Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo lista Azure Policy definições de iniciativa de política interna relacionadas ao Microsoft benchmark de segurança de nuvem v2. Cada controle do parâmetro de comparação é mapeado para uma ou mais definições de Azure Policy. Consulte o arquivo de definição completo Azure Policy Initiative para obter detalhes adicionais.
Compliant no Azure Policy refere-se apenas às próprias definições de política; isso não garante que você esteja totalmente em conformidade com todos os requisitos de um controle. O padrão de conformidade inclui controles que não são abordados por nenhuma definição de Azure Policy no momento. Portanto, a conformidade em Azure Policy é apenas uma exibição parcial do seu status de conformidade geral.
As associações entre controles e definições de Azure Policy para esse padrão de conformidade podem mudar ao longo do tempo.
IA-1: garantir o uso de modelos aprovados
Para obter mais informações, consulte Segurança de Inteligência Artificial: IA-1: garantir o uso de modelos aprovados.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| [Versão prévia]: implantações de Azure Machine Learning devem usar apenas modelos de registro aprovados | Restrinja a implantação de modelos de Registro para controlar modelos criados externamente usados em sua organização | Auditoria; Negar; Desactivado | 1.0.0-preview |
| [Visualização]: as Implantações de Serviços Cognitivos devem usar apenas filtragem de conteúdo de conclusão permitida | Exigir níveis mínimos de filtragem de conteúdo para conteúdo de conclusão para implantações de modelo na sua organização. | Auditoria; Desactivado | 1.0.0-preview |
| [Versão prévia]: As Implantações de Serviços Cognitivos devem usar apenas o controle permitido | Exigir níveis mínimos de filtragem de conteúdo de diversas severidades para conteúdos prejudiciais em implantações de modelos dentro da sua organização. | Auditoria; Desactivado | 1.0.0-preview |
| [Versão prévia]: as implantações dos Serviços Cognitivos devem usar apenas o modo de controle permitido | Exigir o modo de filtragem de conteúdo para implantações de modelo em sua organização. | Auditoria; Desactivado | 1.0.0-preview |
| [Versão prévia]: As Implantações de Serviços Cognitivos devem utilizar apenas a filtragem permitida de conteúdo de prompt | Exigir níveis mínimos de filtragem de conteúdo para conteúdo de prompt para implantações de modelo na sua organização. | Auditoria; Desactivado | 1.0.0-preview |
AM-2: usar apenas serviços aprovados
Para obter mais informações, consulte o Gerenciamento de Ativos: AM-2: use apenas serviços aprovados.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Gerenciamento de API do Azure versão da plataforma deve ser stv2 | Gerenciamento de API do Azure versão da plataforma de computação stv1 será desativada a partir de 31 de agosto de 2024 e essas instâncias devem ser migradas para a plataforma de computação stv2 para suporte contínuo. Saiba mais em API Management stv1 platform retirement – Global Azure cloud (agosto de 2024) | Auditoria; Negar; Desactivado | 1.0.0 |
| as contas Storage devem ser migradas para novos recursos de Azure Resource Manager | Use novos Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas em Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos Azure Autenticação baseada em AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança | Auditoria; Negar; Desactivado | 1.0.0 |
| as contas Storage devem ser migradas para novos recursos de Azure Resource Manager | Use novos Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas em Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos Azure Autenticação baseada em AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança | Auditoria; Negar; Desactivado | 1.0.0 |
| As máquinas virtuais devem ser migradas para os novos recursos do Azure Resource Manager | Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseada no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para marcas e grupos de recursos para facilitar o gerenciamento de segurança | Auditoria; Negar; Desactivado | 1.0.0 |
AM-3: garantir a segurança do gerenciamento do ciclo de vida do ativo
Para obter mais informações, consulte Asset Management: AM-3: garantir a segurança do gerenciamento do ciclo de vida do ativo.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| os pontos de extremidade API não utilizados devem ser desabilitados e removidos do serviço Gerenciamento de API do Azure | Como prática recomendada de segurança, os pontos de extremidade de API que não recebem tráfego há 30 dias são considerados não utilizados e devem ser removidos do serviço Gerenciamento de API do Azure. Manter pontos de extremidade de API não utilizados pode representar um risco de segurança para sua organização. Essas podem ser APIs que deveriam ter sido preteridas do serviço de Gerenciamento de API do Azure, mas podem ter sido acidentalmente deixadas ativas. Normalmente, essas APIs não recebem a cobertura de segurança mais atualizada. | AuditIfNotExists; Desactivado | 1.0.1 |
BR-1: garantir backups automatizados regulares
Para obter mais informações, consulte Backup e Recuperação: BR-1: garantir backups automatizados regulares.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Backup do Azure deve ser habilitado para Máquinas Virtuais | Verifique a proteção do Máquinas Virtuais do Azure habilitando Backup do Azure. Backup do Azure é uma solução de proteção de dados segura e econômica para Azure. | AuditIfNotExists; Desactivado | 3.0.0 |
| Configure o backup em máquinas virtuais sem uma determinada tag para um novo cofre de serviços de recuperação com uma política padrão | Impor o backup a todas as máquinas virtuais implantando um cofre dos Serviços de Recuperação na mesma localização e no mesmo grupo de recursos da máquina virtual. É útil fazer isso quando diferentes equipes de aplicativo na sua organização recebem grupos de recursos separados e precisam gerenciar restaurações e backups próprios. Opcionalmente, você pode excluir máquinas virtuais que contenham uma marca especificada para controlar o escopo da atribuição. Consulte https://aka.ms/AzureVMAppCentricBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Desativado | 9.5.0 |
| Configurar o backup em máquinas virtuais sem uma marca especificada para um cofre dos Serviços de Recuperação existente na mesma localização | Imponha o backup a todas as máquinas virtuais fazendo backup delas em um cofre central dos Serviços de Recuperação existente na mesma localização e assinatura da máquina virtual. É útil fazer isso quando há uma equipe central na sua organização que gerencia os backups de todos os recursos em uma assinatura. Opcionalmente, você pode excluir máquinas virtuais que contenham uma marca especificada para controlar o escopo da atribuição. Consulte https://aka.ms/AzureVMCentralBackupExcludeTag. | AuditIfNotExists; DeployIfNotExists; Desativado | 9.5.0 |
| O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MariaDB | O Banco de Dados do Azure para MariaDB permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| Backup com redundância degeo deve ser habilitado para Banco de Dados do Azure para MySQL | Banco de Dados do Azure para MySQL permite que você escolha a opção de redundância para o servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| O backup com redundância Geo deve ser habilitado para Banco de Dados do Azure para PostgreSQL | Banco de Dados do Azure para PostgreSQL permite que você escolha a opção de redundância para o servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| O armazenamento com redundância geográfica deve ser habilitado para Contas de Armazenamento | Usar a redundância geográfica para criar aplicativos altamente disponíveis | Auditoria; Desactivado | 1.0.0 |
| O backup com redundância geográfica de longo prazo deve ser habilitado para os Bancos de Dados SQL do Azure | Esta política audita qualquer Banco de Dados SQL do Azure em que a opção de backup com redundância geográfica de longo prazo não está habilitada. | AuditIfNotExists; Desactivado | 2.0.0 |
| [Versão prévia]: a MUA (Autorização multiusuário) deve estar habilitada para cofres de backup. | Essa política audita se a MUA (Autorização multiusuário) estiver habilitada para Cofres de Backup. O MUA ajuda a proteger seus Cofres de Backup adicionando uma camada adicional de proteção a operações críticas. Para saber mais, visite https://aka.ms/mua-for-bv. | Auditoria; Desactivado | 1.0.0-preview |
BR-2: proteger dados de backup e recuperação
Para obter mais informações, consulte Backup e Recuperação: BR-2: proteger dados de backup e recuperação.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Backup do Azure deve ser habilitado para Máquinas Virtuais | Verifique a proteção do Máquinas Virtuais do Azure habilitando Backup do Azure. Backup do Azure é uma solução de proteção de dados segura e econômica para Azure. | AuditIfNotExists; Desactivado | 3.0.0 |
| O backup com redundância geográfica deve ser habilitado para o Banco de Dados do Azure para MariaDB | O Banco de Dados do Azure para MariaDB permite que você escolha a opção de redundância para seu servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| Backup com redundância degeo deve ser habilitado para Banco de Dados do Azure para MySQL | Banco de Dados do Azure para MySQL permite que você escolha a opção de redundância para o servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| O backup com redundância Geo deve ser habilitado para Banco de Dados do Azure para PostgreSQL | Banco de Dados do Azure para PostgreSQL permite que você escolha a opção de redundância para o servidor de banco de dados. Ele pode ser definido como um backup com redundância geográfica storage no qual os dados não só são armazenados na região em que o servidor está hospedado, mas também são replicados para uma região emparelhada para fornecer a opção de recuperação em caso de falha na região. A configuração de storage com redundância geográfica para backup só é permitida durante a criação do servidor. | Auditoria; Desactivado | 1.0.1 |
| [Versão prévia]: a Imutabilidade deve ser habilitada para cofres de backup | Essa política audita se a propriedade de cofres imutáveis estiver habilitada para cofres de Backup no escopo. Isso ajuda a evitar que seus dados de backup sejam excluídos antes da expiração pretendida. Saiba mais em Concept do cofre Imutável para Backup do Azure. | Auditoria; Desactivado | 1.0.1-preview |
| [Versão prévia]: a Imutabilidade deve ser habilitada para cofres dos Serviços de Recuperação | Esta política audita se a propriedade de cofres imutáveis está ativada para os cofres dos Serviços de Recuperação no escopo. Isso ajuda a evitar que seus dados de backup sejam excluídos antes da expiração pretendida. Saiba mais em Concept do cofre Imutável para Backup do Azure. | Auditoria; Desactivado | 1.0.1-preview |
| [Versão prévia]: a exclusão temporária deve ser habilitada nos cofres dos Serviços de Recuperação. | Essa política audita se a exclusão temporária estiver habilitada para cofres dos Serviços de Recuperação no escopo. A exclusão temporária pode ajudar você a recuperar seus dados mesmo depois que eles foram excluídos. Saiba mais em https://aka.ms/AB-SoftDelete. | Auditoria; Desactivado | 1.0.0-preview |
| [Versão prévia]: a exclusão reversível deve ser habilitada para Cofres de Backup | Essa política audita se a exclusão reversível estiver habilitada para cofres de Backup no escopo. A exclusão reversível pode ajudá-lo a recuperar seus dados depois que eles tiverem sido excluídos. Saiba mais em Overview da exclusão reversível aprimorada para Backup do Azure | Auditoria; Desactivado | 1.0.0-preview |
DP-1: descobrir, classificar e rotular dados confidenciais
Para obter mais informações, consulte Proteção de Dados: DP-1: Descobrir, classificar e rotular dados confidenciais.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Microsoft Defender para APIs devem ser habilitadas | Microsoft Defender para APIs traz nova descoberta, proteção, detecção e cobertura de resposta para monitorar ataques comuns baseados em API e configurações incorretas de segurança. | AuditIfNotExists; Desactivado | 1.0.3 |
DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais
Para obter mais informações, consulte Proteção de Dados: DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para servidores Banco de Dados SQL do Azure devem ser habilitados | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para servidores SQL em computadores deve ser habilitado | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para SQL devem ser habilitados para Instâncias Gerenciadas de SQL desprotegidas | Audite cada Instância Gerenciada de SQL sem segurança de dados avançada. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para bancos de dados relacionais de software livre devem ser habilitados | Azure Defender para bancos de dados relacionais de software livre detecta atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. Saiba mais sobre os recursos de Azure Defender para bancos de dados relacionais de software livre em Overview de Defender para bancos de dados relacionais Open-Source. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para APIs devem ser habilitadas | Microsoft Defender para APIs traz nova descoberta, proteção, detecção e cobertura de resposta para monitorar ataques comuns baseados em API e configurações incorretas de segurança. | AuditIfNotExists; Desactivado | 1.0.3 |
| Microsoft Defender para Armazenamento deve estar habilitado | Microsoft Defender para Armazenamento detecta possíveis ameaças às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo Defender para o plano de armazenamento inclui verificação de malware e detecção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta storage) para controle sobre a cobertura e os custos. | AuditIfNotExists; Desactivado | 1.0.0 |
DP-3: Criptografar dados confidenciais em trânsito
Para obter mais informações, consulte Proteção de Dados: DP-3: criptografar dados confidenciais em trânsito.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| A política IPsec/IKE personalizada deve ser aplicada a todas as conexões de gateway de rede virtual Azure | Essa política garante que todas as conexões de gateway de rede virtual Azure usem uma política personalizada de Ipsec (Segurança de Protocolo de Internet)/IKE (Internet Key Exchange). Algoritmos e forças de chave com suporte – https://aka.ms/AA62kb0 | Auditoria; Desactivado | 1.0.0 |
| API Management APIs devem usar apenas protocolos criptografados | Para garantir a segurança dos dados em trânsito, as APIs devem estar disponíveis apenas por meio de protocolos criptografados, como HTTPS ou WSS. Evite usar protocolos inseguros, como HTTP ou WS. | Auditoria; Desactivado; Negar | 2.0.2 |
| App Service slots de aplicativo devem habilitar a criptografia de ponta a ponta | Habilitar a criptografia de ponta a ponta garante que o tráfego de front-end intra-cluster entre App Service front-ends e os trabalhadores que executam cargas de trabalho de aplicativo sejam criptografados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Os slots de aplicativos do Serviço de Aplicativo só devem ser acessíveis por HTTPS | O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. | Auditoria; Desactivado; Negar | 2.0.0 |
| App Service slots de aplicativo devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a versão mais recente do TLS para App Service aplicativos para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 1.2.0 |
| App Service aplicativos devem habilitar a criptografia de ponta a ponta | Habilitar a criptografia de ponta a ponta garante que o tráfego de front-end intra-cluster entre App Service front-ends e os trabalhadores que executam cargas de trabalho de aplicativo sejam criptografados. | Auditoria; Negar; Desactivado | 1.0.0 |
| App Service aplicativos só devem ser acessíveis por HTTPS | O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. | Auditoria; Desactivado; Negar | 4.0.0 |
| App Service aplicativos devem exigir apenas FTPS | Habilite a imposição de FTPS para reforçar a segurança. | AuditIfNotExists; Desactivado | 3.0.0 |
| App Service aplicativos devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a versão mais recente do TLS para App Service aplicativos para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 2.2.0 |
| Ambiente do Serviço de Aplicativo deve ser configurado com conjuntos de criptografia TLS mais fortes | Os dois conjuntos de criptografia mais mínimos e mais fortes necessários para que Ambiente do Serviço de Aplicativo funcionem corretamente são: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 e TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256. | Auditoria; Desactivado | 1.0.0 |
| Ambiente do Serviço de Aplicativo deve ter a criptografia interna habilitada | Definir InternalEncryption como true criptografa o arquivo de página, os discos de trabalho e o tráfego de rede interno entre os front-ends e os trabalhos em um Ambiente do Serviço de Aplicativo. Para saber mais, consulte as configurações Custom para ambientes App Service. | Auditoria; Desactivado | 1.0.1 |
| Ambiente do Serviço de Aplicativo deve ter o TLS 1.0 e 1.1 desabilitado | O TLS 1.0 e 1.1 são protocolos desatualizados que não dão suporte a algoritmos de criptografia modernos. Desabilitar o tráfego TLS 1.0 e 1.1 de entrada ajuda a proteger aplicativos em um Ambiente do Serviço de Aplicativo. | Auditoria; Negar; Desactivado | 2.0.1 |
| Lote do Azure pools devem ter a criptografia de disco habilitada | Habilitar Lote do Azure criptografia de disco garante que os dados sejam sempre criptografados em repouso em seu nó de computação Lote do Azure. Saiba mais sobre a criptografia de disco no Lote em Criar um pool com criptografia de disco habilitada. | Auditoria; Desactivado; Negar | 1.0.0 |
| Azure Front Door Standard e Premium devem estar executando a versão mínima do TLS 1.2 | Definir a versão mínima do TLS como 1.2 melhora a segurança, garantindo que seus domínios personalizados sejam acessados de clientes usando o TLS 1.2 ou mais recente. Não é recomendável usar versões do TLS menores que 1.2, pois elas são fracas e não dão suporte a algoritmos criptográficos modernos. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure HDInsight clusters devem usar criptografia em trânsito para criptografar a comunicação entre nós de cluster Azure HDInsight | Os dados podem ser adulterados durante a transmissão entre nós de cluster Azure HDInsight. Habilitar a criptografia em trânsito resolve problemas de uso indevido e adulteração durante essa transmissão. | Auditoria; Negar; Desactivado | 1.0.0 |
| Banco de Dados SQL do Azure deve estar executando o TLS versão 1.2 ou mais recente | Definir a versão do TLS como 1.2 ou mais recente melhora a segurança, garantindo que seus Banco de Dados SQL do Azure só possam ser acessados de clientes usando o TLS 1.2 ou mais recente. O uso de versões do TLS inferiores à 1.2 não é recomendado, pois elas têm vulnerabilidades de segurança bem documentadas. | Auditoria; Desactivado; Negar | 2.0.0 |
| Azure Synapse workspace SQL Server deve estar executando o TLS versão 1.2 ou mais recente | Definir a versão do TLS como 1.2 ou mais recente melhora a segurança, garantindo que seu Azure Synapse servidor SQL do workspace só possa ser acessado de clientes usando o TLS 1.2 ou mais recente. O uso de versões do TLS inferiores à 1.2 não é recomendado, pois elas têm vulnerabilidades de segurança bem documentadas. | Auditoria; Negar; Desactivado | 1.1.0 |
| Serviço de Bot ponto de extremidade deve ser um URI HTTPS válido | Os dados podem ser adulterados durante a transmissão. Existem protocolos que fornecem criptografia para resolver problemas de uso indevido e adulteração. Para garantir que seus bots estejam se comunicando apenas por canais criptografados, defina o ponto de extremidade como um URI HTTPS válido. Isso garante que o protocolo HTTPS seja usado para criptografar seus dados em trânsito e também geralmente é um requisito para conformidade com padrões regulatórios ou do setor. Visite: diretrizes de segurança do Bot Framework. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Os Aplicativos de Contêiner só devem estar acessíveis via HTTPS | O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. Desabilitar 'allowInsecure' resultará no redirecionamento automático de solicitações de conexões HTTP para HTTPS para aplicativos de contêiner. | Auditoria; Negar; Desactivado | 1.0.1 |
| 'Impor conexão SSL' deve ser habilitada para servidores de banco de dados MySQL | Banco de Dados do Azure para MySQL dá suporte à conexão do servidor Banco de Dados do Azure para MySQL a aplicativos cliente usando o SSL (Secure Sockets Layer). Impor conexões SSL entre seu servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques de "intermediários" criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL sempre esteja habilitado para acessar seu servidor de banco de dados. | Auditoria; Desactivado | 1.0.1 |
| 'Impor conexão SSL' deve ser habilitada para servidores de banco de dados PostgreSQL | Banco de Dados do Azure para PostgreSQL dá suporte à conexão do servidor Banco de Dados do Azure para PostgreSQL a aplicativos cliente usando o SSL (Secure Sockets Layer). Impor conexões SSL entre seu servidor de banco de dados e os aplicativos cliente ajuda a proteger contra ataques de "intermediários" criptografando o fluxo de dados entre o servidor e seu aplicativo. Essa configuração impõe que o SSL sempre esteja habilitado para acessar seu servidor de banco de dados. | Auditoria; Desactivado | 1.0.1 |
| os slots de aplicativo Function devem habilitar a criptografia de ponta a ponta | Habilitar a criptografia de ponta a ponta garante que o tráfego de front-end intra-cluster entre App Service front-ends e os trabalhadores que executam cargas de trabalho de aplicativo sejam criptografados. | Auditoria; Negar; Desactivado | 1.1.0 |
| Os slots dos aplicativos de funções só devem ser acessíveis por HTTPS | O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. | Auditoria; Desactivado; Negar | 2.1.0 |
| os slots de aplicativo Function devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a última versão do TLS para os aplicativos de funções, a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. | AuditIfNotExists; Desactivado | 1.3.0 |
| os aplicativos Function devem habilitar a criptografia de ponta a ponta | Habilitar a criptografia de ponta a ponta garante que o tráfego de front-end intra-cluster entre App Service front-ends e os trabalhadores que executam cargas de trabalho de aplicativo sejam criptografados. | Auditoria; Negar; Desactivado | 1.1.0 |
| os aplicativos Function só devem estar acessíveis por HTTPS | O uso do HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito de ataques de interceptação de camada de rede. | Auditoria; Desactivado; Negar | 5.1.0 |
| os aplicativos Function devem exigir apenas FTPS | Habilite a imposição de FTPS para reforçar a segurança. | AuditIfNotExists; Desactivado | 3.1.0 |
| os aplicativos Function devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a última versão do TLS para os aplicativos de funções, a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. | AuditIfNotExists; Desactivado | 2.3.0 |
| [Versão prévia]: a rede de host e VM deve ser protegida em Azure Stack sistemas HCI | Proteja dados na rede de hosts HCI Azure Stack e em conexões de rede de máquina virtual. | Auditoria; Desactivado; AuditIfNotExists | 1.0.0-preview |
| os clusters Kubernetes devem estar acessíveis somente por HTTPS | O uso do HTTPS garante a autenticação e protege os dados em trânsito de ataques de interceptação de camada de rede. Atualmente, essa funcionalidade está disponível para o AKS (Serviço de Kubernetes) e em versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, visite Understand Azure Policy para clusters kubernetes | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 8.2.0 |
| Conexões seguras somente para seu Cache do Azure para Redis devem estar habilitadas | Auditar a habilitação somente de conexões por meio do SSL para Cache do Azure para Redis. O uso de conexões seguras garante a autenticação entre o servidor e o serviço e protege os dados em trânsito dos ataques de camada de rede, como man-in-the-middle, espionagem e sequestro de sessão | Auditoria; Negar; Desactivado | 1.0.0 |
| PostgreSQL servidores flexíveis devem estar executando o TLS versão 1.2 ou mais recente | Essa política ajuda a auditar todos os servidores flexíveis do PostgreSQL em seu ambiente que está em execução com a versão TLS menor que 1.2. | AuditIfNotExists; Desactivado | 1.1.0 |
| A transferência segura para contas de armazenamento deve ser habilitada | Requisito de auditoria da transferência segura em sua conta de storage. A transferência segura é uma opção que força sua conta storage a aceitar solicitações somente de conexões seguras (HTTPS). O uso de HTTPS garante a autenticação entre o servidor e o serviço e protege dados em trânsito de ataques de camada de rede, como ataques intermediários, interceptação e sequestro de sessão | Auditoria; Negar; Desactivado | 2.0.0 |
| Instância Gerenciada de SQL deve ter a versão mínima do TLS 1.2 | Definir a versão mínima do TLS como 1.2 melhora a segurança, garantindo que seus Instância Gerenciada de SQL só possam ser acessados de clientes usando o TLS 1.2. O uso de versões do TLS inferiores à 1.2 não é recomendado, pois elas têm vulnerabilidades de segurança bem documentadas. | Auditoria; Desactivado | 1.0.1 |
| Storage contas devem ter a versão mínima do TLS especificada | Configure uma versão mínima do TLS para comunicação segura entre o aplicativo cliente e a conta storage. Para minimizar o risco de segurança, a versão mínima recomendada do TLS é a mais recente lançada, que é o TLS 1.2. | Auditoria; Negar; Desactivado | 1.0.0 |
