilite Azure Policy para monitorar e impor a política escrita da sua organização. Essa abordagem garante conformidade com os requisitos de segurança da sua empresa ou regulatórios ao gerenciar centralmente as políticas de segurança em suas cargas de trabalho em nuvem híbrida. Saiba como criar e gerenciar políticas para impor a conformidade. Consulte Azure Policy estrutura de definição para obter uma visão geral dos elementos de uma política.

• Use o Azure Policy para aplicar as recomendações do Microsoft Cloud Security Benchmark v2 (prévia) em todo o seu ambiente. O Microsoft Cloud Security Benchmark v2 (prévia) oferece práticas de segurança abrangentes com cobertura ampliada do Azure Policy (420+ medições baseadas em políticas). Atribua políticas do Microsoft Cloud Security Benchmark v2 (versão prévia) a suas assinaturas e grupos de gerenciamento para auditar e impor configurações seguras continuamente. O parâmetro de comparação inclui novos controles para segurança de IA, computação confidencial e detecção avançada de ameaças. Use o painel de conformidade regulatória do Defender para Nuvem para acompanhar a conformidade e identificar as lacunas de segurança que exigem correção.

Aqui estão algumas práticas recomendadas de segurança a seguir depois de adotar Azure Policy:

• Inicie as implantações de políticas no modo de auditoria. A política dá suporte a vários tipos de efeitos. Você pode ler sobre eles em estrutura de definição do Azure Policy. As operações de negócios podem ser afetadas negativamente pelos efeitos de negação e correção. Portanto, comece com o efeito de auditoria para limitar o risco de impacto negativo da política. Depois, progrediria para negar ou remediar. Teste e examine os resultados do efeito de auditoria antes de mover para negação ou correção.

  Para obter mais informações, consulte Criar e gerenciar políticas para impor a conformidade.

• Identifique os papéis responsáveis por monitorar violações de políticas e garantir uma remediação rápida. Faça com que o papel designado monitore a conformidade pelo portal do Azure ou pela linha de comando.

• Azure Policy é uma representação técnica das políticas escritas de uma organização. Mapeie todas as definições de Azure Policy para políticas organizacionais para reduzir a confusão e aumentar a consistência. Mapeamento de documentos na documentação da sua organização ou na própria definição do Azure Policy, adicionando uma referência à política organizacional na definição da política ou na descrição da definição da iniciativa.

Monitorar relatórios de risco Microsoft Entra

A grande maioria das violações de segurança ocorre quando os invasores obtêm acesso a um ambiente roubando a identidade de um usuário. Descobrir identidades comprometidas não é uma tarefa fácil. Microsoft Entra ID usa algoritmos de aprendizado de máquina adaptáveis e heurística para detectar ações suspeitas relacionadas às suas contas de usuário. Cada ação suspeita detectada é armazenada em um registro chamado detecção de risco. As detecções de risco são registradas em relatórios de segurança Microsoft Entra. Para saber mais, confira o relatório de segurança de usuários em risco e o relatório de segurança de entradas arriscadas.

Próximas etapas

Consulte Visão geral da resposta a incidentes para obter diretrizes sobre como responder a incidentes de segurança no seu ambiente Azure. Consulte Azure melhores práticas e padrões de segurança para obter mais práticas recomendadas de segurança a serem usadas ao projetar, implantar e gerenciar suas soluções de nuvem usando Azure.

Os seguintes recursos estão disponíveis para fornecer informações mais gerais sobre Azure segurança e serviços relacionados da Microsoft:

• Azure Security Team Blog - para informações atualizadas sobre as últimas novidades em segurança no Azure.
• Microsoft Security Response Center - para reportar vulnerabilidades de segurança da Microsoft, incluindo problemas com o Azure. Você também pode relatar vulnerabilidades por e-mail para secure@microsoft.com.
• Examine os controles Microsoft Cloud Security Benchmark v2 – Resposta a Incidentes e MCSB v2 – Gerenciamento de Posturas e Vulnerabilidades para obter diretrizes abrangentes de segurança operacional com mapeamentos de Azure Policy.
• Saiba mais sobre a Microsoft Secure Future Initiative (SFI), as melhores práticas internas de segurança da Microsoft.
• Explore os princípios Confiança Zero para obter diretrizes sobre como implementar uma arquitetura de segurança Confiança Zero.