| Windows computadores devem ser configurados para usar protocolos de comunicação seguros | Para proteger a privacidade das informações comunicadas pela Internet, os computadores devem usar a última versão do protocolo de criptografia padrão do setor, o protocolo TLS. O TLS protege as comunicações em uma rede criptografando uma conexão entre computadores. | AuditIfNotExists; Desactivado | 4.1.1 |
DP-4: Habilitar a criptografia de dados em repouso por padrão
Para obter mais informações, consulte Proteção de Dados: DP-4: habilitar a criptografia de dados em repouso por padrão.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| A administrador de Microsoft Entra deve ser provisionado para servidores MySQL | Audite o provisionamento de um administrador de Microsoft Entra para o servidor MySQL para habilitar a autenticação Microsoft Entra. Microsoft Entra autenticação permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidade de usuários de banco de dados e outros serviços Microsoft | AuditIfNotExists; Desactivado | 1.1.1 |
| as variáveis de conta Automation devem ser criptografadas | É importante habilitar a criptografia dos ativos variáveis da conta de Automação do Azure ao armazenar dados confidenciais | Auditoria; Negar; Desactivado | 1.1.0 |
| Azure Data Box trabalhos devem habilitar criptografia dupla para dados em repouso no dispositivo | Habilite uma segunda camada de criptografia baseada em software para dados em repouso no dispositivo. O dispositivo já está protegido por meio da criptografia De Criptografia Avançada Standard de 256 bits para dados em repouso. Essa opção adiciona uma segunda camada de criptografia de dados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Dispositivos do Edge Hardware Center devem ter suporte de criptografia dupla habilitado | Verifique se os dispositivos ordenados do Azure Centro de Hardware de Borda têm suporte de criptografia dupla habilitado para proteger os dados em repouso no dispositivo. Essa opção adiciona uma segunda camada de criptografia de dados. | Auditoria; Negar; Desactivado | 2.0.0 |
| Azure HDInsight clusters devem usar criptografia no host para criptografar dados inativos | Habilitar a criptografia no host ajuda a proteger e proteger seus dados para atender aos compromissos de conformidade e segurança organizacional. Quando você habilita a criptografia no host, os dados armazenados no host da VM são criptografados em repouso e os fluxos criptografados para o serviço Storage. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Monitor clusters de logs devem ser criados com criptografia de infraestrutura habilitada (criptografia dupla) | Para garantir que a criptografia de dados segura esteja habilitada no nível de serviço e no nível da infraestrutura com dois algoritmos de criptografia diferentes e duas chaves diferentes, use um cluster Azure Monitor dedicado. Essa opção é habilitada por padrão quando há suporte na região, consulte Azure Monitor chaves gerenciadas pelo cliente. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Azure servidor flexível MySQL deve ter Microsoft Entra Somente Autenticação habilitada | Desabilitar métodos de autenticação local e permitir apenas Microsoft Entra Autenticação melhora a segurança, garantindo que Azure servidor flexível MySQL possa ser acessado exclusivamente por identidades Microsoft Entra. | AuditIfNotExists; Desactivado | 1.0.1 |
| Azure NetApp Files volumes SMB devem usar criptografia SMB3 | Não permite a criação de volumes SMB sem criptografia SMB3 para garantir a integridade dos dados e a privacidade de dados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure NetApp Files Volumes do tipo NFSv4.1 devem usar a criptografia de dados Kerberos | Permitir apenas o uso do modo de segurança de privacidade Kerberos (5p) para garantir que os dados sejam criptografados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Stack Edge dispositivos devem usar criptografia dupla | Para proteger os dados em repouso no dispositivo, verifique se eles são criptografados duas vezes, o access aos dados é controlado e, depois que o dispositivo é desativado, os dados são apagados com segurança dos discos de dados. Criptografia dupla é o uso de duas camadas de criptografia: o BitLocker XTS-AES criptografia de 256 bits nos volumes de dados e criptografia interna dos discos rígidos. Saiba mais na documentação de visão geral de segurança do dispositivo stack edge específico. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Azure Synapse Analytics pools de SQL dedicados devem habilitar a criptografia | Habilite a criptografia de dados transparente para Azure Synapse Analytics pools de SQL dedicados para proteger dados em repouso e atender aos requisitos de conformidade. Observe que habilitar a criptografia de dados transparente para o pool pode afetar o desempenho da consulta. Mais detalhes podem se referir a https://go.microsoft.com/fwlink/?linkid=2147714 | AuditIfNotExists; Desactivado | 1.0.0 |
| As contas dos Serviços Cognitivos devem usar o armazenamento de propriedade do cliente | Use o armazenamento de propriedade do cliente para controlar os dados armazenados em repouso nos Serviços Cognitivos. Para saber mais sobre o armazenamento de propriedade do cliente, acesse https://aka.ms/cogsvc-cmk. | Auditoria; Negar; Desactivado | 2.0.0 |
| A criptografia Disk deve ser habilitada no Azure Data Explorer | Habilitar a criptografia de disco ajuda a proteger e proteger seus dados para atender aos compromissos de conformidade e segurança organizacional. | Auditoria; Negar; Desactivado | 2.0.0 |
| A criptografia Double deve ser habilitada no Azure Data Explorer | A habilitação da criptografia dupla ajuda a proteger seus dados para atender aos compromissos de conformidade e segurança da sua organização. Quando a criptografia dupla foi habilitada, os dados na conta storage são criptografados duas vezes, uma vez no nível do serviço e uma vez no nível da infraestrutura, usando dois algoritmos de criptografia diferentes e duas chaves diferentes. | Auditoria; Negar; Desactivado | 2.0.0 |
| os namespaces Event Hub devem ter criptografia dupla habilitada | A habilitação da criptografia dupla ajuda a proteger seus dados para atender aos compromissos de conformidade e segurança da sua organização. Quando a criptografia dupla foi habilitada, os dados na conta storage são criptografados duas vezes, uma vez no nível do serviço e uma vez no nível da infraestrutura, usando dois algoritmos de criptografia diferentes e duas chaves diferentes. | Auditoria; Negar; Desactivado | 1.0.0 |
| Infrastructure encryption deve ser habilitada para servidores Banco de Dados do Azure para MySQL | Habilite a criptografia de infraestrutura para Banco de Dados do Azure para MySQL servidores tenham um nível mais alto de garantia de que os dados são seguros. Quando a criptografia de infraestrutura é habilitada, os dados em repouso são criptografados duas vezes usando chaves gerenciadas de Microsoft compatíveis com FIPS 140-2. | Auditoria; Negar; Desactivado | 1.0.0 |
| A criptografia Infrastructure deve ser habilitada para servidores Banco de Dados do Azure para PostgreSQL | Habilite a criptografia de infraestrutura para servidores Banco de Dados do Azure para PostgreSQL tenham um nível mais alto de garantia de que os dados são seguros. Quando a criptografia de infraestrutura está habilitada, os dados em repouso são criptografados duas vezes usando chaves gerenciadas em conformidade com FIPS 140-2 Microsoft | Auditoria; Negar; Desactivado | 1.0.0 |
| as máquinas virtuais Linux devem habilitar Azure Disk Encryption ou EncryptionAtHost. | Embora o sistema operacional e os discos de dados de uma máquina virtual sejam criptografados em repouso por padrão usando chaves gerenciadas pela plataforma; discos de recurso (discos temporários), caches de dados e dados que fluem entre recursos de computação e Storage não são criptografados. Use Azure Disk Encryption ou EncryptionAtHost para corrigir. Visite Visão geral das opções de criptografia de disco gerenciado para comparar as ofertas de criptografia. Esta política requer dois pré-requisitos a serem implantados no escopo de atribuição de política. Para obter detalhes, visite Understand Azure Machine Configuration. | AuditIfNotExists; Desactivado | 1.2.1 |
| Managed disks deve ser criptografado duas vezes com chaves gerenciadas por plataforma e gerenciadas pelo cliente | Os clientes confidenciais de alta segurança que estão preocupados com o risco associado a qualquer determinado algoritmo de criptografia, implementação ou chave sendo comprometido podem optar por uma camada adicional de criptografia usando um algoritmo/modo de criptografia diferente na camada de infraestrutura usando chaves de criptografia gerenciadas pela plataforma. Os conjuntos de criptografia de disco são necessários para usar a criptografia dupla. Saiba mais em Server-side encryption of Azure managed disks. | Auditoria; Negar; Desactivado | 1.0.0 |
| Barramento de Serviço namespaces devem ter criptografia dupla habilitada | A habilitação da criptografia dupla ajuda a proteger seus dados para atender aos compromissos de conformidade e segurança da sua organização. Quando a criptografia dupla foi habilitada, os dados na conta storage são criptografados duas vezes, uma vez no nível do serviço e uma vez no nível da infraestrutura, usando dois algoritmos de criptografia diferentes e duas chaves diferentes. | Auditoria; Negar; Desactivado | 1.0.0 |
| os clusters Service Fabric devem ter a propriedade ClusterProtectionLevel definida como EncryptAndSign | O Fabric de serviço fornece três níveis de proteção (None, Sign e EncryptAndSign) para comunicação nó a nó usando um certificado de cluster primário. Defina o nível de proteção para garantir que todas as mensagens de nó a nó sejam criptografadas e assinadas digitalmente | Auditoria; Negar; Desactivado | 1.1.0 |
| Storage contas devem ter criptografia de infraestrutura | Habilite a criptografia de infraestrutura para um nível mais alto de garantia de segurança dos dados. Quando a criptografia de infraestrutura está habilitada, os dados em uma conta de storage são criptografados duas vezes. | Auditoria; Negar; Desactivado | 1.0.0 |
| Temp discos e cache para pools de nós de agente em clusters Serviço de Kubernetes do Azure devem ser criptografados no host | Para aprimorar a segurança de dados, os dados armazenados no host da VM (máquina virtual) de suas VMs de nós Serviço de Kubernetes do Azure devem ser criptografados em repouso. Esse é um requisito comum em muitos padrões de conformidade regulatórias e do setor. | Auditoria; Negar; Desactivado | 1.0.1 |
| Transparent Data Encryption deve estar habilitado para instâncias gerenciadas do Arc SQL. | Habilite a TDE (transparent Data Encryption) em repouso em um Instância Gerenciada de SQL habilitado para Azure Arc. Saiba mais em Enscriptografar um banco de dados com criptografia de dados transparente manualmente em Instância Gerenciada de SQL habilitado pelo Azure Arc. | Auditoria; Desactivado | 1.0.0 |
| Transparent Data Encryption em bancos de dados SQL devem ser habilitados | Transparent data encryption deve ser habilitado para proteger dados inativos e atender aos requisitos de conformidade | AuditIfNotExists; Desactivado | 2.0.0 |
| Virtual machines e virtual machine scale sets devem ter a criptografia no host habilitada | Use a criptografia no host para obter criptografia de ponta a ponta para sua máquina virtual e dados do conjunto de dimensionamento de máquinas virtuais. A criptografia no host habilita a criptografia em repouso para o disco temporário e caches de disco de dados/do sistema operacional. Discos do sistema operacional temporários e efêmeros são criptografados com chaves gerenciadas pela plataforma quando a criptografia no host está habilitada. Caches de disco de dados/do sistema operacional são criptografados em repouso com chave de criptografia gerenciada pela plataforma ou pelo cliente, dependendo do tipo de criptografia selecionado no disco. Saiba mais em Habilitar criptografia de ponta a ponta usando criptografia no host. | Auditoria; Negar; Desactivado | 1.0.0 |
| Windows máquinas virtuais devem habilitar Azure Disk Encryption ou EncryptionAtHost. | Embora o sistema operacional e os discos de dados de uma máquina virtual sejam criptografados em repouso por padrão usando chaves gerenciadas pela plataforma; discos de recurso (discos temporários), caches de dados e dados que fluem entre recursos de computação e Storage não são criptografados. Use Azure Disk Encryption ou EncryptionAtHost para corrigir. Visite Visão geral das opções de criptografia de disco gerenciado para comparar as ofertas de criptografia. Esta política requer dois pré-requisitos a serem implantados no escopo de atribuição de política. Para obter detalhes, visite Understand Azure Machine Configuration. | AuditIfNotExists; Desactivado | 1.1.1 |
DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário
Para obter mais informações, consulte Proteção de Dados: DP-5: use a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| A Configuração de Aplicativos deve usar uma chave gerenciada pelo cliente | As chaves gerenciadas pelo cliente fornecem proteção de dados aprimorada, permitindo que você gerencie suas chaves de criptografia. Isso geralmente é necessário para atender aos requisitos de conformidade. | Auditoria; Negar; Desactivado | 1.1.0 |
| Os serviços do Pesquisa de IA do Azure devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso | Habilitar a criptografia em repouso usando uma chave gerenciada pelo cliente em seus serviços do Pesquisa de IA do Azure fornece controle adicional sobre a chave usada para criptografar dados em repouso. Esse recurso geralmente é aplicável aos clientes que têm requisitos de conformidade especiais para o gerenciamento das chaves de criptografia de dados usando um cofre de chaves. | AuditIfNotExists; Desactivado | 2.1.0 |
| Azure os recursos dos Serviços de IA devem criptografar dados em repouso com uma CMK (chave gerenciada pelo cliente) | O uso de chaves gerenciadas pelo cliente para criptografar dados inativos oferece mais controle sobre o ciclo de vida da chave, incluindo rotação e gerenciamento. Isso é particularmente relevante para organizações com requisitos de conformidade relacionados. Isso não é avaliado por padrão e só deve ser aplicado quando exigido por requisitos de conformidade ou de política restritiva. Se não estiver habilitado, os dados serão criptografados usando chaves gerenciadas pela plataforma. Para implementar isso, atualize o parâmetro "Efeito" na Política de Segurança para o escopo aplicável. | Auditoria; Negar; Desactivado | 2.2.0 |
| Azure API para FHIR deve usar uma chave gerenciada pelo cliente para criptografar dados inativos | Use uma chave gerenciada pelo cliente para controlar a criptografia em repouso dos dados armazenados em Azure API para FHIR quando esse for um requisito regulatório ou de conformidade. As chaves gerenciadas pelo cliente também fornecem criptografia dupla adicionando uma segunda camada de criptografia sobre a padrão feita com chaves gerenciadas pelo serviço. | auditoria; Auditoria; desactivado; Desactivado | 1.1.0 |
| Automação do Azure contas devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de suas contas de Automação do Azure. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Encryption de ativos seguros em Automação do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| Lote do Azure conta deve usar chaves gerenciadas pelo cliente para criptografar dados | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos dados da sua conta do Lote. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais na criptografia de dados da conta do Lote. | Auditoria; Negar; Desactivado | 1.0.1 |
| Cache do Azure para Redis Enterprise deve usar chaves gerenciadas pelo cliente para criptografar dados de disco | Use chaves gerenciadas pelo cliente (CMK) para gerenciar a criptografia do restante dos seus dados em disco. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pela plataforma (PMK), mas as chaves gerenciadas pelo cliente geralmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Configure disk encryption in Cache do Azure para Redis. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure grupo de contêineres da Instância de Contêiner deve usar a chave gerenciada pelo cliente para criptografia | Proteja seus contêineres com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar access à chave que criptografa seus dados. O uso de chaves gerenciadas pelo cliente fornece funcionalidades adicionais para controlar a rotação da principal chave de criptografia ou para apagar dados criptograficamente. | Auditoria; Desactivado; Negar | 1.0.0 |
| Azure Cosmos DB contas devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do Azure Cosmos DB. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Configurar chaves de Customer-Managed. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Azure Data Box trabalhos devem usar uma chave gerenciada pelo cliente para criptografar a senha de desbloqueio do dispositivo | Use uma chave gerenciada pelo cliente para controlar a criptografia da senha de desbloqueio do dispositivo para Azure Data Box. As chaves gerenciadas pelo cliente também ajudam a gerenciar access para o dispositivo desbloquear senha pelo serviço Data Box, a fim de preparar o dispositivo e copiar dados de maneira automatizada. Os dados no próprio dispositivo já estão criptografados em repouso com criptografia De Criptografia Avançada Standard de 256 bits e a senha de desbloqueio do dispositivo é criptografada por padrão com uma chave gerenciada Microsoft. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Data Explorer criptografia em repouso deve usar uma chave gerenciada pelo cliente | Habilitar a criptografia em repouso usando uma chave gerenciada pelo cliente em seu cluster Azure Data Explorer fornece controle adicional sobre a chave que está sendo usada pela criptografia em repouso. Esse recurso geralmente é aplicável aos clientes com requisitos especiais de conformidade e requer uma Key Vault para gerenciar as chaves. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure data factories devem ser criptografados com uma chave gerenciada pelo cliente | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do Azure Data Factory. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Encrypt Azure Data Factory com chave gerenciada pelo cliente. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Databricks workspaces devem ser SKU Premium que dá suporte a recursos como link privado, chave gerenciada pelo cliente para criptografia | Permitir apenas o workspace do Databricks com o Sku Premium que sua organização pode implantar para dar suporte a recursos como Link Privado, chave gerenciada pelo cliente para criptografia. Saiba mais em: Configuração privada de back-end doConfigure para Azure Databricks. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure contas de Atualização de Dispositivo devem usar a chave gerenciada pelo cliente para criptografar dados inativos | A criptografia de dados em repouso no Azure Atualização de Dispositivo com chave gerenciada pelo cliente adiciona uma segunda camada de criptografia sobre as chaves gerenciadas por serviço padrão, permite que o cliente controle chaves, políticas de rotação personalizadas e capacidade de gerenciar o acesso aos dados por meio do controle de acesso de chave. Saiba mais em: CriptografiaData para Atualização de Dispositivo para Hub IoT. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure HDInsight clusters devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus clusters Azure HDInsight. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Criptografia dupla para dados em repouso. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Health Bots devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use as CMK (chaves gerenciadas pelo cliente) para gerenciar a criptografia em repouso dos dados de seus healthbots. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas o CMK geralmente é necessário para atender aos padrões de conformidade regulatória. O CMK permite que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Configure Customer Managed Keys for data encryption in healthcare agent service | Auditoria; Desactivado | 1.0.0 |
| Azure recurso de teste de carga deve usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use cmk (chaves gerenciadas pelo cliente) para gerenciar a criptografia em repouso para o recurso de Teste de Carga do Azure. Por padrão, o encryptio é feito usando chaves gerenciadas pelo serviço, chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Configurar chaves gerenciadas pelo cliente para Teste de Carga do Azure com Azure Key Vault. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Machine Learning workspaces devem ser criptografados com uma chave gerenciada pelo cliente | Gerencie a criptografia em repouso Azure Machine Learning dados do workspace com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Criar um workspace com Azure Resource Manager modelo. | Auditoria; Negar; Desactivado | 1.1.0 |
| Azure Machine Learning workspaces devem ser criptografados com o uso de uma chave gerenciada pelo cliente | Gerencie a criptografia em repouso Azure Machine Learning dados do workspace com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Criar um workspace com Azure Resource Manager modelo. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Monitor Os clusters de logs devem ser criptografados com chave gerenciada pelo cliente | Crie Azure Monitor cluster de logs com criptografia de chaves gerenciadas pelo cliente. Por padrão, os dados do log são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender à conformidade regulatória. A chave gerenciada pelo cliente no Azure Monitor oferece mais controle sobre o acesso aos dados, consulte Configurar chaves gerenciadas pelo cliente no Azure Monitor. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| [Versão prévia]: os cofres dos Serviços de Recuperação do Azure devem usar chaves gerenciadas pelo cliente para criptografar dados de backup | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos seus dados de backup. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em https://aka.ms/AB-CmkEncryption. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| [Versão prévia]: Azure Stack sistemas HCI devem ter volumes criptografados | Use o BitLocker para criptografar o sistema operacional e os volumes de dados em sistemas Azure Stack HCI. | Auditoria; Desactivado; AuditIfNotExists | 1.0.0-preview |
| Azure Stream Analytics trabalhos devem usar chaves gerenciadas pelo cliente para criptografar dados | Use chaves gerenciadas pelo cliente quando quiser armazenar com segurança todos os metadados e ativos de dados privados de seus trabalhos do Stream Analytics em sua conta storage. Isso fornece controle total sobre como os dados do Stream Analytics são criptografados. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Azure Synapse workspaces devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para controlar a criptografia em repouso dos dados armazenados em Azure Synapse workspaces. As chaves gerenciadas pelo cliente fornecem criptografia dupla adicionando uma segunda camada de criptografia sobre a criptografia padrão com chaves gerenciadas pelo serviço. | Auditoria; Negar; Desactivado | 1.0.0 |
| Serviço de Bot deve ser criptografado com uma chave gerenciada pelo cliente | Azure Serviço de Bot criptografa automaticamente seu recurso para proteger seus dados e atender aos compromissos de segurança e conformidade da organização. Por padrão, chaves de criptografia gerenciadas por Microsoft são usadas. Para obter maior flexibilidade no gerenciamento de chaves ou no controle de access à sua assinatura, selecione chaves gerenciadas pelo cliente, também conhecidas como BYOK (traga sua própria chave). Saiba mais sobre Azure Serviço de Bot criptografia: criptografia Serviço de Bot de IA do Azure para dados em repouso. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| os sistemas operacionais Both e discos de dados em clusters Serviço de Kubernetes do Azure devem ser criptografados por chaves gerenciadas pelo cliente | Criptografar o sistema operacional e os discos de dados usando chaves gerenciadas pelo cliente dá mais controle e flexibilidade no gerenciamento de chaves. Esse é um requisito comum em muitos padrões de conformidade regulatórias e do setor. | Auditoria; Negar; Desactivado | 1.0.1 |
| Container os registros devem ser criptografados com uma chave gerenciada pelo cliente | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso no conteúdo dos seus Registros. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Customer-Managed Keys for Registro de Contêiner do Azure. | Auditoria; Negar; Desactivado | 1.1.2 |
| A criptografia de chave gerenciada doCustomer deve ser usada como parte da Criptografia CMK para instâncias gerenciadas do Arc SQL. | Como parte da criptografia CMK, a criptografia de chave gerenciada pelo cliente deve ser usada. Saiba mais em Enscriptografar um banco de dados com criptografia de dados transparente manualmente em Instância Gerenciada de SQL habilitado pelo Azure Arc. | Auditoria; Desactivado | 1.0.0 |
| DICOM Service deve usar uma chave gerenciada pelo cliente para criptografar dados inativos | Use uma chave gerenciada pelo cliente para controlar a criptografia em repouso dos dados armazenados em Serviços de Dados de Saúde do Azure Serviço DICOM quando esse for um requisito regulatório ou de conformidade. As chaves gerenciadas pelo cliente também fornecem criptografia dupla adicionando uma segunda camada de criptografia sobre a padrão feita com chaves gerenciadas pelo serviço. | Auditoria; Desactivado | 1.0.0 |
| ElasticSan Volume Group deve usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do VolumeGroup. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pela plataforma, mas os CMKs geralmente são necessários para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você, com controle total e responsabilidade, incluindo rotação e gerenciamento. | Auditoria; Desactivado | 1.0.0 |
| os namespaces Event Hub devem usar uma chave gerenciada pelo cliente para criptografia | Hubs de Eventos do Azure dá suporte à opção de criptografar dados em repouso com chaves gerenciadas por Microsoft (padrão) ou chaves gerenciadas pelo cliente. A escolha de criptografar dados usando chaves gerenciadas pelo cliente permite atribuir, girar, desabilitar e revogar access às chaves que o Hub de Eventos usará para criptografar dados em seu namespace. Observe que o Hub de Eventos dá suporte apenas à criptografia com chaves gerenciadas pelo cliente para namespaces em clusters dedicados. | Auditoria; Desactivado | 1.0.0 |
| FHIR Service deve usar uma chave gerenciada pelo cliente para criptografar dados inativos | Use uma chave gerenciada pelo cliente para controlar a criptografia em repouso dos dados armazenados no serviço Serviços de Dados de Saúde do Azure FHIR quando esse for um requisito regulatório ou de conformidade. As chaves gerenciadas pelo cliente também fornecem criptografia dupla adicionando uma segunda camada de criptografia sobre a padrão feita com chaves gerenciadas pelo serviço. | Auditoria; Desactivado | 1.0.0 |
| Fluid Relay deve usar chaves gerenciadas pelo cliente para criptografar dados em repouso | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do servidor de Retransmissão fluida. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas os CMKs geralmente são necessários para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você, com controle total e responsabilidade, incluindo rotação e gerenciamento. Saiba mais em Chaves gerenciadas peloCustomer para criptografia Azure Fluid Relay. | Auditoria; Desactivado | 1.0.0 |
| HPC Cache contas devem usar a chave gerenciada pelo cliente para criptografia | Gerencie a criptografia em repouso Azure HPC Cache com chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. | Auditoria; Desactivado; Negar | 2.0.0 |
| [Versão prévia]: Os dados do Serviço de Provisionamento de Dispositivos do Hub IoT devem ser criptografados usando CMKs (chaves gerenciadas pelo cliente) | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do serviço de provisionamento de dispositivos Hub IoT. Os dados são criptografados automaticamente em repouso com chaves gerenciadas pelo serviço, mas as CMK (chaves gerenciadas pelo cliente) geralmente são necessárias para atender aos padrões de conformidade regulatória. Os CMKs permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Saiba mais sobre a criptografia CMK em https://aka.ms/dps/CMK. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| Logic Apps Integration Service Environment deve ser criptografado com chaves gerenciadas pelo cliente | Implante no Ambiente do Serviço de Integração para gerenciar a criptografia em repouso dos dados dos Aplicativos Lógicos usando chaves gerenciadas pelo cliente. Por padrão, os dados do cliente são criptografados com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. | Auditoria; Negar; Desactivado | 1.0.0 |
| Managed disks deve ser criptografado duas vezes com chaves gerenciadas por plataforma e gerenciadas pelo cliente | Os clientes confidenciais de alta segurança que estão preocupados com o risco associado a qualquer determinado algoritmo de criptografia, implementação ou chave sendo comprometido podem optar por uma camada adicional de criptografia usando um algoritmo/modo de criptografia diferente na camada de infraestrutura usando chaves de criptografia gerenciadas pela plataforma. Os conjuntos de criptografia de disco são necessários para usar a criptografia dupla. Saiba mais em Server-side encryption of Azure managed disks. | Auditoria; Negar; Desactivado | 1.0.0 |
| Managed disks deve usar um conjunto específico de conjuntos de criptografia de disco para a criptografia de chave gerenciada pelo cliente | Exigir que um conjunto específico de conjuntos de criptografia de disco seja usado com managed disks fornecer controle sobre as chaves usadas para criptografia em repouso. Você pode selecionar os conjuntos criptografados permitidos, e todos os outros são rejeitados quando anexados a um disco. Saiba mais em Server-side encryption of Azure managed disks. | Auditoria; Negar; Desactivado | 2.0.0 |
| os servidores MySQL devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores MySQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. | AuditIfNotExists; Desactivado | 1.0.4 |
| OS e discos de dados devem ser criptografados com uma chave gerenciada pelo cliente | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso do conteúdo do managed disks. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pela plataforma, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais em Server-side encryption of Azure managed disks. | Auditoria; Negar; Desactivado | 3.0.0 |
| PostgreSQL servidores flexíveis devem usar chaves gerenciadas pelo cliente para criptografar dados em repouso | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos servidores flexíveis do PostgreSQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. | Auditoria; Negar; Desactivado | 1.1.0 |
| PostgreSQL deve usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso de seus servidores PostgreSQL. Por padrão, os dados são criptografados em repouso com chaves gerenciadas pelo serviço, mas as chaves gerenciadas pelo cliente normalmente são necessárias para atender aos padrões de conformidade regulatória. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave Azure Key Vault criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. | AuditIfNotExists; Desactivado | 1.0.4 |
| Queue Storage deve usar a chave gerenciada pelo cliente para criptografia | Proteja sua fila storage com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar access à chave que criptografa seus dados. O uso de chaves gerenciadas pelo cliente fornece funcionalidades adicionais para controlar a rotação da principal chave de criptografia ou para apagar dados criptograficamente. | Auditoria; Negar; Desactivado | 1.0.0 |
| os namespaces Barramento de Serviço Premium devem usar uma chave gerenciada pelo cliente para criptografia | Barramento de Serviço do Azure dá suporte à opção de criptografar dados em repouso com chaves gerenciadas por Microsoft (padrão) ou chaves gerenciadas pelo cliente. Optar por criptografar dados usando chaves gerenciadas pelo cliente permite atribuir, girar, desabilitar e revogar o acesso às chaves que Barramento de Serviço usarão para criptografar dados em seu namespace. Observe que Barramento de Serviço dá suporte apenas à criptografia com chaves gerenciadas pelo cliente para namespaces premium. | Auditoria; Desactivado | 1.0.0 |
| Instâncias gerenciadas do SQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Implementar Transparent Data Encryption (TDE) com sua própria chave fornece maior transparência e controle sobre o Protetor de TDE, maior segurança com um serviço externo apoiado por HSM e promoção da separação de tarefas. Essa recomendação se aplica a organizações com um requisito de conformidade relacionado. | Auditoria; Negar; Desactivado | 2.0.0 |
| os servidores SQL devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Implementar Transparent Data Encryption (TDE) com sua própria chave fornece maior transparência e controle sobre o Protetor de TDE, maior segurança com um serviço externo apoiado por HSM e promoção da separação de tarefas. Essa recomendação se aplica a organizações com um requisito de conformidade relacionado. | Auditoria; Negar; Desactivado | 2.0.1 |
| A conta de armazenamento que possui o contêiner com os logs de atividade deve ser criptografada com BYOK | Essa política auditará se a conta de armazenamento que possui o contêiner com logs de atividades estiver criptografada com BYOK. A política funcionará apenas se a conta de armazenamento estiver na mesma assinatura dos logs de atividades por design. Mais informações sobre Armazenamento do Azure criptografia em repouso podem ser encontradas aqui https://aka.ms/azurestoragebyok. | AuditIfNotExists; Desactivado | 1.0.0 |
| Storage escopos de criptografia de conta devem usar chaves gerenciadas pelo cliente para criptografar dados inativos | Use chaves gerenciadas pelo cliente para gerenciar a criptografia em repouso dos escopos de criptografia da conta storage. As chaves gerenciadas pelo cliente permitem que os dados sejam criptografados com uma chave do cofre de chaves Azure criada e de propriedade de você. Você tem total controle e responsabilidade pelo ciclo de vida chave, incluindo rotação e gerenciamento. Saiba mais sobre storage escopos de criptografia de conta em escopos Encryption para Blob storage. | Auditoria; Negar; Desactivado | 1.0.0 |
| Storage escopos de criptografia de conta devem usar criptografia dupla para dados em repouso | Habilite a criptografia de infraestrutura para criptografia em repouso dos escopos de criptografia da conta storage para adicionar segurança. A criptografia de infraestrutura garante que seus dados sejam criptografados duas vezes. | Auditoria; Negar; Desactivado | 1.0.0 |
| Storage contas devem usar a chave gerenciada pelo cliente para criptografia | Proteja seu blob e storage conta com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar access à chave que criptografa seus dados. O uso de chaves gerenciadas pelo cliente fornece funcionalidades adicionais para controlar a rotação da principal chave de criptografia ou para apagar dados criptograficamente. | Auditoria; Desactivado | 1.0.3 |
| Table Storage deve usar a chave gerenciada pelo cliente para criptografia | Proteja sua tabela storage com maior flexibilidade usando chaves gerenciadas pelo cliente. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar access à chave que criptografa seus dados. O uso de chaves gerenciadas pelo cliente fornece funcionalidades adicionais para controlar a rotação da principal chave de criptografia ou para apagar dados criptograficamente. | Auditoria; Negar; Desactivado | 1.0.0 |
DP-6: Use um processo seguro de gerenciamento de chaves
Para obter mais informações, consulte Proteção de Dados: DP-6: use um processo de gerenciamento de chave segura.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Os valores secretos nomeados do Gerenciamento de API devem ser armazenados no Azure Key Vault | Os valores nomeados são uma coleção de pares de nome e valor em cada serviço API Management. Os valores secretos podem ser armazenados como texto criptografado no Gerenciamento de API (segredos personalizados) ou referenciando segredos em Azure Key Vault. Para melhorar a segurança do Gerenciamento de API e segredos, faça referência a valores nomeados do segredo de Azure Key Vault. Azure Key Vault dá suporte ao gerenciamento de acesso granular e a políticas de rotação de segredo. | Auditoria; Desactivado; Negar | 1.0.2 |
| Azure Cosmos DB contas não devem exceder o número máximo de dias permitidos desde a regeneração de chave da última conta. | Regenere suas chaves no tempo especificado para manter seus dados mais protegidos. | Auditoria; Desactivado | 1.0.0 |
| Azure Data Factory serviços vinculados devem usar Key Vault para armazenar segredos | Para garantir que os segredos (como cadeias de conexão) sejam gerenciados com segurança, exija que os usuários forneçam segredos usando um Azure Key Vault em vez de especificá-los embutidos em serviços vinculados. | Auditoria; Negar; Desactivado | 1.0.0 |
| [Versão prévia]: Azure Key Vault chaves HSM Gerenciadas devem ter uma data de validade | Para usar essa política na versão prévia, primeiro siga estas instruções em https://aka.ms/mhsmgovernance. As chaves de criptografia devem ter uma data de validade definida e não ser permanentes. As chaves válidas para sempre dão a um invasor potencial mais tempo para comprometer a chave. Uma prática de segurança recomendada é definir as datas de validade em chaves de criptografia. | Auditoria; Negar; Desactivado | 1.0.1-preview |
| [Versão prévia]: Azure Key Vault chaves HSM gerenciadas devem ter mais do que o número especificado de dias antes da expiração | Para usar essa política na versão prévia, primeiro siga estas instruções em https://aka.ms/mhsmgovernance. Se uma chave estiver muito próxima da validade, um atraso organizacional para fazer a rotação da chave poderá resultar em uma interrupção. As chaves devem ser rotacionadas em um número de dias especificado antes do vencimento para garantir tempo suficiente para reagir a uma falha. | Auditoria; Negar; Desactivado | 1.0.1-preview |
| [Versão prévia]: Azure Key Vault chaves HSM gerenciadas usando criptografia de curva elíptica devem ter os nomes de curva especificados | Para usar essa política na versão prévia, primeiro siga estas instruções em https://aka.ms/mhsmgovernance. As chaves com suporte da criptografia de curva elíptica podem ter nomes de curva diferentes. Alguns aplicativos são compatíveis apenas com chaves de curva elíptica específicas. Imponha os tipos de chaves de curva elíptica que podem ser criados em seu ambiente. | Auditoria; Negar; Desactivado | 1.0.1-preview |
| [Versão prévia]: Azure Key Vault chaves HSM gerenciadas usando criptografia RSA devem ter um tamanho de chave mínimo especificado | Para usar essa política na versão prévia, primeiro siga estas instruções em https://aka.ms/mhsmgovernance. Defina o tamanho mínimo de chave permitido para uso com seus cofres de chaves. O uso de chaves RSA com tamanhos de chave pequenos não é uma prática segura e não atende a vários requisitos de certificação do setor. | Auditoria; Negar; Desactivado | 1.0.1-preview |
| O HSM Gerenciado do Azure Key Vault deve ter a proteção contra exclusão habilitada | A exclusão mal-intencionada de um HSM Gerenciado do Azure Key Vault pode levar à perda permanente de dados. Um funcionário mal-intencionado na sua organização pode potencialmente excluir e limpar o HSM Gerenciado do Azure Key Vault. A proteção contra limpeza protege você contra ataques internos impondo um período de retenção obrigatório para o HSM Gerenciado do Azure Key Vault de exclusão temporária. Ninguém dentro da sua organização nem a Microsoft poderá limpar o HSM Gerenciado do Azure Key Vault durante o período de retenção de exclusão temporária. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Clusters kubernetes devem habilitar o KMS (Serviço de Gerenciamento de Chaves) | Use o KMS (Serviço de Gerenciamento de Chaves) para criptografar dados secretos inativos no etcd para a segurança de cluster do Kubernetes. Saiba mais em: https://aka.ms/aks/kmsetcdencryption. | Auditoria; Desactivado | 1.1.0 |
| Key Vault chaves devem ter uma data de validade | As chaves de criptografia devem ter uma data de validade definida e não ser permanentes. As chaves válidas para sempre dão a um invasor potencial mais tempo para comprometer a chave. Uma prática de segurança recomendada é definir as datas de validade em chaves de criptografia. | Auditoria; Negar; Desactivado | 1.0.2 |
| Key Vault segredos devem ter uma data de validade | Os segredos devem ter uma data de validade definida e não ser permanentes. Os segredos são válidos para sempre dão a um invasor potencial mais tempo para comprometê-las. Uma prática de segurança recomendada é definir datas de validade nos segredos. | Auditoria; Negar; Desactivado | 1.0.2 |
| As chaves devem contar com o suporte de um HSM (módulo de segurança de hardware) | Um HSM é um módulo de segurança de hardware que armazena chaves. Um HSM fornece uma camada física de proteção para chaves de criptografia. A chave de criptografia não pode sair de um HSM físico, o que fornece um nível maior de segurança do que uma chave de software. | Auditoria; Negar; Desactivado | 1.0.1 |
| As chaves devem ser do tipo de criptografia especificado, RSA ou EC | Alguns aplicativos exigem o uso de chaves com suporte de um tipo de criptografia específico. Imponha um tipo de chave de criptografia específico, RSA ou EC, em seu ambiente. | Auditoria; Negar; Desactivado | 1.0.1 |
| Keys devem ter uma política de rotação garantindo que sua rotação seja agendada dentro do número especificado de dias após a criação. | Gerencie seus requisitos de conformidade organizacional especificando o número máximo de dias necessários para a rotação da chave após a criação. | Auditoria; Desactivado | 1.0.0 |
| As chaves devem ter um número maior de dias do que o especificado até a validade | Se uma chave estiver muito próxima da validade, um atraso organizacional para fazer a rotação da chave poderá resultar em uma interrupção. As chaves devem ser rotacionadas em um número de dias especificado antes do vencimento para garantir tempo suficiente para reagir a uma falha. | Auditoria; Negar; Desactivado | 1.0.1 |
| Keys deve ter o período de validade máximo especificado | Gerencie seus requisitos de conformidade organizacional especificando a quantidade máxima de tempo em dias em que uma chave pode ser válida em seu key vault. | Auditoria; Negar; Desactivado | 1.0.1 |
| Keys não devem estar ativos por mais tempo do que o número especificado de dias | Especifique o número de dias pelos quais uma chave deve estar ativa. As chaves usadas por um longo período de tempo aumentam a probabilidade de um invasor comprometer a chave. Como uma boa prática de segurança, verifique se suas chaves não estão ativas por mais de dois anos. | Auditoria; Negar; Desactivado | 1.0.1 |
| As chaves que usam a criptografia de curva elíptica devem ter os nomes de curva permitidos | As chaves com suporte da criptografia de curva elíptica podem ter nomes de curva diferentes. Alguns aplicativos são compatíveis apenas com chaves de curva elíptica específicas. Imponha os tipos de chaves de curva elíptica que podem ser criados em seu ambiente. | Auditoria; Negar; Desactivado | 1.0.1 |
| As chaves que usam a criptografia RSA devem ter o tamanho mínimo da chave especificado | Defina o tamanho mínimo de chave permitido para uso com seus cofres de chaves. O uso de chaves RSA com tamanhos de chave pequenos não é uma prática segura e não atende a vários requisitos de certificação do setor. | Auditoria; Negar; Desactivado | 1.0.1 |
| Secrets devem ter mais do que o número especificado de dias antes da expiração | Se um segredo estiver muito próximo da validade, um atraso organizacional para fazer a rotação do segredo poderá resultar em uma interrupção. A rotação dos segredos deve ser feita em um número de dias especificado antes da validade para que haja tempo suficiente para reagir a uma falha. | Auditoria; Negar; Desactivado | 1.0.1 |
| Secrets devem ter o período de validade máximo especificado | Gerencie seus requisitos de conformidade organizacional especificando a quantidade máxima de tempo em dias em que um segredo pode ser válido em seu key vault. | Auditoria; Negar; Desactivado | 1.0.1 |
| Secrets não devem estar ativos por mais tempo do que o número especificado de dias | Se os seus segredos foram criados com uma data de ativação futura definida, verifique se eles não estão ativos há mais tempo do que a duração especificada. | Auditoria; Negar; Desactivado | 1.0.1 |
| Storage chaves de conta não devem expirar | Verifique se o usuário storage chaves de conta não expirarem quando a política de expiração de chave estiver definida, para melhorar a segurança das chaves de conta, tomando medidas quando as chaves expirarem. | Auditoria; Negar; Desactivado | 3.0.0 |
DP-7: usar um processo seguro de gerenciamento de certificados
Para obter mais informações, consulte Proteção de Dados: DP-7: use um processo seguro de gerenciamento de certificados.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Os certificados devem ser emitidos pela autoridade de certificação integrada especificada | Gerenciar seus requisitos de conformidade organizacional especificando as autoridades de certificação integradas do Azure que podem emitir certificados no cofre de chaves, como Digicert ou GlobalSign. | Auditoria; Negar; Desactivado | 2.1.0 |
| Os certificados devem ser emitidos pela autoridade de certificação não integrada especificada | Gerenciar seus requisitos de conformidade organizacional especificando as autoridades de certificação personalizadas ou internas que podem emitir certificados no cofre de chaves. | Auditoria; Negar; Desactivado | 2.1.1 |
| Os certificados devem ter os gatilhos de ação de tempo de vida especificados | Gerenciar seus requisitos de conformidade organizacional especificando se uma ação de tempo de vida do certificado é disparada em um percentual específico do tempo de vida ou em um determinado número de dias antes da expiração. | Auditoria; Negar; Desactivado | 2.1.0 |
| Certificates devem ter o período de validade máximo especificado | Gerencie seus requisitos de conformidade organizacional especificando o tempo máximo que um certificado pode ser válido em sua key vault. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 2.2.1 |
| Certificates devem ter o período de validade máximo especificado | Gerencie seus requisitos de conformidade organizacional especificando o tempo máximo que um certificado pode ser válido em sua key vault. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 2.2.1 |
| Certificates não devem expirar dentro do número especificado de dias | Gerenciar os certificados que expirarão após um número especificado de dias para verificar se a organização tem tempo suficiente para mudar de certificado antes da expiração. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 2.1.1 |
| Os certificados devem usar os tipos de chave permitidos | Gerenciar seus requisitos de conformidade organizacional restringindo os tipos de chave permitidos para certificados. | Auditoria; Negar; Desactivado | 2.1.0 |
| Os certificados que usam a criptografia de curva elíptica devem ter nomes de curva permitidos | Gerenciar os nomes de curva elíptica permitidos para os Certificados ECC armazenados no cofre de chaves. Pode encontrar mais informações em https://aka.ms/akvpolicy. | Auditoria; Negar; Desactivado | 2.1.0 |
| Os certificados que usam a criptografia RSA devem ter o tamanho mínimo de chave especificado | Gerenciar seus requisitos de conformidade organizacional especificando um tamanho mínimo de chave para os certificados RSA armazenados no cofre de chaves. | Auditoria; Negar; Desactivado | 2.1.0 |
DP-8: garantir a segurança do repositório de chaves e certificados
Para obter mais informações, consulte Proteção de Dados: DP-8: garantir a segurança da chave e do repositório de certificados.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para Key Vault devem ser habilitados | Azure Defender para Key Vault fornece uma camada adicional de proteção e inteligência de segurança detectando tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas key vault. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Key Vault deve ter o firewall habilitado ou o acesso à rede pública desabilitado | Habilite o firewall key vault para que o key vault não seja acessível por padrão a nenhum IPs públicos ou desabilite access de rede pública para seu key vault para que ele não seja acessível pela Internet pública. Opcionalmente, você pode configurar intervalos de IP específicos para limitar access a essas redes. Saiba mais em: Network security for Azure Key Vault and Integrate Key Vault with Link Privado do Azure | Auditoria; Negar; Desactivado | 3.3.0 |
| Azure Key Vaults devem usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para key vault, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Integrate Key Vault com Link Privado do Azure. | Auditoria; Negar; Desactivado | 1.2.1 |
| os cofres Key devem ter a proteção de exclusão habilitada | A exclusão mal-intencionada de um key vault pode levar à perda permanente de dados. Você pode evitar a perda permanente de dados habilitando a proteção contra limpeza e a exclusão temporária. A proteção de limpeza protege você contra ataques de invasores impondo um período de retenção obrigatório para cofres de chaves de exclusão temporária. Ninguém dentro de sua organização ou Microsoft poderá limpar seus cofres de chaves durante o período de retenção de exclusão reversível. Lembre-se de que os cofres de chaves criados após 1º de setembro de 2019 têm a exclusão temporária habilitada por padrão. | Auditoria; Negar; Desactivado | 2.1.0 |
| os cofres Key devem ter a exclusão reversível habilitada | Excluir um key vault sem exclusão reversível habilitada exclui permanentemente todos os segredos, chaves e certificados armazenados no key vault. A exclusão acidental de um key vault pode levar à perda permanente de dados. A exclusão reversível permite que você recupere um key vault excluído acidentalmente por um período de retenção configurável. | Auditoria; Negar; Desactivado | 3.1.0 |
| os logs Resource no Key Vault devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| Os segredos devem ter o tipo de conteúdo definido | Uma marca de tipo de conteúdo ajuda a identificar se um segredo é uma senha, uma cadeia de conexão etc. Segredos diferentes têm requisitos de rotação diferentes. A marca de tipo de conteúdo deve ser definida nos segredos. | Auditoria; Negar; Desactivado | 1.0.1 |
DS-6: proteger o ciclo de vida da carga de trabalho
Para obter mais informações, consulte DevOps Security: DS-6: Proteger o ciclo de vida da carga de trabalho.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure imagens de contêiner do Registro devem ter vulnerabilidades resolvidas (alimentadas por Gerenciamento de Vulnerabilidades do Microsoft Defender) | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. | AuditIfNotExists; Desactivado | 1.0.1 |
| Azure imagens de contêiner em execução devem ter vulnerabilidades resolvidas (alimentadas por Gerenciamento de Vulnerabilidades do Microsoft Defender) | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para melhorar sua postura de segurança, reduzindo significativamente o ataque surface para suas cargas de trabalho em contêineres. | AuditIfNotExists; Desactivado | 1.0.1 |
ES-1: Usar EDR (Detecção e Resposta de Endpoint)
Para obter mais informações, consulte Endpoint Security: ES-1: Use EDR (Detecção e Resposta de Ponto de Extremidade).
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para servidores devem ser habilitados | Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. | AuditIfNotExists; Desactivado | 1.0.3 |
| [Versão prévia]: implantar Microsoft Defender para Ponto de Extremidade agente em computadores híbridos linux | Implanta Microsoft Defender para Ponto de Extremidade agente em computadores híbridos do Linux | DeployIfNotExists; AuditIfNotExists; Desativado | 2.0.1-preview |
| [Versão prévia]: implantar Microsoft Defender para Ponto de Extremidade agente em máquinas virtuais linux | Implanta Microsoft Defender para Ponto de Extremidade agente em imagens de VM do Linux aplicáveis. | DeployIfNotExists; AuditIfNotExists; Desativado | 3.0.0-preview |
| [Versão prévia]: implantar Microsoft Defender para Ponto de Extremidade agente em computadores Windows Azure Arc | Implanta Microsoft Defender para Ponto de Extremidade em computadores Windows Azure Arc. | DeployIfNotExists; AuditIfNotExists; Desativado | 2.0.1-preview |
| [Versão prévia]: implantar Microsoft Defender para Ponto de Extremidade agente em máquinas virtuais Windows | Implanta Microsoft Defender para Ponto de Extremidade em imagens de VM Windows aplicáveis. | DeployIfNotExists; AuditIfNotExists; Desativado | 2.0.1-preview |
ES-2: Usar software antimalware moderno
Para obter mais informações, consulte Endpoint Security: ES-2: Use software antimalware moderno.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Microsoft Antimalware para Azure deve ser configurado para atualizar automaticamente as assinaturas de proteção | Essa política audita qualquer máquina virtual Windows não configurada com a atualização automática de assinaturas de proteção antimalware Microsoft. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft extensão IaaSAntimalware deve ser implantada em servidores Windows | Essa política audita qualquer VM do servidor Windows sem Microsoft extensão IaaSAntimalware implantada. | AuditIfNotExists; Desactivado | 1.1.0 |
| Windows Defender Exploit Guard deve estar habilitado em seus computadores | Windows Defender Exploit Guard usa o agente de Configuração de Convidado do Azure Policy. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas balanceem seus requisitos de risco de segurança e produtividade (apenas Windows). | AuditIfNotExists; Desactivado | 2.0.0 |
IM-1: usar um sistema centralizado de identidade e autenticação
Para obter mais informações, consulte O Gerenciamento de Identidades: IM-1: use o sistema de autenticação e identidade centralizado.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| A administrador de Microsoft Entra deve ser provisionado para servidores PostgreSQL | Audite o provisionamento de um administrador Microsoft Entra para seu servidor PostgreSQL para habilitar a autenticação Microsoft Entra. Microsoft Entra autenticação permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidade de usuários de banco de dados e outros serviços Microsoft | AuditIfNotExists; Desactivado | 1.0.1 |
| Um administrador de Azure Active Directory deve ser provisionado para servidores SQL | Audite o provisionamento de um administrador de Azure Active Directory para seu SQL Server para habilitar Azure autenticação do AD. Azure autenticação do AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços Microsoft | AuditIfNotExists; Desactivado | 1.0.0 |
| Os aplicativos do Serviço de Aplicativo devem ter a autenticação habilitada | Serviço de Aplicativo do Azure Autenticação é um recurso que pode impedir que solicitações HTTP anônimas cheguem ao aplicativo Web ou autentique aqueles que têm tokens antes de chegarem ao aplicativo Web. | AuditIfNotExists; Desactivado | 2.0.1 |
| App Service aplicativos devem ter métodos de autenticação locais desabilitados para implantações ftp | Desabilitar métodos de autenticação local para implantações ftp melhora a segurança, garantindo que os Serviços de Aplicativo exijam exclusivamente Microsoft Entra identidades para autenticação. Saiba mais em: Disabling basic auth on App Service. | AuditIfNotExists; Desactivado | 1.0.3 |
| App Service aplicativos devem ter métodos de autenticação locais desabilitados para implantações de site do SCM | Desabilitar métodos de autenticação local para sites SCM melhora a segurança, garantindo que os Serviços de Aplicativo exijam exclusivamente Microsoft Entra identidades para autenticação. Saiba mais em: Disabling basic auth on App Service. | AuditIfNotExists; Desactivado | 1.0.3 |
| os componentes do Application Insights devem bloquear ingestão não baseada em Azure Active Directory. | A imposição da ingestão de log para exigir Azure Active Directory autenticação impede logs não autenticados de um invasor, o que pode levar a status incorreto, alertas falsos e logs incorretos armazenados no sistema. | Negar; Auditoria; Desactivado | 1.0.0 |
| Os serviços do Pesquisa de IA do Azure devem ter os métodos de autenticação local desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que os serviços do Pesquisa de IA do Azure exijam exclusivamente identidades do Azure Active Directory para autenticação. Saiba mais em: https://aka.ms/azure-cognitive-search/rbac. Observe que, embora o parâmetro desabilitar autenticação local ainda esteja em versão prévia, o efeito de negação dessa política pode resultar em funcionalidade limitada do portal do Pesquisa de IA do Azure , pois alguns recursos do Portal usam a API do GA que não dá suporte ao parâmetro. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure os recursos dos Serviços de IA devem ter o acesso de chave desabilitado (desabilitar autenticação local) | Recomenda-se que o access de chave (autenticação local) seja desabilitado para segurança. Azure OpenAI Studio, normalmente usado no desenvolvimento/teste, requer acesso à chave e não funcionará se o acesso à chave estiver desabilitado. Depois de desabilitar, Microsoft Entra ID se torna o único método de acesso, que permite manter o princípio de privilégio mínimo e o controle granular. Saiba mais em: Autenticação em Ferramentas de Pesquisa | Auditoria; Negar; Desactivado | 1.1.0 |
| Automação do Azure conta deve ter o método de autenticação local desabilitado | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Automação do Azure contas exijam exclusivamente Azure Active Directory identidades para autenticação. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure domínios devem ter métodos de autenticação local desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Grade de Eventos do Azure domínios exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/aeg-disablelocalauth. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure namespaces de parceiros devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que os namespaces de parceiros Grade de Eventos do Azure exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/aeg-disablelocalauth. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure tópicos devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Grade de Eventos do Azure tópicos exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/aeg-disablelocalauth. | Auditoria; Negar; Desactivado | 1.0.0 |
| Os namespaces do Hub de Eventos do Azure devem ter métodos de autenticação local desabilitados | Desabilitar os métodos de autenticação local aprimora a segurança, garantindo que os namespaces do Hub de Eventos do Azure exijam identidades do Microsoft Entra ID exclusivamente para autenticação. Saiba mais em: https://aka.ms/disablelocalauth-eh. | Auditoria; Negar; Desactivado | 1.0.1 |
| Serviço de Kubernetes do Azure Clusters devem habilitar Microsoft Entra ID integração | A integração de Microsoft Entra ID gerenciada pelo AKS pode gerenciar o acesso aos clusters configurando o RBAC do Kubernetes (controle de acesso baseado em função) do Kubernetes com base na identidade do usuário ou na associação do grupo de diretórios. Saiba mais em: Enable AKS-managed Microsoft Entra integration on an Serviço de Kubernetes do Azure cluster. | Auditoria; Desactivado | 1.0.2 |
| Serviço de Kubernetes do Azure Clusters devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Serviço de Kubernetes do Azure Clusters exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/aks-disable-local-accounts. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Machine Learning Computes devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Machine Learning Computação exijam Azure Active Directory identidades exclusivamente para autenticação. Saiba mais em: Azure Policy controles de Conformidade Regulatória para Azure Machine Learning. | Auditoria; Negar; Desactivado | 2.1.0 |
| [Versão prévia]: Azure servidor flexível postgreSQL deve ter Microsoft Entra Autenticação Somente habilitada | Desabilitar métodos de autenticação local e permitir apenas Microsoft Entra Autenticação melhora a segurança, garantindo que Azure servidor flexível do PostgreSQL possa ser acessado exclusivamente por identidades Microsoft Entra. | Auditoria; Desactivado | 1.0.0-preview |
| Barramento de Serviço do Azure namespaces devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que os namespaces Barramento de Serviço do Azure exijam exclusivamente Microsoft Entra ID identidades para autenticação. Saiba mais em: https://aka.ms/disablelocalauth-sb. | Auditoria; Negar; Desactivado | 1.0.1 |
| Banco de Dados SQL do Azure deve ter a autenticação somente Microsoft Entra habilitada | Exigir que SQL do Azure servidores lógicos usem a autenticação somente Microsoft Entra. Essa política não impede que os servidores sejam criados com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Criate Server com autenticação somente Microsoft Entra habilitada. | Auditoria; Negar; Desactivado | 1.0.0 |
| Banco de Dados SQL do Azure deve ter a autenticação somente Microsoft Entra habilitada durante a criação | Exigir que SQL do Azure servidores lógicos sejam criados com autenticação somente Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Criate Server com autenticação somente Microsoft Entra habilitada. | Auditoria; Negar; Desactivado | 1.2.0 |
| Instância Gerenciada de SQL do Azure deve ter a autenticação somente Microsoft Entra habilitada | Exigir Instância Gerenciada de SQL do Azure usar a autenticação somente Microsoft Entra. Essa política não impede que SQL do Azure instâncias gerenciadas sejam criadas com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Criate Server com autenticação somente Microsoft Entra habilitada. | Auditoria; Negar; Desactivado | 1.0.0 |
| SQL do Azure Instâncias Gerenciadas devem ter a autenticação somente Microsoft Entra habilitada durante a criação | Exija que Instância Gerenciada de SQL do Azure sejam criados com a autenticação somente Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Criate Server com autenticação somente Microsoft Entra habilitada. | Auditoria; Negar; Desactivado | 1.2.0 |
| O Serviço Azure Web PubSub deve ter os métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que Azure Web PubSub Service exija exclusivamente Azure Active Directory identidades para autenticação. | Auditoria; Negar; Desactivado | 1.0.0 |
| Serviço de Bot deve ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que um bot use o AAD exclusivamente para autenticação. | Auditoria; Negar; Desactivado | 1.0.0 |
| Os registros de contêiner devem ter a autenticação anônima desabilitada. | Desabilite o pull anônimo para o registro, de modo que os dados não possam ser acessados por um usuário não autenticado. Desabilitar métodos de autenticação local como usuário administrador, tokens de acesso com escopo de repositório e pull anônimo melhora a segurança, garantindo que os registros de contêiner exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/acr/authentication. | Auditoria; Negar; Desactivado | 1.0.0 |
| Os registros de contêiner devem ter a autenticação de token de audiência do ARM desabilitada. | Desabilite Azure Active Directory tokens de audiência do ARM para autenticação no registro. Somente tokens de audiência do ACR (Registro de Contêiner do Azure) serão usados para autenticação. Isso garantirá que somente tokens destinados ao uso no registro possam ser usados para autenticação. Desabilitar tokens de audiência do ARM não afeta a autenticação de tokens de acesso do usuário administrador ou com escopo. Saiba mais em: https://aka.ms/acr/authentication. | Auditoria; Negar; Desactivado | 1.0.0 |
| Container registries deve ter a conta de administrador local desabilitada. | Desabilite a conta de administrador do registro para que ela não seja acessível pelo administrador local. Desabilitar métodos de autenticação local como usuário administrador, tokens de acesso com escopo de repositório e pull anônimo melhora a segurança, garantindo que os registros de contêiner exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: Registro de Contêiner do Azure Opções de Autenticação Explicadas. | Auditoria; Negar; Desactivado | 1.0.1 |
| Os registros de contêiner devem ter o token de acesso no escopo do repositório desabilitado. | Desabilite os tokens de acesso no escopo do repositório para o registro, de modo que os repositórios não possam ser acessados pelos tokens. Desabilitar métodos de autenticação local como usuário administrador, tokens de acesso com escopo de repositório e pull anônimo melhora a segurança, garantindo que os registros de contêiner exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: https://aka.ms/acr/authentication. | Auditoria; Negar; Desactivado | 1.0.0 |
| as contas de banco de dados Cosmos DB devem ter métodos de autenticação locais desabilitados | Desabilitar métodos de autenticação local melhora a segurança, garantindo que as contas de banco de dados do Cosmos DB exijam exclusivamente Azure Active Directory identidades para autenticação. Saiba mais em: Conectar para Azure Cosmos DB para NoSQL usando o controle de acesso baseado em função e Microsoft Entra ID. | Auditoria; Negar; Desactivado | 1.1.0 |
| Os aplicativos de funções devem ter a autenticação habilitada | Serviço de Aplicativo do Azure Autenticação é um recurso que pode impedir que solicitações HTTP anônimas cheguem ao aplicativo de funções ou autenticar aqueles que têm tokens antes de chegarem ao aplicativo de funções. | AuditIfNotExists; Desactivado | 3.1.0 |
| Log Analytics Workspaces devem bloquear ingestão não baseada em Azure Active Directory. | A imposição da ingestão de log para exigir Azure Active Directory autenticação impede logs não autenticados de um invasor, o que pode levar a status incorreto, alertas falsos e logs incorretos armazenados no sistema. | Negar; Auditoria; Desactivado | 1.0.0 |
| Service Fabric clusters só devem usar Azure Active Directory para autenticação de cliente | Auditar o uso da autenticação do cliente somente por meio de Azure Active Directory no Service Fabric | Auditoria; Negar; Desactivado | 1.1.0 |
| Requisito de auditoria de Azure Active Directory (Azure AD) para autorizar solicitações para sua conta de armazenamento. Por padrão, as solicitações podem ser autorizadas com credenciais Azure Active Directory ou usando a chave de acesso da conta para autorização de Chave Compartilhada. Desses dois tipos de autorização, o Azure AD fornece segurança e facilidade de uso superiores em relação à Chave Compartilhada e é recomendado por Microsoft. | Auditoria; Negar; Desactivado | 2.0.0 | |
| Storage contas devem impedir access de chave compartilhada (excluindo contas storage criadas pelo Databricks) | Requisito de auditoria de Azure Active Directory (Azure AD) para autorizar solicitações para sua conta de armazenamento. Por padrão, as solicitações podem ser autorizadas com credenciais Azure Active Directory ou usando a chave de acesso da conta para autorização de Chave Compartilhada. Desses dois tipos de autorização, o Azure AD fornece segurança e facilidade de uso superiores em relação à Chave Compartilhada e é recomendado por Microsoft. | Auditoria; Negar; Desactivado | 1.0.0 |
| os workspaces Synapse devem ter a autenticação somente Microsoft Entra habilitada | Exigir workspaces do Synapse para usar a autenticação somente Microsoft Entra. Essa política não impede que workspaces sejam criados com a autenticação local habilitada. Ela impede que a autenticação local seja habilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Azure Synapse Analytics. | Auditoria; Negar; Desactivado | 1.0.0 |
| Synapse Workspaces devem usar apenas identidades Microsoft Entra para autenticação durante a criação do workspace | Exigir que workspaces do Synapse sejam criados com autenticação somente Microsoft Entra. Essa política não impede que a autenticação local seja reabilitada nos recursos após a criação. Considere usar a iniciativa de "autenticação somente Microsoft Entra" em vez de exigir ambos. Saiba mais em: Azure Synapse Analytics. | Auditoria; Negar; Desactivado | 1.2.0 |
| os gateways VPN devem usar apenas a autenticação Azure Active Directory (Azure AD) para usuários ponto a site | Desabilitar métodos de autenticação local melhora a segurança, garantindo que os Gateways de VPN usem apenas Azure Active Directory identidades para autenticação. Saiba mais sobre Azure autenticação do AD no gateway de VPN Configure P2S para autenticação Microsoft Entra ID | Auditoria; Negar; Desactivado | 1.0.0 |
IM-2: proteger sistemas de identidade e autenticação
Para obter mais informações, consulte O Gerenciamento de Identidades: IM-2: proteger sistemas de identidade e autenticação.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Users devem autenticar com autenticação multifator para criar ou atualizar recursos | Essa definição de política bloqueia as operações de criação e atualização de recursos quando o chamador não é autenticado via MFA. Para obter mais informações, visite Plano para Microsoft Entra MFA (autenticação multifator) obrigatória . | Auditoria; Negar; Desactivado | 1.0.1 |
IM-3: gerenciar identidades de aplicativos de maneira segura e automática
Para obter mais informações, consulte o Gerenciamento de Identidades: IM-3: Gerenciar identidades de aplicativo de forma segura e automática.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| [Versão prévia]: uma identidade gerenciada deve ser habilitada em seus computadores | Os recursos gerenciados pelo Gerenciamento Automatizado devem ter uma identidade gerenciada. | Auditoria; Desactivado | 1.0.0-preview |
| [Versão prévia]: adicionar identidade gerenciada atribuída pelo usuário para habilitar atribuições de Configuração de Convidado em máquinas virtuais | Essa política adiciona uma identidade gerenciada atribuída pelo usuário a máquinas virtuais hospedadas em Azure compatíveis com a Configuração de Convidado. Uma identidade gerenciada atribuída pelo usuário é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada a computadores antes de usar definições de política da Configuração de Convidado. Para obter mais informações sobre a Configuração de Convidado, acesse https://aka.ms/gcpol. | AuditIfNotExists; DeployIfNotExists; Desativado | 2.1.0-preview |
| App Service slots de aplicativo devem usar identidade gerenciada | Usar uma identidade gerenciada para uma segurança de autenticação aprimorada | AuditIfNotExists; Desactivado | 1.0.0 |
| App Service aplicativos devem usar identidade gerenciada | Usar uma identidade gerenciada para uma segurança de autenticação aprimorada | AuditIfNotExists; Desactivado | 3.0.0 |
| [Versão prévia]: atribua Built-In User-Assigned Identidade Gerenciada ao Conjuntos de Dimensionamento de Máquinas Virtuais | Crie e atribua uma identidade gerenciada atribuída pelo usuário interna ou atribua uma identidade gerenciada atribuída pelo usuário previamente criada em escala a conjuntos de dimensionamento de máquinas virtuais. Para obter uma documentação mais detalhada, visite aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Desabilitado | 1.1.0 – versão prévia |
| [Versão prévia]: atribua Built-In User-Assigned Identidade Gerenciada ao Máquinas Virtuais | Crie e atribua uma identidade gerenciada atribuída pelo usuário interna ou atribua uma identidade gerenciada atribuída pelo usuário previamente criada em escala a máquinas virtuais. Para obter uma documentação mais detalhada, visite aka.ms/managedidentitypolicy. | AuditIfNotExists; DeployIfNotExists; Desativado | 1.1.0 – versão prévia |
| A conta deAutomação deve ter Identidade Gerenciada | Use identidades gerenciadas como o método recomendado para autenticação com recursos Azure dos runbooks. A identidade gerenciada para autenticação é mais segura e elimina a sobrecarga de gerenciamento associada ao uso da Conta RunAs no código do runbook. | Auditoria; Desactivado | 1.0.0 |
| Azure Data Factory serviços vinculados devem usar a autenticação de identidade gerenciada atribuída pelo sistema quando houver suporte | O uso da identidade gerenciada atribuída pelo sistema ao se comunicar com armazenamentos de dados por meio de serviços vinculados evita o uso de credenciais menos protegidas, como senhas ou cadeias de conexão. | Auditoria; Negar; Desactivado | 2.1.0 |
| Serviço de Kubernetes do Azure Clusters devem usar identidades gerenciadas | Use identidades gerenciadas para envolver entidades de serviço, simplificar o gerenciamento de cluster e evitar a complexidade necessária para entidades de serviço gerenciadas. Saiba mais em: https://aka.ms/aks-update-managed-identities | Auditoria; Desactivado | 1.0.1 |
| Azure Machine Learning workspaces devem usar a identidade gerenciada atribuída pelo usuário | Acesso manange ao workspace do Azure ML e recursos associados, Registro de Contêiner do Azure, KeyVault, Storage e App Insights usando a identidade gerenciada atribuída pelo usuário. Por padrão, a identidade gerenciada atribuída pelo sistema é usada por Azure workspace de ML para acessar os recursos associados. A identidade gerenciada atribuída pelo usuário permite que você crie a identidade como um recurso Azure e mantenha o ciclo de vida dessa identidade. Saiba mais em Conseje a autenticação entre Azure Machine Learning e outros serviços. | Auditoria; Negar; Desactivado | 1.0.0 |
| as contas Cognitive Services devem usar uma identidade gerenciada | A atribuição de uma identidade gerenciada à sua conta dos Serviços Cognitivos ajuda a garantir a autenticação segura. Essa identidade é usada por essa conta de serviço cognitivo para se comunicar com outros serviços de Azure, como Azure Key Vault, de forma segura sem que você precise gerenciar credenciais. | Auditoria; Negar; Desactivado | 1.0.0 |
| Comunicação deve usar uma identidade gerenciada | Atribuir uma identidade gerenciada ao recurso de serviço de comunicação ajuda a garantir a autenticação segura. Essa identidade é usada por esse recurso de serviço de comunicação para se comunicar com outros serviços Azure, como Armazenamento do Azure, de forma segura sem que você precise gerenciar credenciais. | Auditoria; Negar; Desactivado | 1.0.0 |
| Criar e atribuir uma identidade gerenciada interna atribuída pelo usuário | Crie e atribua identidades gerenciadas integradas atribuídas pelo usuário às máquinas virtuais do SQL em larga escala. | AuditIfNotExists; DeployIfNotExists; Desativado | 1.8.0 |
| os aplicativos Function devem usar a identidade gerenciada | Usar uma identidade gerenciada para uma segurança de autenticação aprimorada | AuditIfNotExists; Desactivado | 3.1.0 |
| [Versão prévia]: as credenciais federadas de identidade gerenciada do Kubernetes de Azure devem ser de fontes confiáveis | Essa política limita a federeação com Azure clusters do Kubernetes para apenas clusters de locatários aprovados, regiões aprovadas e uma lista de exceções específica de clusters adicionais. | Auditoria; Desactivado; Negar | 1.0.0-preview |
| [Versão prévia]: as credenciais federadas de identidade gerenciada de GitHub devem ser de proprietários de repositório confiáveis | Essa política limita a federação com GitHub repositórios apenas para proprietários de repositório aprovados. | Auditoria; Desactivado; Negar | 1.0.1-preview |
| [Versão prévia]: as credenciais federadas de identidade gerenciada devem ser de tipos de emissor permitidos | Essa política limita se as Identidades Gerenciadas podem usar credenciais federadas, quais tipos de emissor comuns são permitidos e fornece uma lista de exceções de emissor permitidas. | Auditoria; Desactivado; Negar | 1.0.0-preview |
| A identidade gerenciada deve ser habilitada para Aplicativos de Contêiner | A imposição de identidade gerenciada garante que os Aplicativos de Contêiner possam se autenticar com segurança em qualquer recurso que dê suporte à autenticação Azure AD | Auditoria; Negar; Desactivado | 1.0.1 |
| Stream Analytics deve usar a identidade gerenciada para autenticar pontos de extremidade | Verifique se os trabalhos do Stream Analytics só se conectam a pontos de extremidade usando a autenticação de identidade gerenciada. | Negar; Desactivado; Auditoria | 1.0.0 |
| Virtual machines' A extensão de Configuração de Convidado deve ser implantada com a identidade gerenciada atribuída pelo sistema | A extensão de configuração de convidado exige uma identidade gerenciada atribuída ao sistema. Azure máquinas virtuais no escopo dessa política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída pelo sistema. Saiba mais em Understand Azure Machine Configuration | AuditIfNotExists; Desactivado | 1.0.1 |
IM-4: autenticar servidor e serviços
Para obter mais informações, consulte o Gerenciamento de Identidades: IM-4: Autenticar servidor e serviços.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| os pontos de extremidade API no Gerenciamento de API do Azure devem ser autenticados | Os pontos de extremidade de API publicados em Gerenciamento de API do Azure devem impor a autenticação para ajudar a minimizar o risco de segurança. Às vezes, os mecanismos de autenticação são implementados incorretamente ou estão ausentes. Isso permite que os invasores explorem falhas de implementação e access dados. Saiba mais sobre a ameaça da API OWASP para autenticação de usuário interrompida aqui: Recomando para atenuar as 10 principais ameaças de segurança da API OWASP usando API Management | AuditIfNotExists; Desactivado | 1.0.1 |
| API Management chamadas para back-ends de API devem ser autenticadas | As chamadas de API Management para back-ends devem usar alguma forma de autenticação, seja por meio de certificados ou credenciais. Não se aplica aos back-ends do Service Fabric. | Auditoria; Desactivado; Negar | 1.0.1 |
| API Management chamadas para back-ends de API não devem ignorar a impressão digital do certificado ou a validação de nome | Para melhorar a segurança da API, API Management deve validar o certificado do servidor de back-end para todas as chamadas à API. Habilite a validação da impressão digital e do nome do certificado SSL. | Auditoria; Desactivado; Negar | 1.0.2 |
| Os slots de aplicativos do Serviço de Aplicativo devem ter os Certificados do Cliente (certificados recebidos de clientes) habilitados | Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações recebidas. Somente clientes que possuem um certificado válido poderão acessar o aplicativo. Essa política se aplica a aplicativos com a versão Http definida como 1.1. | AuditIfNotExists; Desactivado | 1.0.0 |
| Banco de Dados SQL do Azure deve estar executando o TLS versão 1.2 ou mais recente | Definir a versão do TLS como 1.2 ou mais recente melhora a segurança, garantindo que seus Banco de Dados SQL do Azure só possam ser acessados de clientes usando o TLS 1.2 ou mais recente. O uso de versões do TLS inferiores à 1.2 não é recomendado, pois elas têm vulnerabilidades de segurança bem documentadas. | Auditoria; Desactivado; Negar | 2.0.0 |
IM-6: usar controles de autenticação fortes
Para obter mais informações, consulte o Gerenciamento de Identidades: IM-6: use controles de autenticação fortes.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Authentication para computadores Linux deve exigir chaves SSH | Embora o SSH em si forneça uma conexão criptografada, usar senhas com SSH ainda deixa a VM vulnerável a ataques de força bruta. A opção mais segura para autenticar em uma máquina virtual do Linux Azure por SSH é com um par de chaves público-privada, também conhecido como chaves SSH. Saiba mais: etapas Detailed: criar e gerenciar chaves SSH para autenticação em uma VM Linux no Azure. | AuditIfNotExists; Desactivado | 3.2.0 |
IM-8: Restringir a exposição de credenciais e segredos
Para obter mais informações, consulte Gerenciamento de Identidade: IM-8: restringir a exposição de credenciais e segredos.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Os valores secretos nomeados do Gerenciamento de API devem ser armazenados no Azure Key Vault | Os valores nomeados são uma coleção de pares de nome e valor em cada serviço API Management. Os valores secretos podem ser armazenados como texto criptografado no Gerenciamento de API (segredos personalizados) ou referenciando segredos em Azure Key Vault. Para melhorar a segurança do Gerenciamento de API e segredos, faça referência a valores nomeados do segredo de Azure Key Vault. Azure Key Vault dá suporte ao gerenciamento de acesso granular e a políticas de rotação de segredo. | Auditoria; Desactivado; Negar | 1.0.2 |
| Machines devem ter descobertas secretas resolvidas | Auditorias virtual machines para detectar se elas contêm descobertas secretas das soluções de verificação secreta em seu virtual machines. | AuditIfNotExists; Desactivado | 1.0.2 |
IR-2: preparação - configurar a notificação de incidentes
Para obter mais informações, consulte Resposta a Incidentes: IR-2: Preparação – notificação de incidente de instalação.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Email notificação para alertas de alta gravidade deve ser habilitada | Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, habilite notificações por email para alertas de severidade alta na Central de Segurança. | AuditIfNotExists; Desactivado | 1.2.0 |
| Email notificação ao proprietário da assinatura para alertas de alta gravidade deve ser habilitada | Para que os proprietários de assinatura sejam notificados quando houver uma potencial violação de segurança na assinatura deles, defina que notificações para alertas de severidade alta sejam enviadas por email para os proprietários da assinatura na Central de Segurança. | AuditIfNotExists; Desactivado | 2.1.0 |
| Subscriptions devem ter um endereço de email de contato para problemas de segurança | Para que as pessoas relevantes em sua organização sejam notificadas quando houver uma potencial violação de segurança em uma das suas assinaturas, defina um contato de segurança para receber notificações por email da Central de Segurança. | AuditIfNotExists; Desactivado | 1.0.1 |
IR-3: detecção e análise - criar incidentes com base em alertas de alta qualidade
Para obter mais informações, consulte Resposta a incidentes: IR-3: detecção e análise – crie incidentes com base em alertas de alta qualidade.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para o Serviço de Aplicativo deve estar habilitado | Azure Defender para o Serviço de Aplicativo aproveita a escala da nuvem e a visibilidade que Azure tem como provedor de nuvem, para monitorar ataques comuns de aplicativo Web. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para servidores Banco de Dados SQL do Azure devem ser habilitados | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para Key Vault devem ser habilitados | Azure Defender para Key Vault fornece uma camada adicional de proteção e inteligência de segurança detectando tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas key vault. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para Resource Manager devem ser habilitados | Azure Defender para Resource Manager monitora automaticamente as operações de gerenciamento de recursos em sua organização. Azure Defender detecta ameaças e alerta você sobre atividades suspeitas. Saiba mais sobre os recursos de Azure Defender para Resource Manager em Microsoft Defender para Resource Manager – Benefícios e Recursos . Habilitar esse plano de Azure Defender resulta em encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem . | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores SQL em computadores deve ser habilitado | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos | Auditar servidores SQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 2.0.1 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis MySQL desprotegidos | Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis postgreSQL desprotegidos | Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL devem ser habilitados para Instâncias Gerenciadas de SQL desprotegidas | Audite cada Instância Gerenciada de SQL sem segurança de dados avançada. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para bancos de dados relacionais de software livre devem ser habilitados | Azure Defender para bancos de dados relacionais de software livre detecta atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. Saiba mais sobre os recursos de Azure Defender para bancos de dados relacionais de software livre em Overview de Defender para bancos de dados relacionais Open-Source. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores devem ser habilitados | Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. | AuditIfNotExists; Desactivado | 1.0.3 |
| GPSN do Defender Microsoft deve estar habilitado | Defender CSPM (Gerenciamento de Postura de Segurança de Nuvem) fornece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir o risco. GPSN do Defender está disponível além das funcionalidades de postura de segurança fundamental gratuita ativadas por padrão em Defender para Nuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para APIs devem ser habilitadas | Microsoft Defender para APIs traz nova descoberta, proteção, detecção e cobertura de resposta para monitorar ataques comuns baseados em API e configurações incorretas de segurança. | AuditIfNotExists; Desactivado | 1.0.3 |
| Microsoft Defender para contêineres devem ser habilitados | Microsoft Defender para Contêineres fornece proteções de proteção de proteção de tempo de execução, avaliação de vulnerabilidade e proteções de tempo de execução para seus ambientes kubernetes Azure, híbridos e multinuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para SQL deve ser habilitado para workspaces do Synapse desprotegidos | Habilite Defender para o SQL proteger seus workspaces do Synapse. Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para Armazenamento deve estar habilitado | Microsoft Defender para Armazenamento detecta possíveis ameaças às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo Defender para o plano de armazenamento inclui verificação de malware e detecção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta storage) para controle sobre a cobertura e os custos. | AuditIfNotExists; Desactivado | 1.0.0 |
| SQL server o provisionamento automático direcionado deve ser habilitado para servidores SQL no plano de computadores | Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento de Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do agente de monitoramento de Microsoft, pois esse componente está sendo preterido. Saiba mais: Igrate para Defender para SQL em computadores usando AMA | AuditIfNotExists; Desactivado | 1.0.0 |
IR-4: Detecção e análise – investigar um incidente
Para obter mais informações, consulte Resposta a Incidentes: IR-4: Detecção e análise – investigar um incidente.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Observador de Rede deve ser habilitado | Observador de Rede é um serviço regional que permite monitorar e diagnosticar condições em um nível de cenário de rede dentro e de Azure. O monitoramento de nível do cenário permite diagnosticar problemas em um modo de exibição de nível de rede de ponta a ponta. É necessário ter um grupo de recursos network watcher a ser criado em todas as regiões em que um virtual network está presente. Um alerta será habilitado se um grupo de recursos network watcher não estiver disponível em uma região específica. | AuditIfNotExists; Desactivado | 3.0.0 |
IR-5: detecção e análise - priorizar incidentes
Para obter mais informações, consulte Resposta a incidentes: IR-5: detecção e análise – priorize incidentes.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para o Serviço de Aplicativo deve estar habilitado | Azure Defender para o Serviço de Aplicativo aproveita a escala da nuvem e a visibilidade que Azure tem como provedor de nuvem, para monitorar ataques comuns de aplicativo Web. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para servidores Banco de Dados SQL do Azure devem ser habilitados | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para Key Vault devem ser habilitados | Azure Defender para Key Vault fornece uma camada adicional de proteção e inteligência de segurança detectando tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas key vault. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para Resource Manager devem ser habilitados | Azure Defender para Resource Manager monitora automaticamente as operações de gerenciamento de recursos em sua organização. Azure Defender detecta ameaças e alerta você sobre atividades suspeitas. Saiba mais sobre os recursos de Azure Defender para Resource Manager em Microsoft Defender para Resource Manager – Benefícios e Recursos . Habilitar esse plano de Azure Defender resulta em encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem . | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores SQL em computadores deve ser habilitado | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos | Auditar servidores SQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 2.0.1 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis MySQL desprotegidos | Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis postgreSQL desprotegidos | Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL devem ser habilitados para Instâncias Gerenciadas de SQL desprotegidas | Audite cada Instância Gerenciada de SQL sem segurança de dados avançada. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para bancos de dados relacionais de software livre devem ser habilitados | Azure Defender para bancos de dados relacionais de software livre detecta atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. Saiba mais sobre os recursos de Azure Defender para bancos de dados relacionais de software livre em Overview de Defender para bancos de dados relacionais Open-Source. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores devem ser habilitados | Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. | AuditIfNotExists; Desactivado | 1.0.3 |
| GPSN do Defender Microsoft deve estar habilitado | Defender CSPM (Gerenciamento de Postura de Segurança de Nuvem) fornece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir o risco. GPSN do Defender está disponível além das funcionalidades de postura de segurança fundamental gratuita ativadas por padrão em Defender para Nuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para APIs devem ser habilitadas | Microsoft Defender para APIs traz nova descoberta, proteção, detecção e cobertura de resposta para monitorar ataques comuns baseados em API e configurações incorretas de segurança. | AuditIfNotExists; Desactivado | 1.0.3 |
| Microsoft Defender para contêineres devem ser habilitados | Microsoft Defender para Contêineres fornece proteções de proteção de proteção de tempo de execução, avaliação de vulnerabilidade e proteções de tempo de execução para seus ambientes kubernetes Azure, híbridos e multinuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para SQL deve ser habilitado para workspaces do Synapse desprotegidos | Habilite Defender para o SQL proteger seus workspaces do Synapse. Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para Armazenamento deve estar habilitado | Microsoft Defender para Armazenamento detecta possíveis ameaças às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo Defender para o plano de armazenamento inclui verificação de malware e detecção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta storage) para controle sobre a cobertura e os custos. | AuditIfNotExists; Desactivado | 1.0.0 |
| SQL server o provisionamento automático direcionado deve ser habilitado para servidores SQL no plano de computadores | Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento de Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do agente de monitoramento de Microsoft, pois esse componente está sendo preterido. Saiba mais: Igrate para Defender para SQL em computadores usando AMA | AuditIfNotExists; Desactivado | 1.0.0 |
LT-1: habilitar recursos de detecção de ameaças
Para obter mais informações, consulte Registro em log e detecção de ameaças: LT-1: habilitar recursos de detecção de ameaças.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| [Versão prévia]: Azure Arc clusters do Kubernetes habilitados devem ter Microsoft Defender para Nuvem extensão instalada | Microsoft Defender para Nuvem extensão para Azure Arc fornece proteção contra ameaças para seus clusters kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o Azure Defender para back-end do Kubernetes na nuvem para análise posterior. Saiba mais na pontuação Secure em Defender para Nuvem. | AuditIfNotExists; Desactivado | 6.0.0-preview |
| Azure Defender para o Serviço de Aplicativo deve estar habilitado | Azure Defender para o Serviço de Aplicativo aproveita a escala da nuvem e a visibilidade que Azure tem como provedor de nuvem, para monitorar ataques comuns de aplicativo Web. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para servidores Banco de Dados SQL do Azure devem ser habilitados | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para Key Vault devem ser habilitados | Azure Defender para Key Vault fornece uma camada adicional de proteção e inteligência de segurança detectando tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas key vault. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para bancos de dados relacionais de software livre devem ser habilitados | Azure Defender para bancos de dados relacionais de software livre detecta atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. Saiba mais sobre os recursos de Azure Defender para bancos de dados relacionais de software livre em Overview de Defender para bancos de dados relacionais Open-Source. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para Resource Manager devem ser habilitados | Azure Defender para Resource Manager monitora automaticamente as operações de gerenciamento de recursos em sua organização. Azure Defender detecta ameaças e alerta você sobre atividades suspeitas. Saiba mais sobre os recursos de Azure Defender para Resource Manager em Microsoft Defender para Resource Manager – Benefícios e Recursos . Habilitar esse plano de Azure Defender resulta em encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem . | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores devem ser habilitados | Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para servidores SQL em computadores deve ser habilitado | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos | Auditar servidores SQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 2.0.1 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis MySQL desprotegidos | Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis postgreSQL desprotegidos | Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL devem ser habilitados para Instâncias Gerenciadas de SQL desprotegidas | Audite cada Instância Gerenciada de SQL sem segurança de dados avançada. | AuditIfNotExists; Desactivado | 1.0.2 |
| Serviço de Kubernetes do Azure clusters devem ter Defender perfil habilitado | Microsoft Defender para contêineres fornece recursos de segurança do Kubernetes nativos de nuvem, incluindo proteção de ambiente, proteção de carga de trabalho e proteção em tempo de execução. Quando você habilita o SecurityProfile.AzureDefender em seu cluster de Serviço de Kubernetes do Azure, um agente é implantado em seu cluster para coletar dados de eventos de segurança. Saiba mais sobre Microsoft Defender para contêineres no Manage MCSB recomendações no Defender para Nuvem | Auditoria; Desactivado | 2.0.1 |
| [Versão prévia]: a extensão ChangeTracking deve ser instalada em seu computador Linux do Arc | Instale a Extensão ChangeTracking em computadores Linux Arc para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 1.0.0-preview |
| [Versão prévia]: a extensão ChangeTracking deve ser instalada em sua máquina virtual Linux | Instale a extensão ChangeTracking em máquinas virtuais do Linux para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 2.0.0-preview |
| A extensão ChangeTracking deve ser instalada em seus conjuntos de dimensionamento de máquinas virtuais do Linux | Instale a extensão ChangeTracking em conjuntos de dimensionamento de máquinas virtuais do Linux para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 2.0.1 |
| [Versão prévia]: a extensão ChangeTracking deve ser instalada em seu computador Windows Arc | Instale a extensão ChangeTracking em computadores Windows Arc para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 1.0.0-preview |
| [Versão prévia]: a extensão ChangeTracking deve ser instalada em sua máquina virtual Windows | Instale a extensão ChangeTracking em máquinas virtuais Windows para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 2.0.0-preview |
| A extensãoChangeTracking deve ser instalada em seus conjuntos de dimensionamento de máquinas virtuais Windows | Instale a extensão ChangeTracking em Windows conjuntos de dimensionamento de máquinas virtuais para habilitar o FIM (Monitoramento de Integridade de Arquivos) no Central de Segurança do Azure. O FIM examina arquivos do sistema operacional, registros Windows, software de aplicativo, arquivos do sistema Linux e muito mais, para obter alterações que possam indicar um ataque. A extensão pode ser instalada em máquinas virtuais e locais compatíveis com Azure Monitoring Agent. | AuditIfNotExists; Desactivado | 2.0.1 |
| GPSN do Defender Microsoft deve estar habilitado | Defender CSPM (Gerenciamento de Postura de Segurança de Nuvem) fornece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir o risco. GPSN do Defender está disponível além das funcionalidades de postura de segurança fundamental gratuita ativadas por padrão em Defender para Nuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para APIs devem ser habilitadas | Microsoft Defender para APIs traz nova descoberta, proteção, detecção e cobertura de resposta para monitorar ataques comuns baseados em API e configurações incorretas de segurança. | AuditIfNotExists; Desactivado | 1.0.3 |
| Microsoft Defender para Azure Cosmos DB devem ser habilitados | O Microsoft Defender para Azure Cosmos DB é uma camada de segurança nativa do Azure que detecta tentativas de explorar bancos de dados em suas contas do Azure Cosmos DB. Defender para Azure Cosmos DB detecta possíveis injeções de SQL, maus atores conhecidos com base em Microsoft Inteligência contra Ameaças, padrões de acesso suspeitos e potenciais explorações de seu banco de dados por meio de identidades comprometidas ou insiders mal-intencionados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para contêineres devem ser habilitados | Microsoft Defender para Contêineres fornece proteções de proteção de proteção de tempo de execução, avaliação de vulnerabilidade e proteções de tempo de execução para seus ambientes kubernetes Azure, híbridos e multinuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para SQL deve ser habilitado para workspaces do Synapse desprotegidos | Habilite Defender para o SQL proteger seus workspaces do Synapse. Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para Armazenamento deve estar habilitado | Microsoft Defender para Armazenamento detecta possíveis ameaças às suas contas de armazenamento. Ele ajuda a evitar os três principais impactos em seus dados e carga de trabalho: uploads de arquivos mal-intencionados, exfiltração de dados confidenciais e dados corrompidos. O novo Defender para o plano de armazenamento inclui verificação de malware e detecção de ameaças de dados confidenciais. Esse plano também fornece uma estrutura de preços previsível (por conta storage) para controle sobre a cobertura e os custos. | AuditIfNotExists; Desactivado | 1.0.0 |
| O tipo de preço Standard da Central de Segurança deve ser selecionado | O tipo de preço padrão permite a detecção de ameaças para redes e máquinas virtuais, fornecendo inteligência contra ameaças, detecção de anomalias e análise de comportamento em Central de Segurança do Azure | Auditoria; Desactivado | 1.1.0 |
| SQL server o provisionamento automático direcionado deve ser habilitado para servidores SQL no plano de computadores | Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento de Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do agente de monitoramento de Microsoft, pois esse componente está sendo preterido. Saiba mais: Igrate para Defender para SQL em computadores usando AMA | AuditIfNotExists; Desactivado | 1.0.0 |
| Windows Defender Exploit Guard deve estar habilitado em seus computadores | Windows Defender Exploit Guard usa o agente de Configuração de Convidado do Azure Policy. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas balanceem seus requisitos de risco de segurança e produtividade (apenas Windows). | AuditIfNotExists; Desactivado | 2.0.0 |
LT-2: habilitar a detecção de ameaças para gerenciamento de identidade e access
Para obter mais informações, consulte Logging and Threat Detection: LT-2: Enable threat detection for identity and access management.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Defender para o Serviço de Aplicativo deve estar habilitado | Azure Defender para o Serviço de Aplicativo aproveita a escala da nuvem e a visibilidade que Azure tem como provedor de nuvem, para monitorar ataques comuns de aplicativo Web. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para servidores Banco de Dados SQL do Azure devem ser habilitados | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para Key Vault devem ser habilitados | Azure Defender para Key Vault fornece uma camada adicional de proteção e inteligência de segurança detectando tentativas incomuns e potencialmente prejudiciais de acessar ou explorar contas key vault. | AuditIfNotExists; Desactivado | 1.0.3 |
| Azure Defender para Resource Manager devem ser habilitados | Azure Defender para Resource Manager monitora automaticamente as operações de gerenciamento de recursos em sua organização. Azure Defender detecta ameaças e alerta você sobre atividades suspeitas. Saiba mais sobre os recursos de Azure Defender para Resource Manager em Microsoft Defender para Resource Manager – Benefícios e Recursos . Habilitar esse plano de Azure Defender resulta em encargos. Saiba mais sobre os detalhes de preços por região na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem . | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores SQL em computadores deve ser habilitado | Azure Defender para SQL fornece funcionalidade para exibir e atenuar possíveis vulnerabilidades de banco de dados, detectar atividades anômalas que possam indicar ameaças aos bancos de dados SQL e descobrir e classificar dados confidenciais. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para SQL deve ser habilitado para servidores SQL do Azure desprotegidos | Auditar servidores SQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 2.0.1 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis MySQL desprotegidos | Auditar servidores flexíveis do MySQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL deve ser habilitado para servidores flexíveis postgreSQL desprotegidos | Auditar os servidores flexíveis do PostgreSQL sem Segurança de Dados Avançada | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para SQL devem ser habilitados para Instâncias Gerenciadas de SQL desprotegidas | Audite cada Instância Gerenciada de SQL sem segurança de dados avançada. | AuditIfNotExists; Desactivado | 1.0.2 |
| Azure Defender para bancos de dados relacionais de software livre devem ser habilitados | Azure Defender para bancos de dados relacionais de software livre detecta atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. Saiba mais sobre os recursos de Azure Defender para bancos de dados relacionais de software livre em Overview de Defender para bancos de dados relacionais Open-Source. Importante: a habilitação deste plano resultará em encargos de proteção de seus bancos de dados relacionais de código aberto. Saiba mais sobre os preços na página de preços da Central de Segurança: Pricing – Microsoft Defender para Nuvem | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Defender para servidores devem ser habilitados | Azure Defender para servidores fornece proteção contra ameaças em tempo real para cargas de trabalho de servidor e gera recomendações de proteção, bem como alertas sobre atividades suspeitas. | AuditIfNotExists; Desactivado | 1.0.3 |
| Serviço de Kubernetes do Azure clusters devem ter Defender perfil habilitado | Microsoft Defender para contêineres fornece recursos de segurança do Kubernetes nativos de nuvem, incluindo proteção de ambiente, proteção de carga de trabalho e proteção em tempo de execução. Quando você habilita o SecurityProfile.AzureDefender em seu cluster de Serviço de Kubernetes do Azure, um agente é implantado em seu cluster para coletar dados de eventos de segurança. Saiba mais sobre Microsoft Defender para contêineres no Manage MCSB recomendações no Defender para Nuvem | Auditoria; Desactivado | 2.0.1 |
| GPSN do Defender Microsoft deve estar habilitado | Defender CSPM (Gerenciamento de Postura de Segurança de Nuvem) fornece funcionalidades de postura aprimoradas e um novo grafo de segurança de nuvem inteligente para ajudar a identificar, priorizar e reduzir o risco. GPSN do Defender está disponível além das funcionalidades de postura de segurança fundamental gratuita ativadas por padrão em Defender para Nuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para contêineres devem ser habilitados | Microsoft Defender para Contêineres fornece proteções de proteção de proteção de tempo de execução, avaliação de vulnerabilidade e proteções de tempo de execução para seus ambientes kubernetes Azure, híbridos e multinuvem. | AuditIfNotExists; Desactivado | 1.0.0 |
| Microsoft Defender para SQL deve ser habilitado para workspaces do Synapse desprotegidos | Habilite Defender para o SQL proteger seus workspaces do Synapse. Defender para SQL monitora o SQL do Synapse para detectar atividades anômalas que indicam tentativas incomuns e potencialmente prejudiciais de acessar ou explorar bancos de dados. | AuditIfNotExists; Desactivado | 1.0.0 |
| SQL server o provisionamento automático direcionado deve ser habilitado para servidores SQL no plano de computadores | Para garantir que as VMs do SQL e os SQL Servers habilitados para Arc estejam protegidos, verifique se o Agente de Monitoramento de Azure direcionado ao SQL está configurado para implantar automaticamente. Isso também é necessário se você já configurou o provisionamento automático do agente de monitoramento de Microsoft, pois esse componente está sendo preterido. Saiba mais: Igrate para Defender para SQL em computadores usando AMA | AuditIfNotExists; Desactivado | 1.0.0 |
| Windows Defender Exploit Guard deve estar habilitado em seus computadores | Windows Defender Exploit Guard usa o agente de Configuração de Convidado do Azure Policy. O Exploit Guard tem quatro componentes projetados para bloquear dispositivos contra uma ampla variedade de vetores de ataque e comportamentos de bloqueio comumente usados em ataques de malware, permitindo que as empresas balanceem seus requisitos de risco de segurança e produtividade (apenas Windows). | AuditIfNotExists; Desactivado | 2.0.0 |
| [Versão prévia]: Azure Arc clusters do Kubernetes habilitados devem ter Microsoft Defender para Nuvem extensão instalada | Microsoft Defender para Nuvem extensão para Azure Arc fornece proteção contra ameaças para seus clusters kubernetes habilitados para Arc. A extensão coleta dados de todos os nós no cluster e os envia para o Azure Defender para back-end do Kubernetes na nuvem para análise posterior. Saiba mais na pontuação Secure em Defender para Nuvem. | AuditIfNotExists; Desactivado | 6.0.0-preview |
LT-3: habilitar o registro em log para investigação de segurança
Para obter mais informações, consulte Registro em log e detecção de ameaças: LT-3: habilitar o registro em log para investigação de segurança.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| O log de atividades deve ser retido por pelo menos um ano | Essa política auditará o log de atividades se a retenção não for definida para 365 dias ou para sempre (dias de retenção definidos como 0). | AuditIfNotExists; Desactivado | 1.0.0 |
| Um alerta do log de atividades deve existir para Operações administrativas específicas | Essa política audita Operações administrativas específicas sem alertas do log de atividades configurados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Um alerta do log de atividades deve existir para Operações de política específicas | Essa política audita Operações de política específicas sem alertas do log de atividades configurados. | AuditIfNotExists; Desactivado | 3.0.0 |
| Um alerta do log de atividades deve existir para Operações de segurança específicas | Essa política audita Operações de segurança específicas sem alertas do log de atividades configurados. | AuditIfNotExists; Desactivado | 1.1.0 |
| Os slots de aplicativo do Serviço de Aplicativo devem ter os logs de recursos habilitados | Auditar a habilitação de logs de recurso no aplicativo. Isso permite recriar trilhas de atividades para fins de investigação se ocorrer um incidente de segurança ou se sua rede estiver comprometida. | AuditIfNotExists; Desactivado | 1.0.0 |
| App Service aplicativos devem ter logs de recursos habilitados | Auditar a habilitação de logs de recurso no aplicativo. Isso permite recriar trilhas de atividades para fins de investigação se ocorrer um incidente de segurança ou se sua rede estiver comprometida. | AuditIfNotExists; Desactivado | 2.0.1 |
| Auditing no SQL server deve ser habilitado | A auditoria em seu SQL Server deve ser habilitada para acompanhar as atividades do banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria. | AuditIfNotExists; Desactivado | 2.0.0 |
| O Gateway de Aplicativo do Azure deve ter os logs de recursos habilitados | Habilite os logs de recursos para Gateway de Aplicativo do Azure (mais WAF) e transmita para um workspace Log Analytics. Obtenha visibilidade detalhada do tráfego da Web de entrada e das ações executadas para mitigar os ataques. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Front Door deve ter logs de recursos habilitados | Habilite os logs de recursos para Azure Front Door (mais WAF) e transmita para um workspace Log Analytics. Obtenha visibilidade detalhada do tráfego da Web de entrada e das ações executadas para mitigar os ataques. | AuditIfNotExists; Desactivado | 1.0.0 |
| O perfil de log do Azure Monitor deve coletar logs para as categorias "gravar", "excluir" e "ação" | Essa política garante que um perfil de log colete logs para as categorias "gravar", "excluir" e "ação" | AuditIfNotExists; Desactivado | 1.0.0 |
| Os Logs do Azure Monitor para o Application Insights devem ser vinculados a um espaço de trabalho do Log Analytics | Vincule o componente do Application Insights a um workspace Log Analytics para criptografia de logs. As chaves gerenciadas pelo cliente geralmente são necessárias para atender à conformidade regulatória e para obter mais controle sobre o acesso aos seus dados no Azure Monitor. Vincular seu componente a um workspace Log Analytics habilitado com uma chave gerenciada pelo cliente garante que os logs do Application Insights atendam a esse requisito de conformidade, consulte /azure/azure-monitor/platform/customer-managed-keys. | Auditoria; Negar; Desactivado | 1.1.0 |
| O Azure Monitor deve coletar os logs de atividades de todas as regiões | Essa política audita o perfil de log Azure Monitor que não exporta atividades de todas as regiões com suporte Azure, incluindo global. | AuditIfNotExists; Desactivado | 2.0.0 |
| Azure Monitor solução 'Segurança e Auditoria' deve ser implantada | Essa política garante que a Segurança e Auditoria seja implantada. | AuditIfNotExists; Desactivado | 1.0.0 |
| O serviço do Azure SignalR deve habilitar logs de diagnóstico | Auditar a habilitação de logs de diagnóstico. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 1.0.0 |
| As assinaturas do Azure devem ter um perfil de log para o Log de Atividades | Essa política verifica se um perfil de log está ativado para exportar logs de atividades. Ela audita se não há um perfil de log criado para exportar os logs para uma conta de armazenamento ou para um hub de eventos. | AuditIfNotExists; Desactivado | 1.0.0 |
| O Serviço Azure Web PubSub deve habilitar logs de diagnóstico | Auditar a habilitação de logs de diagnóstico. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 1.0.0 |
| [Versão prévia]: configurar assinaturas para habilitar a regra de monitoramento de alertas de integridade do serviço | Atribuível no nível de assinatura ou grupo de gerenciamento, essa política garante que cada assinatura tenha uma regra de alerta de integridade do serviço configurada com condições de alerta e mapeamento para grupos de ações, conforme especificado nos parâmetros de política. Por padrão, cria um grupo de recursos, uma regra de alerta e um grupo de ações configurados para enviar emails aos proprietários da assinatura para todos os eventos de integridade do serviço. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.4.0-preview |
| os logs Diagnostic em Serviços de IA do Azure recursos devem ser habilitados | Habilitar logs para recursos de Serviços de IA do Azure. Isso permite recriar trilhas de atividade para fins de investigação, quando ocorrer um incidente de segurança ou sua rede for comprometida | AuditIfNotExists; Desactivado | 1.0.0 |
| os logs Resource no Azure Data Lake Store devem estar habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource em workspaces Azure Databricks devem ser habilitados | Os logs de recursos permitem a recriação de trilhas de atividades para uso em investigações quando ocorre um incidente de segurança ou quando sua rede é comprometida. | AuditIfNotExists; Desactivado | 1.0.1 |
| Os logs de recursos do HSM Gerenciado pelo Azure Key Vault devem estar habilitados | Para recriar trilhas de atividade para fins de investigação quando ocorrer um incidente de segurança ou quando a sua rede estiver comprometida, audite habilitando logs de recursos em HSMs gerenciados. Siga as instruções aqui: /azure/key-vault/managed-hsm/logging. | AuditIfNotExists; Desactivado | 1.1.0 |
| os logs Resource no Serviço de Kubernetes do Azure devem ser habilitados | Os logs de recursos do Serviço de Kubernetes do Azure podem ajudar a recriar trilhas de atividade ao investigar incidentes de segurança. Habilite-o para garantir que os logs existam quando necessário | AuditIfNotExists; Desactivado | 1.0.0 |
| os logs Resource em workspaces Azure Machine Learning devem estar habilitados | Os logs de recursos permitem a recriação de trilhas de atividades para uso em investigações quando ocorre um incidente de segurança ou quando sua rede é comprometida. | AuditIfNotExists; Desactivado | 1.0.1 |
| os logs Resource no Azure Stream Analytics devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource nas contas do Lote devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource no Data Lake Analytics devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource no Hub de Eventos devem estar habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource no Hub IoT devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 3.1.0 |
| os logs Resource no Key Vault devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource nos Aplicativos Lógicos devem estar habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.1.0 |
| os logs Resource nos serviços de Pesquisa devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
| os logs Resource no Barramento de Serviço devem ser habilitados | Auditar a habilitação de logs de recurso. Permite recriar trilhas de atividades a serem usadas para fins de investigação; quando ocorrer um incidente de segurança ou quando sua rede estiver comprometida | AuditIfNotExists; Desactivado | 5.0.0 |
LT-4: Habilitar o registro em log de rede para investigação de segurança
Para obter mais informações, consulte Registro em log e detecção de ameaças: LT-4: habilitar o registro em log de rede para investigação de segurança.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Todos os recursos de log de fluxo devem estar no estado habilitado | Uma auditoria para recursos do log de fluxo a fim de verificar se o status dele está habilitado. Habilite logs de fluxo permite registrar informações sobre o tráfego IP que flui. Ele pode ser usado para otimizar os fluxos de rede, monitorar a taxa de transferência, verificar a conformidade, detectar invasões e muito mais. | Auditoria; Desactivado | 1.0.1 |
| Configuração de logs de fluxo de auditoria para cada rede virtual | Uma auditoria de rede virtual para verificar se os logs de fluxo foram configurados. Habilite logs de fluxo permite registrar informações sobre o tráfego IP que flui por meio da rede virtual. Ele pode ser usado para otimizar os fluxos de rede, monitorar a taxa de transferência, verificar a conformidade, detectar invasões e muito mais. | Auditoria; Desactivado | 1.0.1 |
| Habilitar o registro em log por grupo de categorias para Gateways de Aplicativo (microsoft.network/applicationgateways) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Gateways de Aplicativo (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Nizável em log por grupo de categorias para gateways de aplicativo (microsoft.network/applicationgateways) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para gateways de aplicativo (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Gateways de Aplicativo (microsoft.network/applicationgateways) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Gateways de Aplicativo (microsoft.network/applicationgateways). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Bastions (microsoft.network/bastionhosts) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos nos Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.2.0 |
| Enable registro em log por grupo de categorias para Bastions (microsoft.network/bastionhosts) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Bastions (microsoft.network/bastionhosts) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para Bastions (microsoft.network/bastionhosts). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Pontos de Extremidade (microsoft.cdn/profiles/endpoints) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Pontos de Extremidade (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Náveis registrando por grupo de categorias para pontos de extremidade (microsoft.cdn/profiles/pontos de extremidade) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para pontos de extremidade (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Pontos de Extremidade (microsoft.cdn/profiles/endpoints) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Pontos de Extremidade (microsoft.cdn/profiles/endpoints). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para circuitos do ExpressRoute (microsoft.network/expressroutecircuits) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de circuitos do ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para circuitos do ExpressRoute (microsoft.network/expressroutecircuits) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para circuitos do ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para circuitos do ExpressRoute (microsoft.network/expressroutecircuits) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de circuitos do ExpressRoute (microsoft.network/expressroutecircuits). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Enable registro em log por grupo de categorias para Firewall (microsoft.network/azurefirewalls) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para Firewall (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Firewalls (microsoft.network/azurefirewalls) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Nizável registrando em log por grupo de categorias para Firewalls (microsoft.network/azurefirewalls) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para Firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Firewalls (microsoft.network/azurefirewalls) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Firewalls (microsoft.network/azurefirewalls). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Front Door e da CDN (microsoft.cdn/profiles) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos nos perfis do Front Door e da CDN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.2.0 |
| Enable registro em log por grupo de categorias para perfis de Front Door e CDN (microsoft.cdn/profiles) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para perfis de Front Door e CDN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Front Door e da CDN (microsoft.cdn/profiles) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para perfis do Front Door e da CDN (microsoft.cdn/profiles). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Front Door e da CDN (microsoft.network/frontdoors) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos nos perfis do Front Door e da CDN (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.2.0 |
| Enable registro em log por grupo de categorias para perfis do Front Door e cdn (microsoft.network/frontdoors) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para perfis do Front Door e cdn (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Front Door e da CDN (microsoft.network/frontdoors) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para perfis do Front Door e da CDN (microsoft.network/frontdoors). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Balanceadores de Carga (microsoft.network/loadbalancers) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Balanceadores de carga (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para balanceadores de carga (microsoft.network/loadbalancers) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para balanceadores de carga (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Balanceadores de Carga (microsoft.network/loadbalancers) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Balanceadores de Carga (microsoft.network/loadbalancers). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.cdn/cdnwebapplicationfirewallpolicies no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.cdn/cdnwebapplicationfirewallpolicies para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.cdn/cdnwebapplicationfirewallpolicies no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.cdn/cdnwebapplicationfirewallpolicies. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/dnsresolverpolicies no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.network/dnsresolverpolicies para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/dnsresolverpolicies no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.network/dnsresolverpolicies. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/networkmanagers/ipampools no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.network/networkmanagers/ipampools para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/networkmanagers/ipampools no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.network/networkmanagers/ipampools. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/networksecurityperimeters no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.network/networksecurityperimeters para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/networksecurityperimeters no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.network/networksecurityperimeters. | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/p2svpngateways no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.2.0 |
| Enable registro em log por grupo de categorias para microsoft.network/p2svpngateways para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/p2svpngateways no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.network/p2svpngateways. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/vpngateways no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.network/vpngateways para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.network/vpngateways no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.network/vpngateways. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.networkfunction/azuretrafficcollectors no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para microsoft.networkfunction/azuretrafficcollectors para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para microsoft.networkfunction/azuretrafficcollectors no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento para microsoft.networkfunction/azuretrafficcollectors. | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Gerenciadores de Rede (microsoft.network/networkmanagers) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Gerenciadores de Rede (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Conseque o registro em log por grupo de categorias para gerenciadores de rede (microsoft.network/networkmanagers) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para Gerenciadores de Rede (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Gerenciadores de Rede (microsoft.network/networkmanagers) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Gerenciadores de Rede (microsoft.network/networkmanagers). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Grupos de Segurança de Rede (microsoft.network/networksecuritygroups) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Grupos de Segurança de Rede (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para grupos de segurança de rede (microsoft.network/networksecuritygroups) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para grupos de segurança de rede (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Grupos de Segurança de Rede (microsoft.network/networksecuritygroups) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Grupos de Segurança de Rede (microsoft.network/networksecuritygroups). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para endereços IP Públicos (microsoft.network/publicipaddresses) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos nos Endereços IP Públicos (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.2.0 |
| Enable registro em log por grupo de categorias para endereços IP públicos (microsoft.network/publicipaddresses) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para endereços IP públicos (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para endereços IP Públicos (microsoft.network/publicipaddresses) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para Endereços IP Públicos (microsoft.network/publicipaddresses). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Prefixos de IP Público (microsoft.network/publicipprefixes) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Prefixos de IP Público (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para prefixos ip públicos (microsoft.network/publicipprefixes) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para prefixos ip públicos (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para Prefixos de IP Público (microsoft.network/publicipprefixes) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Prefixos de IP Público (microsoft.network/publicipprefixes). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Enable registro em log por grupo de categorias para perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de perfis do Gerenciador de Tráfego (microsoft.network/trafficmanagerprofiles). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Habilitar o registro em log por grupo de categorias para gateways de Rede Virtual (microsoft.network/virtualnetworkgateways) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um Hub de Eventos nos gateways de Rede Virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.2.0 |
| Náveis registrando em log por grupo de categorias para gateways de rede virtual (microsoft.network/virtualnetworkgateways) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para gateways de rede virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para gateways de Rede Virtual (microsoft.network/virtualnetworkgateways) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para uma Conta de Armazenamento para gateways de Rede Virtual (microsoft.network/virtualnetworkgateways). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Redes Virtuais (microsoft.network/virtualnetworks) no Hub de Eventos | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para um Hub de Eventos de Redes Virtuais (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.0.0 |
| Nizável registro em log por grupo de categorias para redes virtuais (microsoft.network/virtualnetworks) para Log Analytics | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Essa política implanta uma configuração de diagnóstico usando um grupo de categorias para rotear logs para um workspace Log Analytics para redes virtuais (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Desativado | 1.1.0 |
| Habilitar o registro em log por grupo de categorias para Redes Virtuais (microsoft.network/virtualnetworks) no Armazenamento | Os logs de recursos devem ser habilitados para acompanhar atividades e eventos que ocorrem em seus recursos e fornecer visibilidade e insights sobre quaisquer alterações que ocorram. Esta política implanta uma configuração de diagnóstico utilizando um grupo de categorias para rotear logs para uma Conta de Armazenamento de Redes Virtuais (microsoft.network/virtualnetworks). | DeployIfNotExists; AuditIfNotExists; Desabilitado | 1.0.0 |
| os logs Flow devem ser configurados para cada grupo de segurança de rede | Uma auditoria de grupos de segurança de rede para verificar se os logs de fluxo foram configurados. Habilitar logs de fluxo permite registrar informações sobre o tráfego IP que flui por meio do grupo de segurança de rede. Ele pode ser usado para otimizar os fluxos de rede, monitorar a taxa de transferência, verificar a conformidade, detectar invasões e muito mais. | Auditoria; Desactivado | 1.1.0 |
| [Versão prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado no Linux virtual machines | A Central de Segurança usa o agente de dependência Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. | AuditIfNotExists; Desactivado | 1.0.2-preview |
| [Versão prévia]: o agente de coleta de dados de tráfego de rede deve ser instalado em Windows máquinas virtuais | A Central de Segurança usa o agente de dependência Microsoft para coletar dados de tráfego de rede de suas máquinas virtuais Azure para habilitar recursos avançados de proteção de rede, como visualização de tráfego no mapa de rede, recomendações de proteção de rede e ameaças de rede específicas. | AuditIfNotExists; Desactivado | 1.0.2-preview |
| Observador de Rede logs de fluxo devem ter a análise de tráfego habilitada | A análise de tráfego analisa logs de fluxo para fornecer insights sobre o fluxo de tráfego em sua nuvem de Azure. Ele pode ser usado para visualizar a atividade de rede em suas assinaturas de Azure e identificar pontos de acesso, identificar ameaças à segurança, entender padrões de fluxo de tráfego, identificar configurações incorretas de rede e muito mais. | Auditoria; Desactivado | 1.0.1 |
| Os logs de recursos dos endereços IP públicos devem ser habilitados para a Proteção contra DDoS do Azure | Habilite os logs de recursos para endereços IP públicos nas configurações de diagnóstico para transmitir para um workspace Log Analytics. Obtenha visibilidade detalhada do tráfego de ataque e das ações tomadas para atenuar DDoS por meio de notificações, relatórios e logs de fluxo. | AuditIfNotExists; DeployIfNotExists; Desativado | 1.0.1 |
LT-5: centralizar o gerenciamento e a análise de logs de segurança
Para obter mais informações, consulte Registro em log e detecção de ameaças: LT-5: centralize o gerenciamento e a análise de logs de segurança.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| os computadores habilitados para Linux Arc devem ter Azure Monitor Agent instalado | Os computadores habilitados para Linux Arc devem ser monitorados e protegidos por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Esta política fará a auditoria de máquinas virtuais habilitadas para Arc em regiões com suporte. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 1.2.0 |
| os conjuntos de dimensionamento de máquinas virtuais Linux devem ter Azure Monitor Agent instalado | Os conjuntos de dimensionamento de máquinas virtuais do Linux devem ser monitorados e protegidos por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Essa política fará a auditoria dos conjuntos de dimensionamento de máquinas virtuais com imagens do sistema operacional com suporte em regiões com suporte. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 3.6.0 |
| as máquinas virtuais Linux devem ter Azure Monitor Agent instalado | As máquinas virtuais do Linux devem ser monitoradas e protegidas por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Essa política fará a auditoria das máquinas virtuais com imagens do sistema operacional com suporte em regiões com suporte. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 3.6.0 |
| Log Analytics agente deve ser instalado em suas instâncias de função dos Serviços de Nuvem (suporte estendido) | A Central de Segurança coleta dados das instâncias de função dos Serviços de Nuvem (suporte estendido) para monitorar vulnerabilidades e ameaças à segurança. | AuditIfNotExists; Desactivado | 2.0.0 |
| Saved-queries no Azure Monitor deve ser salvo na conta de armazenamento do cliente para criptografia de logs | Vincule a conta de armazenamento ao Log Analytics workspace para proteger consultas salvas com criptografia de conta de armazenamento. As chaves gerenciadas pelo cliente geralmente são necessárias para atender à conformidade regulatória e para obter mais controle sobre o acesso às consultas salvas no Azure Monitor. Para obter mais detalhes sobre o acima, consulte Chave gerenciada porCustomer para consultas salvas em Azure Monitor. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Windows computadores habilitados para Arc devem ter Azure Monitor Agent instalado | Windows computadores habilitados para Arc devem ser monitorados e protegidos por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Windows computadores habilitados para Arc em regiões com suporte são monitorados para implantação do agente de Azure Monitor. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 1.4.0 |
| Windows conjuntos de dimensionamento de máquinas virtuais devem ter Azure Monitor Agent instalado | Windows conjuntos de dimensionamento de máquinas virtuais devem ser monitorados e protegidos por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Conjuntos de dimensionamento de máquinas virtuais com sistema operacional com suporte e em regiões com suporte são monitorados para implantação do agente de Azure Monitor. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 3.5.0 |
| Windows máquinas virtuais devem ter Azure Monitor Agent instalado | Windows máquinas virtuais devem ser monitoradas e protegidas por meio do agente de Azure Monitor implantado. O agente de Azure Monitor coleta dados de telemetria do sistema operacional convidado. Windows máquinas virtuais com sistema operacional com suporte e em regiões com suporte são monitoradas para implantação do agente de Azure Monitor. Saiba mais: https://aka.ms/AMAOverview. | AuditIfNotExists; Desactivado | 3.5.0 |
LT-6: configurar a retenção de storage de log
Para obter mais informações, consulte Logging and Threat Detection: LT-6: Configure log storage retention.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| servidores SQL com auditoria para storage destino da conta devem ser configurados com retenção de 90 dias ou superior | Para fins de investigação de incidentes, recomendamos definir a retenção de dados para a auditoria do SQL Server para o destino da conta de armazenamento para pelo menos 90 dias. Confirme que você está cumprindo as regras de retenção necessárias para as regiões em que está operando. Às vezes, isso é necessário para que você tenha conformidade com os padrões regulatórios. | AuditIfNotExists; Desactivado | 3.0.0 |
NS-1: estabelecer limites de segmentação de rede
Para obter mais informações, consulte Segurança de Rede: NS-1: estabelecer limites de segmentação de rede.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual | Central de Segurança do Azure identificou algumas das regras de entrada de seus grupos de segurança de rede como permissivas demais. As regras de entrada não devem permitir access de intervalos "Qualquer" ou "Internet". Isso tem o potencial de tornar seus recursos alvos de invasores. | AuditIfNotExists; Desactivado | 3.0.0 |
| Azure Clusters kubernetes devem usar Azure CNI | Azure CNI é um pré-requisito para alguns recursos Serviço de Kubernetes do Azure, incluindo políticas de rede Azure, pools de nós Windows e complemento de nós virtuais. Saiba mais em: https://aka.ms/aks-azure-cni | Auditoria; Desactivado | 1.0.1 |
| A virtual machines voltada para a Rede deve ser protegida com grupos de segurança de rede | Proteja seus virtual machines contra ameaças potenciais restringindo access a eles com NSG (grupos de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em Azure visão geral dos grupos de segurança de rede | AuditIfNotExists; Desactivado | 3.0.0 |
| [Versão prévia]: os computadores devem ter portas fechadas que possam expor vetores de ataque | os Termos de Uso da Azure proíbem o uso de serviços Azure de maneiras que possam danificar, desabilitar, sobrecarregar ou prejudicar qualquer servidor Microsoft ou a rede. As portas expostas identificadas por essa recomendação precisam ser fechadas para a manutenção da sua segurança. Para cada porta identificada, a recomendação também fornece uma explicação da ameaça potencial. | AuditIfNotExists; Desactivado | 1.0.0-preview |
| Não virtual machines voltado para a Internet deve ser protegido com grupos de segurança de rede | Proteja seus virtual machines não voltados para a Internet contra possíveis ameaças restringindo access com NSG (grupos de segurança de rede). Saiba mais sobre como controlar o tráfego com NSGs em Azure visão geral dos grupos de segurança de rede | AuditIfNotExists; Desactivado | 3.0.0 |
| Subnets devem ser associados a um Grupo de Segurança de Rede | Proteja sua sub-rede contra ameaças potenciais restringindo access a ela com um NSG (Grupo de Segurança de Rede). Os NSGs contêm uma lista de regras de ACL (lista de Controle de Acesso) que permitem ou negam o tráfego de rede para sua sub-rede. | AuditIfNotExists; Desactivado | 3.0.0 |
| As máquinas virtuais devem estar conectadas a uma rede virtual aprovada | Essa política audita as máquinas virtuais que estão conectadas a uma rede virtual que não foi aprovada. | Auditoria; Negar; Desactivado | 1.0.0 |
| As redes virtuais devem usar o gateway de rede virtual especificado | Essa política audita as redes virtuais em que a rota padrão não aponta para o gateway de rede virtual especificado. | AuditIfNotExists; Desactivado | 1.0.0 |
NS-2: proteger serviços nativos de nuvem com controles de rede
Para obter mais informações, consulte Segurança de Rede: NS-2: Proteger serviços nativos de nuvem com controles de rede.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| API Management serviços devem usar um virtual network | Rede Virtual do Azure implantação fornece segurança, isolamento e permite que você coloque seu serviço de Gerenciamento de API em uma rede roteável que você controla o acesso. Essas redes podem então ser conectadas às suas redes locais usando várias tecnologias VPN, o que permite access aos seus serviços de back-end na rede e/ou no local. O portal do desenvolvedor e o gateway de API podem ser configurados para serem acessíveis na Internet ou somente no virtual network. | Auditoria; Negar; Desactivado | 1.0.2 |
| API Management deve desabilitar access de rede pública para os pontos de extremidade de configuração de serviço | Para melhorar a segurança dos serviços de API Management, restrinja a conectividade aos pontos de extremidade de configuração de serviço, como a API de gerenciamento de access direta, o ponto de extremidade de gerenciamento de configuração do Git ou o ponto de extremidade de configuração de gateways auto-hospedados. | AuditIfNotExists; Desactivado | 1.0.1 |
| App Configuration deve desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: Use pontos de extremidade privados para Configuração de Aplicativos do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| App Configuration deve usar um SKU compatível com private link | Ao usar um SKU com suporte, Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para suas instâncias de app configuration em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Use pontos de extremidade privados para Configuração de Aplicativos do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| App Configuration deve usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para suas instâncias de app configuration em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Use pontos de extremidade privados para Configuração de Aplicativos do Azure. | AuditIfNotExists; Desactivado | 1.0.2 |
| Os slots de aplicativos do Serviço de Aplicativo devem ser injetados em uma rede virtual | Injetar Aplicativos do Serviço de Aplicativo em uma rede virtual desbloqueia os recursos avançados de segurança e rede do Serviço de Aplicativo e fornece maior controle em relação à configuração de segurança da rede. Saiba mais em: /azure/app-service/web-sites-integration-with-vnet. | Auditoria; Negar; Desactivado | 1.2.0 |
| App Service slots de aplicativo devem desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o App Service não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de um App Service. Saiba mais em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Desactivado; Negar | 1.0.0 |
| os slots de aplicativo App Service devem habilitar o roteamento de configuração para Rede Virtual do Azure | Por padrão, a configuração do aplicativo, como efetuar pull de imagens de contêiner e montagem de armazenamento de conteúdo, não é roteada por meio da integração regional da VNET. Para versões de API antes de 2024-11-01, defina 'vnetImagePullEnabled' e 'vnetContentShareEnabled' como true. Para 2024-11-01+, defina 'outboundVnetRouting.imagePullTraffic' e 'outboundVnetRouting.contentShareTraffic' como true. Saiba mais em https://aka.ms/appservice-vnet-configuration-routing. | Auditoria; Negar; Desactivado | 1.1.0 |
| os slots de aplicativo App Service devem habilitar o tráfego não RFC 1918 de saída para Rede Virtual do Azure | Por padrão, a integração regional da VNET roteia apenas RFC1918 tráfego para a rede virtual. Para versões de API antes de 2024-11-01, defina 'vnetRouteAllEnabled' como true para habilitar todo o tráfego de saída no Rede Virtual do Azure. Para 2024-11-01+, defina 'outboundVnetRouting.applicationTraffic' como true. Isso permite grupos de segurança de rede e rotas definidas pelo usuário para todo o tráfego de saída. | Auditoria; Negar; Desactivado | 1.1.0 |
| Os aplicativos do Serviço de Aplicativo devem ser injetados em uma rede virtual | Injetar Aplicativos do Serviço de Aplicativo em uma rede virtual desbloqueia os recursos avançados de segurança e rede do Serviço de Aplicativo e fornece maior controle em relação à configuração de segurança da rede. Saiba mais em: /azure/app-service/web-sites-integration-with-vnet. | Auditoria; Negar; Desactivado | 3.2.0 |
| App Service aplicativos devem desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o App Service não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de um App Service. Saiba mais em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Desactivado; Negar | 1.1.0 |
| os aplicativos App Service devem habilitar o roteamento de configuração para Rede Virtual do Azure | Por padrão, a configuração do aplicativo, como efetuar pull de imagens de contêiner e montagem de armazenamento de conteúdo, não é roteada por meio da integração regional da VNET. Para versões de API antes de 2024-11-01, defina 'vnetImagePullEnabled' e 'vnetContentShareEnabled' como true. Para 2024-11-01+, defina 'outboundVnetRouting.imagePullTraffic' e 'outboundVnetRouting.contentShareTraffic' como true. Saiba mais em https://aka.ms/appservice-vnet-configuration-routing. | Auditoria; Negar; Desactivado | 1.1.0 |
| os aplicativos App Service devem habilitar o tráfego de saída não RFC 1918 para Rede Virtual do Azure | Por padrão, a integração regional da VNET roteia apenas RFC1918 tráfego para a rede virtual. Para versões de API antes de 2024-11-01, defina 'vnetRouteAllEnabled' como true para habilitar todo o tráfego de saída no Rede Virtual do Azure. Para 2024-11-01+, defina 'outboundVnetRouting.applicationTraffic' como true. Isso permite grupos de segurança de rede e rotas definidas pelo usuário para todo o tráfego de saída. | Auditoria; Negar; Desactivado | 1.1.0 |
| App Service aplicativos devem usar um SKU compatível com private link | Com SKUs com suporte, Link Privado do Azure permite que você conecte sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Com o mapeamento dos pontos de extremidade privados para os aplicativos, você poderá reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Negar; Desactivado | 4.3.0 |
| Os aplicativos do Serviço de Aplicativo devem usar um ponto de extremidade de serviço de rede virtual | Use pontos de extremidade de serviço de rede virtual para restringir o acesso ao aplicativo de sub-redes selecionadas de uma rede virtual Azure. Para saber mais sobre pontos de extremidade de serviço do Serviço de Aplicativo, acesse https://aka.ms/appservice-vnet-service-endpoint. | AuditIfNotExists; Desactivado | 2.0.1 |
| App Service aplicativos devem usar private link | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para App Service, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Usar pontos de extremidade privados para aplicativos. | AuditIfNotExists; Desactivado | 1.0.1 |
| Ambiente do Serviço de Aplicativo aplicativos não devem ser acessíveis pela Internet pública | Para garantir que os aplicativos implantados em um Ambiente do Serviço de Aplicativo não estejam acessíveis pela Internet pública, é necessário implantar Ambiente do Serviço de Aplicativo com um endereço IP na rede virtual. Para definir o endereço IP para um IP de rede virtual, o Ambiente do Serviço de Aplicativo deve ser implantado com um balanceador de carga interno. | Auditoria; Negar; Desactivado | 3.0.0 |
| os componentes do Application Insights devem bloquear a ingestão de log e a consulta de redes públicas | Melhore a segurança do Application Insights bloqueando a ingestão de logs e a consulta de redes públicas. Somente redes conectadas de link privado poderão ingerir e consultar logs desse componente. Saiba mais em Use Link Privado do Azure para conectar redes ao Azure Monitor. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Os componentes do Application Insights com o Link Privado habilitado devem usar contas BYOS (traga seu próprio armazenamento) para o criador de perfil e o depurador. | Para dar suporte a políticas de link privado e chave gerenciada pelo cliente, crie sua própria conta de armazenamento para o criador de perfil e o depurador. Saiba mais em /azure/azure-monitor/app/profiler-bring-your-own-storage | Negar; Auditoria; Desactivado | 1.0.0 |
| os intervalos de IP Authorized devem ser definidos nos Serviços kubernetes | Restrinja access à API de Gerenciamento de Serviços do Kubernetes concedendo access de API apenas a endereços IP em intervalos específicos. É recomendável limitar access a intervalos de IP autorizados para garantir que somente aplicativos de redes permitidas possam access o cluster. | Auditoria; Desactivado | 2.0.1 |
| as contas Automation devem desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Você pode limitar a exposição dos recursos da conta de Automação criando pontos de extremidade privados. Saiba mais em: Use Link Privado do Azure para conectar redes com segurança ao Automação do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| Pesquisa de IA do Azure serviço deve usar um SKU que dê suporte ao link privado | Com SKUs de Pesquisa de IA do Azure com suporte, Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para seu Search service, os riscos de vazamento de dados são reduzidos. Saiba mais em: Criar um ponto de extremidade privado para uma conexão segura. | Auditoria; Negar; Desactivado | 1.0.1 |
| Pesquisa de IA do Azure serviços devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu serviço de Pesquisa de IA do Azure não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do Search service. Saiba mais em: Criar um ponto de extremidade privado para uma conexão segura. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure os recursos dos Serviços de IA devem restringir o acesso à rede | Ao restringir access de rede, você pode garantir que somente redes permitidas possam access o serviço. Isso pode ser feito configurando regras de rede para que somente aplicativos de redes permitidas possam acessar a ferramenta Microsoft Foundry. | Auditoria; Negar; Desactivado | 3.3.0 |
| Azure os recursos dos Serviços de IA devem usar Link Privado do Azure | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado reduz os riscos de vazamento de dados manipulando a conectividade entre o consumidor e os serviços na rede de backbone Azure. Saiba mais sobre links privados em: O que é Link Privado do Azure? | Auditoria; Desactivado | 1.0.0 |
| Azure API para FHIR deve usar o link privado | Azure API para FHIR deve ter pelo menos uma conexão de ponto de extremidade privado aprovada. Os clientes em um virtual network podem access recursos com segurança que têm conexões de ponto de extremidade privado por meio de links privados. Para obter mais informações, visite: Configure Link Privado para Serviços de Dados de Saúde do Azure. | Auditoria; Desactivado | 1.0.0 |
| Azure Arc Link Privado Escopos devem ser configurados com um ponto de extremidade privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para escopos de Azure Arc Link Privado, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Use Link Privado do Azure para conectar servidores a Azure Arc usando um ponto de extremidade privado. | Auditoria; Desactivado | 1.0.0 |
| Azure Arc Link Privado Escopos devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que Azure Arc recursos não possam se conectar por meio da Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de recursos Azure Arc. Saiba mais em: Use Link Privado do Azure para conectar servidores a Azure Arc usando um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| os clusters kubernetes habilitados para Azure Arc devem ser configurados com um escopo Azure Arc Link Privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear servidores habilitados para Azure Arc para um Escopo Azure Arc Link Privado configurado com um ponto de extremidade privado, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Use Link Privado do Azure para conectar servidores a Azure Arc usando um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| os servidores habilitados para Azure Arc devem ser configurados com um Escopo Azure Arc Link Privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear servidores habilitados para Azure Arc para um Escopo Azure Arc Link Privado configurado com um ponto de extremidade privado, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Use Link Privado do Azure para conectar servidores a Azure Arc usando um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| Atestado do Azure provedores devem desabilitar o acesso à rede pública | Para melhorar a segurança do serviço de Atestado do Azure, verifique se ele não está exposto à Internet pública e só pode ser acessado de um ponto de extremidade privado. Desabilite a propriedade de access de rede pública, conforme descrito em aka.ms/azureattestation. Essa opção desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou rede virtual. Isso reduzirá riscos de vazamento de dados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Cache do Azure para Redis Enterprise deve usar o link privado | Os pontos de extremidade privados permitem que você conecte sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para suas instâncias do Cache do Azure para Redis Enterprise, os riscos de vazamento de dados são reduzidos. Saiba mais em: O que é Cache do Azure para Redis com Link Privado do Azure?. | AuditIfNotExists; Desactivado | 1.0.0 |
| Cache do Azure para Redis deve desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que o Cache do Azure para Redis não seja exposto na Internet pública. Você pode limitar a exposição do Cache do Azure para Redis criando pontos de extremidade privados. Saiba mais em: O que é Cache do Azure para Redis com Link Privado do Azure?. | Auditoria; Negar; Desactivado | 1.0.0 |
| Cache do Azure para Redis deve usar o link privado | Os pontos de extremidade privados permitem que você conecte sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. Ao mapear pontos de extremidade privados para suas instâncias de Cache do Azure para Redis, os riscos de vazamento de dados são reduzidos. Saiba mais em: O que é Cache do Azure para Redis com Link Privado do Azure?. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure grupo de contêineres da Instância de Contêiner deve ser implantado em uma rede virtual | Proteger a comunicação entre seus contêineres com redes virtuais Azure. Quando você especifica uma rede virtual, os recursos dentro da rede virtual podem se comunicar entre si de forma segura e privada. | Auditoria; Desactivado; Negar | 2.0.0 |
| Azure Cosmos DB contas devem ter regras de firewall | As regras de firewall devem ser definidas em suas contas Azure Cosmos DB para impedir o tráfego de fontes não autorizadas. Contas que têm pelo menos uma regra DE IP definida com o filtro de virtual network habilitado são consideradas compatíveis. Contas que desabilitam access públicos também são consideradas compatíveis. | Auditoria; Negar; Desactivado | 2.1.0 |
| Azure Cosmos DB deve desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que sua conta do CosmosDB não seja exposta na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição da conta do CosmosDB. Saiba mais em: Conseque o acesso à rede pública durante Azure Cosmos DB criação da conta. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Data Explorer cluster deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o cluster Azure Data Explorer, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: pontos de extremidade Private para Azure Data Explorer. | Auditoria; Desactivado | 1.0.0 |
| Azure Data Explorer deve usar um SKU compatível com o link privado | Com SKUs com suporte, Link Privado do Azure permite que você conecte sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Com o mapeamento dos pontos de extremidade privados para os aplicativos, você poderá reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Data Factory deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure Data Factory, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Link Privado do Azure para Azure Data Factory. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Databricks Clusters devem desabilitar o IP público | Desabilitar o IP público de clusters em Azure Databricks Workspaces melhora a segurança, garantindo que os clusters não sejam expostos na Internet pública. Saiba mais em: Conjunção segura do cluster. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Databricks Workspaces devem estar em uma rede virtual | Azure Redes Virtuais fornecem segurança e isolamento aprimorados para seus workspaces de Azure Databricks, bem como sub-redes, políticas de controle de acesso e outros recursos para restringir ainda mais o acesso. Saiba mais em: Deploy Azure Databricks em sua rede virtual Azure (injeção de VNet). | Auditoria; Negar; Desactivado | 1.0.2 |
| Azure Databricks workspaces devem ser SKU Premium que dá suporte a recursos como link privado, chave gerenciada pelo cliente para criptografia | Permitir apenas o workspace do Databricks com o Sku Premium que sua organização pode implantar para dar suporte a recursos como Link Privado, chave gerenciada pelo cliente para criptografia. Saiba mais em: Configuração privada de back-end doConfigure para Azure Databricks. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Databricks Workspaces devem desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode controlar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: conceitos Link Privado do Azure. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Databricks Workspaces devem usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para Azure Databricks workspaces, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Configuração privada de back-end doConfigure para Azure Databricks. | Auditoria; Desactivado | 1.0.2 |
| Azure Atualização de Dispositivo para contas de Hub IoT deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure Atualização de Dispositivo para contas de Hub IoT, os riscos de vazamento de dados são reduzidos. | AuditIfNotExists; Desactivado | 1.0.0 |
| Grade de Eventos do Azure domínios devem desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure domínios devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Por meio do mapeamento de pontos de extremidade privados para o seu domínio de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Desactivado | 1.0.2 |
| Grade de Eventos do Azure agente MQTT do namespace deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o namespace da Grade de Eventos em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Desactivado | 1.0.0 |
| Grade de Eventos do Azure agente de tópicos do namespace deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o namespace da Grade de Eventos em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Desactivado | 1.0.0 |
| Grade de Eventos do Azure namespaces devem desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure tópicos devem desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Negar; Desactivado | 1.0.0 |
| Grade de Eventos do Azure tópicos devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Por meio do mapeamento de pontos de extremidade privados para o seu tópico de Grade de Eventos em vez de todo o serviço, você também estará protegido contra riscos de vazamento de dados. Saiba mais em: Configurar pontos de extremidade privados para tópicos ou domínios. | Auditoria; Desactivado | 1.0.2 |
| Sincronização de Arquivos do Azure deve usar o link privado | A criação de um ponto de extremidade privado para o recurso indicado Storage Serviço de Sincronização permite que você resolva seu recurso do Serviço de Sincronização Storage de dentro do espaço de endereço IP privado da rede da sua organização, em vez de por meio do ponto de extremidade público acessível pela Internet. A criação de um ponto de extremidade privado por si só não desabilita o ponto de extremidade público. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Front Door perfis devem usar a camada Premium que dá suporte a regras de WAF gerenciadas e link privado | Azure Front Door Premium dá suporte Azure regras de WAF gerenciadas e link privado para origens de Azure com suporte. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure HDInsight deve usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para Azure HDInsight clusters, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Enable Link Privado em um cluster Azure HDInsight. | AuditIfNotExists; Desactivado | 1.0.0 |
| Serviços de Dados de Saúde do Azure serviço de desabilitação deve desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. | Auditoria; Desactivado | 1.0.0 |
| Serviços de Dados de Saúde do Azure serviço de des identificação deve usar o link privado | Serviços de Dados de Saúde do Azure serviço de des identificação deve ter pelo menos uma conexão de ponto de extremidade privado aprovada. Os clientes em um virtual network podem access recursos com segurança que têm conexões de ponto de extremidade privado por meio de links privados. | Auditoria; Desactivado | 1.0.0 |
| Serviços de Dados de Saúde do Azure workspace deve usar o link privado | O workspace dos Serviços de Dados de Integridade deve ter pelo menos uma conexão de ponto de extremidade privado aprovada. Os clientes em um virtual network podem access recursos com segurança que têm conexões de ponto de extremidade privado por meio de links privados. Para obter mais informações, visite: Configure Link Privado para Serviços de Dados de Saúde do Azure. | Auditoria; Desactivado | 1.0.0 |
| [Versão prévia]: Azure Key Vault HSM gerenciado deve desabilitar o acesso à rede pública | Desabilite o acesso à rede pública para seu HSM gerenciado Azure Key Vault para que ele não seja acessível pela Internet pública. Isso pode reduzir os riscos de vazamento de dados. Saiba mais em: Allow serviços confiáveis para access HSM gerenciado. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| [Versão prévia]: Azure Key Vault HSM gerenciado deve usar o link privado | O link privado fornece uma maneira de conectar Azure Key Vault HSM Gerenciado aos recursos de Azure sem enviar tráfego pela Internet pública. Private link fornece proteção detalhada contra exfiltração de dados. Saiba mais em: Integrate Managed HSM com Link Privado do Azure | Auditoria; Desactivado | 1.0.0-preview |
| Azure Key Vault deve desabilitar o acesso à rede pública | Desabilite access de rede pública para sua key vault para que ela não seja acessível pela Internet pública. Isso pode reduzir os riscos de vazamento de dados. Saiba mais em: Integrate Key Vault com Link Privado do Azure. | Auditoria; Negar; Desactivado | 1.1.0 |
| Azure Key Vault deve ter o firewall habilitado ou o acesso à rede pública desabilitado | Habilite o firewall key vault para que o key vault não seja acessível por padrão a nenhum IPs públicos ou desabilite access de rede pública para seu key vault para que ele não seja acessível pela Internet pública. Opcionalmente, você pode configurar intervalos de IP específicos para limitar access a essas redes. Saiba mais em: Network security for Azure Key Vault and Integrate Key Vault with Link Privado do Azure | Auditoria; Negar; Desactivado | 3.3.0 |
| Azure Key Vaults devem usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para key vault, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Integrate Key Vault com Link Privado do Azure. | Auditoria; Negar; Desactivado | 1.2.1 |
| Serviço de Kubernetes do Azure Clusters Privados devem ser habilitados | Habilite o recurso de cluster privado para o cluster Serviço de Kubernetes do Azure para garantir que o tráfego de rede entre o servidor de API e os pools de nós permaneça apenas na rede privada. Esse é um requisito comum em muitos padrões de conformidade regulatórias e do setor. | Auditoria; Negar; Desactivado | 1.0.1 |
| Azure Machine Learning e o Ai Studio devem usar somente o modo de Vnet gerenciado de saída aprovado | O isolamento de VNet gerenciado simplifica e automatiza sua configuração de isolamento de rede com uma VNet gerenciada de Azure Machine Learning interna no nível do workspace. A VNet gerenciada protege seus recursos de Azure Machine Learning gerenciados, como instâncias de computação, clusters de computação, computação sem servidor e pontos de extremidade online gerenciados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Machine Learning Computes devem estar em uma rede virtual | Azure Redes Virtuais fornecem segurança e isolamento aprimorados para seus Azure Machine Learning Clusters e Instâncias de Computação, bem como sub-redes, políticas de controle de acesso e outros recursos para restringir ainda mais o acesso. Quando uma computação é configurada com um virtual network, ela não é endereçável publicamente e só pode ser acessada de virtual machines e aplicativos no virtual network. | Auditoria; Desactivado | 1.0.1 |
| Azure Machine Learning Workspaces devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que os workspaces Machine Learning não sejam expostos na Internet pública. Em vez disso, você pode controlar a exposição dos seus espaços de trabalho criando pontos de extremidade privados. Saiba mais em: Configurar um ponto de extremidade privado para um workspace Azure Machine Learning. | Auditoria; Negar; Desactivado | 2.0.1 |
| Azure Machine Learning workspaces devem usar link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure Machine Learning workspaces, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Configurar um ponto de extremidade privado para um workspace Azure Machine Learning. | Auditoria; Desactivado | 1.0.0 |
| Espaço Gerenciado do Azure para Grafana workspaces devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que seu workspace Espaço Gerenciado do Azure para Grafana não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de seus workspaces. | Auditoria; Negar; Desactivado | 1.0.0 |
| Espaço Gerenciado do Azure para Grafana workspaces devem usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o Grafana Gerenciado, você pode reduzir os riscos de vazamento de dados. | Auditoria; Desactivado | 1.0.1 |
| Azure Monitor Link Privado Scope deve bloquear o acesso a recursos não private link | Link Privado do Azure permite conectar suas redes virtuais a recursos Azure por meio de um ponto de extremidade privado a um escopo de Azure Monitor Link Privado (AMPLS). Link Privado modos de acesso são definidos em seu AMPLS para controlar se solicitações de ingestão e consulta de suas redes podem alcançar todos os recursos ou apenas Link Privado recursos (para impedir a exfiltração de dados). Saiba mais sobre links privados em: Link Privado do Azure modos de acesso (somente privado vs. open). | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Monitor Link Privado Scope deve usar private link | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para Azure Monitor Escopo de Links Privados, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Use Link Privado do Azure para conectar redes ao Azure Monitor. | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure contas do Purview devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para suas contas Azure do Purview em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Use pontos de extremidade privados no portal de governança do Microsoft Purview clássico. | Auditoria; Desactivado | 1.0.0 |
| [Prévia]: os cofres dos Serviços de Recuperação do Azure devem desabilitar o acesso à rede pública | A desativação do acesso à rede pública melhora a segurança, garantindo que o cofre de serviços de recuperação não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição do cofre dos serviços de recuperação. Saiba mais em: https://aka.ms/AB-PublicNetworkAccess-Deny. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| [Versão prévia]: os cofres dos Serviços de Recuperação Azure devem usar o link privado para backup | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure cofres dos Serviços de Recuperação, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Criar e usar pontos de extremidade privados para Backup do Azure. | Auditoria; Desactivado | 2.0.0-preview |
| Barramento de Serviço do Azure namespaces devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Barramento de Serviço namespaces, os riscos de vazamento de dados são reduzidos. Saiba mais em: Conseca o acesso a namespaces Barramento de Serviço do Azure por meio de pontos de extremidade privados. | AuditIfNotExists; Desactivado | 1.0.0 |
| Serviço do Azure SignalR deve desabilitar o acesso à rede pública | Para melhorar a segurança de Serviço do Azure SignalR recurso, verifique se ele não está exposto à Internet pública e só pode ser acessado de um ponto de extremidade privado. Desabilite a propriedade de access de rede pública, conforme descrito em Configuração de rede access control. Essa opção desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou rede virtual. Isso reduzirá riscos de vazamento de dados. | Auditoria; Negar; Desactivado | 1.2.0 |
| Serviço do Azure SignalR deve usar uma SKU habilitada para Link Privado | Link Privado do Azure permite que você conecte sua rede virtual a serviços Azure sem um endereço IP público na origem ou destino que proteja seus recursos contra riscos de vazamento de dados públicos. A política limita você a Link Privado SKUs habilitadas para Serviço do Azure SignalR. Saiba mais sobre private link em: Use pontos de extremidade privados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Serviço do Azure SignalR deve usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para o recurso Serviço do Azure SignalR em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: Usar pontos de extremidade privados. | Auditoria; Desactivado | 1.0.0 |
| Azure Spring Cloud deve usar injeção de rede | Azure instâncias do Spring Cloud devem usar a injeção de rede virtual para as seguintes finalidades: 1. Isole Azure Spring Cloud da Internet. 2 Habilite Azure Spring Cloud para interagir com sistemas em data centers locais ou Azure serviço em outras redes virtuais. 3. Capacitar os clientes a controlar as comunicações de rede de entrada e saída para Azure Spring Cloud. | Auditoria; Desactivado; Negar | 1.2.0 |
| SQL do Azure Instâncias Gerenciadas devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública (ponto de extremidade público) em SQL do Azure Instâncias Gerenciadas melhora a segurança, garantindo que elas só possam ser acessadas de dentro de suas redes virtuais ou por meio de pontos de extremidade privados. Para saber mais sobre access de rede pública, visite Configure Public Endpoint. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Synapse workspaces devem permitir o tráfego de dados de saída somente para destinos aprovados | Aumente a segurança do workspace do Synapse permitindo o tráfego de dados de saída apenas para destinos aprovados. Isso ajuda a prevenção contra a exfiltração de dados validando o destino antes de enviar dados. | Auditoria; Desactivado; Negar | 1.0.0 |
| Azure Synapse workspaces devem desabilitar o acesso à rede pública | Desabilitar a rede pública access melhora a segurança, garantindo que o workspace do Synapse não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição dos workspaces do Synapse. Saiba mais em: Azure Synapse Analytics configurações de conectividade. | Auditoria; Negar; Desactivado | 1.0.0 |
| os workspaces Azure Synapse devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure Synapse workspace, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Conectar ao workspace Azure Synapse usando links privados. | Auditoria; Desactivado | 1.0.1 |
| Área de Trabalho Virtual do Azure os hostpools devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança e mantém seus dados seguros, garantindo que o acesso ao serviço Área de Trabalho Virtual do Azure não seja exposto à Internet pública. Saiba mais em: Conseje Link Privado com Área de Trabalho Virtual do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| Área de Trabalho Virtual do Azure os hostpools devem desabilitar o acesso à rede pública somente em hosts de sessão | Desabilitar o acesso à rede pública para seus hosts de sessão de hostpool Área de Trabalho Virtual do Azure, mas permitir o acesso público para usuários finais melhora a segurança limitando a exposição à Internet pública. Saiba mais em: Conseje Link Privado com Área de Trabalho Virtual do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| Área de Trabalho Virtual do Azure serviço deve usar o link privado | Usar Link Privado do Azure com seus recursos de Área de Trabalho Virtual do Azure pode melhorar a segurança e manter seus dados seguros. Saiba mais sobre links privados em: Conseje Link Privado com Área de Trabalho Virtual do Azure. | Auditoria; Desactivado | 1.0.0 |
| Área de Trabalho Virtual do Azure workspaces devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública para seu recurso de workspace Área de Trabalho Virtual do Azure impede que o feed seja acessível pela Internet pública. Permitir apenas access de rede privada melhora a segurança e mantém seus dados seguros. Saiba mais em: Conseje Link Privado com Área de Trabalho Virtual do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Web PubSub Service deve desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que Azure Web PubSub serviço não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de Azure Web PubSub serviço. Saiba mais em: Azure Web PubSub controle de acesso à rede. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Web PubSub Service deve usar um SKU compatível com o link privado | Com o SKU com suporte, Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Mapeando pontos de extremidade privados para Azure Web PubSub serviço, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Azure Web PubSub ponto de extremidade privado de serviço. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Web PubSub Service deve usar o link privado | Link Privado do Azure permite conectar suas redes virtuais a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Mapeando pontos de extremidade privados para seu serviço de Azure Web PubSub, você pode reduzir os riscos de vazamento de dados. Saiba mais sobre links privados em: Azure Web PubSub ponto de extremidade privado de serviço. | Auditoria; Desactivado | 1.0.0 |
| Serviço de Bot deve ter o modo isolado habilitado | Os bots devem ser definidos como modo "somente isolado". Essa configuração configura Serviço de Bot canais que exigem que o tráfego pela Internet pública seja desabilitado. | Auditoria; Negar; Desactivado | 2.1.0 |
| Serviço de Bot deve ter o acesso à rede pública desabilitado | Os bots devem ser definidos como modo "somente isolado". Essa configuração configura Serviço de Bot canais que exigem que o tráfego pela Internet pública seja desabilitado. | Auditoria; Negar; Desactivado | 1.0.0 |
| os recursos BotService devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o recurso botService, os riscos de vazamento de dados são reduzidos. | Auditoria; Desactivado | 1.0.0 |
| Os ambientes de aplicativo de contêiner devem usar a injeção de rede | Os ambientes de Aplicativos de Contêiner devem usar a injeção de rede virtual para: 1.Isolar aplicativos de contêiner da Internet pública 2.Habilitar a integração de rede com recursos locais ou em outros Azure redes virtuais 3.Obter um controle mais granular sobre o tráfego de rede que flui de e para o ambiente. | Auditoria; Desactivado; Negar | 1.0.2 |
| Container Apps deve desabilitar a rede pública access | Desabilite access de rede pública para melhorar a segurança expondo o ambiente de Aplicativos de Contêiner por meio de uma load balancer interna. Isso remove a necessidade de um endereço IP público e impede que os access da Internet para todos os Aplicativos de Contêiner dentro do ambiente. | Auditoria; Negar; Desactivado | 1.1.0 |
| Os Aplicativos de Contêiner devem desabilitar o acesso à rede externa | Desabilite o acesso de rede externa aos Aplicativos de Contêiner impondo a entrada somente interna. Isso garantirá que a comunicação de entrada para Aplicativos de Contêiner esteja limitada aos chamadores dentro do ambiente de Aplicativos de Contêiner. | Auditoria; Negar; Desactivado | 1.1.0 |
| Container os registros devem ter SKUs compatíveis com Links Privados | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, os riscos de vazamento de dados são reduzidos. Saiba mais em: Set Up Private Endpoint with Link Privado for ACR. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure registros de contêiner, por padrão, aceite conexões pela Internet de hosts em qualquer rede. Para proteger seus registros contra possíveis ameaças, permita access somente de pontos de extremidade privados específicos, endereços IP públicos ou intervalos de endereços. Se o Registro não tiver regras de rede configuradas, ele será exibido nos recursos não íntegros. Saiba mais sobre as regras de rede do Registro de Contêiner aqui: Set Up Private Endpoint with Link Privado for ACR, Configure Public Registry Access in Azure and Restrict Access to Registro de Contêiner do Azure Using Service Endpoints. | Auditoria; Negar; Desactivado | 2.0.0 | |
| Container registries deve usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para seus registros de contêiner em vez de todo o serviço, você também será protegido contra riscos de vazamento de dados. Saiba mais em: Set Up Private Endpoint with Link Privado for ACR. | Auditoria; Desactivado | 1.0.1 |
| [Versão prévia]: o Registro de Contêiner deve usar um ponto de extremidade de serviço de rede virtual | Esta política audita os Registros de Contêiner que não estão configurados para usar um ponto de extremidade de serviço de rede virtual. | Auditoria; Desactivado | 1.0.0-preview |
| O Microsoft Azure Cosmos DB deve utilizar um ponto de extremidade de serviço de rede virtual | Essa política audita qualquer Cosmos DB que não esteja configurado para usar um ponto de extremidade de serviço de rede virtual. | Auditoria; Desactivado | 1.0.0 |
| as contas CosmosDB devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Quando os pontos de extremidade privados são mapeados para a conta do CosmosDB, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Configure Link Privado do Azure para uma conta Azure Cosmos DB. | Auditoria; Desactivado | 1.0.0 |
| Disk access recursos devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Com o mapeamento dos pontos de extremidade privados para diskAccesses, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: A importação/exportação doRestrict access para managed disks. | AuditIfNotExists; Desactivado | 1.0.0 |
| ElasticSan deve desabilitar a rede pública access | Desabilite access de rede pública para seu ElasticSan para que ele não seja acessível pela Internet pública. Isso pode reduzir os riscos de vazamento de dados. | Auditoria; Negar; Desactivado | 1.0.0 |
| os namespaces do Hub Event devem desabilitar a rede pública access | Azure Hub de Eventos deve ter o acesso à rede pública desabilitado. Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: Conseje acessar namespaces Hubs de Eventos do Azure por meio de pontos de extremidade privados | Auditoria; Negar; Desactivado | 1.0.0 |
| os namespaces do Hub Event devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Quando os pontos de extremidade privados são mapeados para os namespaces do Hub de Eventos, os riscos de vazamento de dados são reduzidos. Saiba mais em: Conseca o acesso a namespaces Hubs de Eventos do Azure por meio de pontos de extremidade privados. | AuditIfNotExists; Desactivado | 1.0.0 |
| O Hub de Eventos deve usar um ponto de extremidade de serviço de rede virtual | Essa política audita os Hubs de Eventos que não estão configurados para usar um ponto de extremidade de serviço de rede virtual. | AuditIfNotExists; Desactivado | 1.0.0 |
| os slots de aplicativo Function devem desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o aplicativo de funções não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de um aplicativo de funções. Saiba mais em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Desactivado; Negar | 1.1.0 |
| os aplicativos Function devem desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que o aplicativo de funções não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de um aplicativo de funções. Saiba mais em: Usar pontos de extremidade privados para aplicativos. | Auditoria; Desactivado; Negar | 1.1.0 |
| IoT Central deve usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma de link privado lida com a conectividade entre o consumidor e os serviços na rede de backbone Azure. Ao mapear pontos de extremidade privados para seu aplicativo IoT Central em vez de todo o serviço, você reduzirá os riscos de vazamento de dados. Saiba mais sobre links privados em: Segurança de rede usando pontos de extremidade privados no IoT Central. | Auditoria; Negar; Desactivado | 1.0.0 |
| Hub IoT instâncias do serviço de provisionamento de dispositivos devem desabilitar o acesso à rede pública | Desabilitar o acesso à rede pública melhora a segurança, garantindo que Hub IoT instância do serviço de provisionamento de dispositivos não seja exposta na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição das instâncias de provisionamento de dispositivos Hub IoT. Saiba mais em: Virtual network conexões para DPS. | Auditoria; Negar; Desactivado | 1.0.0 |
| Hub IoT instâncias do serviço de provisionamento de dispositivos devem usar o link privado | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para o serviço de provisionamento de dispositivos Hub IoT, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Virtual network conexões para DPS. | Auditoria; Desactivado | 1.0.0 |
| As regras de firewall de IP nos workspaces do Azure Synapse devem ser removidas | A remoção de todas as regras de firewall de IP melhora a segurança, garantindo que seu workspace Azure Synapse só possa ser acessado de um ponto de extremidade privado. Essa configuração audita a criação de regras de firewall que permitem o acesso à rede pública no workspace. | Auditoria; Desactivado | 1.0.0 |
| Key Vault deve usar um ponto de extremidade de serviço de rede virtual | Essa política audita qualquer Key Vault não configurado para usar um ponto de extremidade de serviço de rede virtual. | Auditoria; Desactivado | 1.0.0 |
| Log Analytics workspaces devem bloquear a ingestão de log e a consulta de redes públicas | Melhore a segurança do workspace bloqueando a ingestão de logs e a consulta de redes públicas. Somente redes conectadas de link privado poderão ingerir e consultar logs nesse workspace. Saiba mais em Use Link Privado do Azure para conectar redes ao Azure Monitor. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 1.1.0 |
| Managed disks deve desabilitar a rede pública access | Desabilitar a rede pública access melhora a segurança, garantindo que um disco gerenciado não seja exposto na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de managed disks. Saiba mais em: Restrict import/export access para managed disks. | Auditoria; Negar; Desactivado | 2.1.0 |
| A rede virtual do workspace gerenciado em Azure Synapse workspaces deve ser habilitada | Habilitar uma rede virtual de workspace gerenciado garante que seu workspace esteja isolado de rede de outros workspaces. A integração de dados e os recursos do Spark implantados nessa rede virtual também fornecem isolamento no nível do usuário para atividades do Spark. | Auditoria; Negar; Desactivado | 1.0.0 |
| O servidor MariaDB deve usar um ponto de extremidade de serviço de rede virtual | As regras de firewall baseadas em rede virtual são usadas para habilitar o tráfego de uma sub-rede específica para Banco de Dados do Azure para MariaDB, garantindo que o tráfego permaneça dentro do limite Azure. Essa política fornece uma maneira de auditar se o Banco de Dados do Azure para MariaDB tem o ponto de extremidade de serviço de rede virtual sendo usado. | AuditIfNotExists; Desactivado | 1.0.2 |
| O servidor MySQL deve usar um ponto de extremidade de serviço de rede virtual | As regras de firewall baseadas em rede virtual são usadas para habilitar o tráfego de uma sub-rede específica para Banco de Dados do Azure para MySQL, garantindo que o tráfego permaneça dentro do limite Azure. Essa política fornece uma maneira de auditar se o Banco de Dados do Azure para MySQL tem o ponto de extremidade de serviço de rede virtual sendo usado. | AuditIfNotExists; Desactivado | 1.0.2 |
| O servidor PostgreSQL deve usar um ponto de extremidade de serviço de rede virtual | As regras de firewall baseadas em rede virtual são usadas para habilitar o tráfego de uma sub-rede específica para Banco de Dados do Azure para PostgreSQL, garantindo que o tráfego permaneça dentro do limite Azure. Essa política fornece uma maneira de auditar se o Banco de Dados do Azure para PostgreSQL tem o ponto de extremidade de serviço de rede virtual sendo usado. | AuditIfNotExists; Desactivado | 1.0.2 |
| As conexões de ponto de extremidade privado em Contas de Automação devem ser habilitadas | As conexões de ponto de extremidade privado permitem a comunicação segura habilitando a conectividade privada com contas de Automação sem a necessidade de endereços IP públicos na origem ou no destino. Saiba mais sobre pontos de extremidade privados no Automação do Azure em /azure/automation/how-to/private-link-security | AuditIfNotExists; Desactivado | 1.0.0 |
| as conexões de ponto de extremidade Private no Banco de Dados SQL do Azure devem ser habilitadas | As conexões de ponto de extremidade privado impõem a comunicação segura habilitando a conectividade privada para Banco de Dados SQL do Azure. | Auditoria; Desactivado | 1.1.0 |
| As conexões de ponto de extremidade privado em contas do Lote devem ser habilitadas | As conexões de ponto de extremidade privado permitem a comunicação segura habilitando a conectividade privada para contas do Lote sem a necessidade de endereços IP públicos na origem nem no destino. Saiba mais sobre pontos de extremidade privados no Lote em /azure/batch/private-connectivity. | AuditIfNotExists; Desactivado | 1.0.0 |
| O ponto de extremidade privado deve ser habilitado para Hub IoT | As conexões de ponto de extremidade privado impõem a comunicação segura habilitando a conectividade privada para Hub IoT. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive em Azure. | Auditoria; Desactivado | 1.0.0 |
| Deve-se habilitar o ponto de extremidade privado para servidores MariaDB | Conexões de ponto de extremidade privado impõem comunicações seguras ao permitir conectividade privada ao Banco de Dados do Azure para MariaDB. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive em Azure. | AuditIfNotExists; Desactivado | 1.0.2 |
| O ponto de extremidadePrivate deve ser habilitado para servidores MySQL | As conexões de ponto de extremidade privado impõem a comunicação segura habilitando a conectividade privada para Banco de Dados do Azure para MySQL. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive em Azure. | AuditIfNotExists; Desactivado | 1.0.2 |
| O ponto de extremidadePrivate deve ser habilitado para servidores PostgreSQL | As conexões de ponto de extremidade privado impõem a comunicação segura habilitando a conectividade privada para Banco de Dados do Azure para PostgreSQL. Configure uma conexão de ponto de extremidade privado para habilitar o acesso ao tráfego proveniente apenas de redes conhecidas e impedir o acesso de todos os outros endereços IP, inclusive em Azure. | AuditIfNotExists; Desactivado | 1.0.2 |
| O acesso à rede pública para Azure atualização de dispositivo para contas de Hub IoT deve ser desabilitado | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que sua atualização de dispositivo Azure para contas Hub IoT só possa ser acessada de um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| O acesso à rede Public no Azure Data Explorer deve ser desabilitado | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que Azure Data Explorer só possam ser acessados de um ponto de extremidade privado. Essa configuração nega todos os logons que correspondem a regras de firewall baseadas em IP ou virtual network. | Auditoria; Negar; Desactivado | 1.0.0 |
| A rede pública no Azure Data Factory deve ser desabilitado | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que sua Azure Data Factory só possa ser acessada de um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| O acesso à rede pública no Hub IoT do Azure deve ser desabilitado | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que seu Hub IoT do Azure só possa ser acessado de um ponto de extremidade privado. | Auditoria; Negar; Desactivado | 1.0.0 |
| O acesso à rede Public no Banco de Dados SQL do Azure deve ser desabilitado | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que seu Banco de Dados SQL do Azure só possa ser acessado de um ponto de extremidade privado. Essa configuração nega todos os logons que correspondem a regras de firewall baseadas em IP ou virtual network. | Auditoria; Negar; Desactivado | 1.1.0 |
| O acesso à rede pública deve ser desabilitado para Sincronização de Arquivos do Azure | Desabilitar o ponto de extremidade público permite que você restrinja access ao recurso Storage Serviço de Sincronização a solicitações destinadas a pontos de extremidade privados aprovados na rede da sua organização. Não há nada inerentemente não seguro sobre a permissão de solicitações para o ponto de extremidade público. No entanto, talvez você queira desabilitá-lo para atender a requisitos regulatórios, legais ou de política organizacional. Você pode desabilitar o ponto de extremidade público para um Serviço de Sincronização Storage definindo a incomingTrafficPolicy do recurso como AllowVirtualNetworksOnly. | Auditoria; Negar; Desactivado | 1.0.0 |
| A rede pública access deve ser desabilitada para contas do Lote | Desabilitar access de rede pública em uma conta do Lote melhora a segurança, garantindo que sua conta do Lote só possa ser acessada de um ponto de extremidade privado. Saiba mais sobre como desabilitar o acesso à rede pública em Use pontos de extremidade privados com contas Lote do Azure. | Auditoria; Negar; Desactivado | 1.0.0 |
| A rede pública access deve ser desabilitada para registros de contêiner | Desabilitar a rede pública access melhora a segurança, garantindo que os registros de contêiner não sejam expostos na Internet pública. A criação de pontos de extremidade privados pode limitar a exposição de recursos do registro de contêiner. Saiba mais em: Configurar o Acesso ao Registro Público no Azure e Set Up Private Endpoint com Link Privado para ACR. | Auditoria; Negar; Desactivado | 1.0.0 |
| A rede pública access deve ser desabilitada para o IoT Central | Para melhorar a segurança do IoT Central, verifique se ele não está exposto à Internet pública e só pode ser acessado de um ponto de extremidade privado. Desabilite a propriedade de acesso à rede pública, conforme descrito em Criar um ponto de extremidade privado para Azure IoT Central. Essa opção desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou rede virtual. Isso reduzirá riscos de vazamento de dados. | Auditoria; Negar; Desactivado | 1.0.0 |
| O acesso à rede pública deve ser desabilitado para servidores MariaDB | Desabilite a propriedade de acesso à rede pública para melhorar a segurança e verifique se sua Banco de Dados do Azure para MariaDB só pode ser acessada de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam às regras de firewall baseadas em rede virtual ou IP. | Auditoria; Negar; Desactivado | 2.0.0 |
| A access de rede pública deve ser desabilitada para servidores flexíveis do MySQL | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que seus Banco de Dados do Azure para MySQL servidores flexíveis só possam ser acessados de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em rede virtual ou IP. | Auditoria; Negar; Desactivado | 2.3.0 |
| A access de rede pública deve ser desabilitada para servidores MySQL | Desabilite a propriedade de acesso à rede pública para melhorar a segurança e verifique se seu Banco de Dados do Azure para MySQL só pode ser acessado de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam às regras de firewall baseadas em rede virtual ou IP. | Auditoria; Negar; Desactivado | 2.0.0 |
| A rede pública access deve ser desabilitada para servidores flexíveis do PostgreSQL | Desabilitar a propriedade de acesso à rede pública melhora a segurança, garantindo que seus Banco de Dados do Azure para PostgreSQL servidores flexíveis só possam ser acessados de um ponto de extremidade privado. Essa configuração desabilita estritamente o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam às regras de firewall baseadas em IP. | Auditoria; Negar; Desactivado | 3.1.0 |
| A rede pública access deve ser desabilitada para servidores PostgreSQL | Desabilite a propriedade de acesso à rede pública para melhorar a segurança e verifique se sua Banco de Dados do Azure para PostgreSQL só pode ser acessada de um ponto de extremidade privado. Essa configuração desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou rede virtual. | Auditoria; Negar; Desactivado | 2.0.1 |
| [Versão prévia]: os cofres dos Serviços de Recuperação devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para Azure cofres dos Serviços de Recuperação, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados para Azure Site Recovery em: Enable replicação para computadores locais com pontos de extremidade privados e Enable replicação para pontos de extremidade privados em Azure Site Recovery. | Auditoria; Desactivado | 1.0.0-preview |
| Barramento de Serviço Namespaces devem desabilitar o acesso à rede pública | Barramento de Serviço do Azure deve ter o acesso à rede pública desabilitado. Desabilitar a rede pública access melhora a segurança, garantindo que o recurso não seja exposto na Internet pública. Em vez disso, você pode limitar a exposição dos seus recursos criando pontos de extremidade privados. Saiba mais em: O acesso não permitido a namespaces Barramento de Serviço do Azure por meio de pontos de extremidade privados | Auditoria; Negar; Desactivado | 1.1.0 |
| SQL Server Integration Services runtimes de integração em Azure Data Factory devem ser unidos a uma rede virtual | Rede Virtual do Azure implantação fornece segurança e isolamento aprimorados para seus runtimes de integração SQL Server Integration Services em Azure Data Factory, bem como sub-redes, políticas de controle de acesso e outros recursos para restringir ainda mais o acesso. | Auditoria; Negar; Desactivado | 2.3.0 |
| O SQL Server deve usar um ponto de extremidade de serviço de rede virtual | Essa política audita qualquer SQL Server não configurado para usar um ponto de extremidade de serviço de rede virtual. | AuditIfNotExists; Desactivado | 1.0.0 |
| Storage conta pública access deve ser não permitida | O acesso de leitura pública anônimo a contêineres e blobs em Armazenamento do Azure é uma maneira conveniente de compartilhar dados, mas pode apresentar riscos à segurança. Para evitar violações de dados causadas por acesso anônimo indesejado, Microsoft recomenda impedir o acesso público a uma conta de armazenamento, a menos que seu cenário a exija. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 3.1.1 |
| As contas de armazenamento devem permitir o acesso de serviços confiáveis da Microsoft | Alguns serviços Microsoft que interagem com contas de armazenamento operam de redes que não podem receber acesso por meio de regras de rede. Para ajudar esse tipo de serviço a funcionar conforme o esperado, permita que o conjunto de serviços Microsoft confiáveis ignore as regras de rede. Esses serviços usarão então a autenticação forte para acessar a conta de armazenamento. | Auditoria; Negar; Desactivado | 1.0.0 |
| Storage contas devem desabilitar a rede pública access | Para melhorar a segurança das contas de Storage, verifique se elas não são expostas à Internet pública e só podem ser acessadas de um ponto de extremidade privado. Desabilite a propriedade de access de rede pública, conforme descrito em Storage access de rede pública de conta. Essa opção desabilita o acesso de qualquer espaço de endereço público fora do intervalo de IP Azure e nega todos os logons que correspondam a regras de firewall baseadas em IP ou rede virtual. Isso reduzirá riscos de vazamento de dados. | Auditoria; Negar; Desactivado | 1.0.1 |
| As access de rede para contas storage devem ser restritas. Configure regras de rede para que somente aplicativos de redes permitidas possam access a conta storage. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais Azure específicas ou para intervalos de endereços IP da Internet públicos | Auditoria; Negar; Desactivado | 1.1.1 | |
| As contas de armazenamento devem restringir o acesso à rede apenas por meio da configuração de bypass de ACL de rede. | Para aprimorar a segurança das Contas de Armazenamento, habilite o acesso somente por meio do bypass de ACL de rede. Essa política deve ser usada em combinação com um ponto de extremidade privado para acesso à conta de armazenamento. | Auditoria; Negar; Desactivado | 1.0.0 |
| Storage contas devem restringir access de rede usando regras de virtual network | Proteja suas contas storage contra possíveis ameaças usando regras virtual network como um método preferencial em vez de filtragem baseada em IP. Desabilitar a filtragem baseada em IP impede que os IPs públicos acessem suas contas storage. | Auditoria; Negar; Desactivado | 1.0.1 |
| Storage contas devem restringir access de rede usando regras de virtual network (excluindo contas storage criadas pelo Databricks) | Proteja suas contas storage contra possíveis ameaças usando regras virtual network como um método preferencial em vez de filtragem baseada em IP. Desabilitar a filtragem baseada em IP impede que os IPs públicos acessem suas contas storage. | Auditoria; Negar; Desactivado | 1.0.0 |
| As Contas de Armazenamento devem usar um ponto de extremidade de serviço de rede virtual | Essa política audita as Contas de Armazenamento que não estão configuradas para usar um ponto de extremidade de serviço de rede virtual. | Auditoria; Desactivado | 1.0.0 |
| Storage contas devem usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para sua conta storage, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - O que é Link Privado do Azure? | AuditIfNotExists; Desactivado | 2.0.0 |
| Storage contas devem usar private link (excluindo contas storage criadas pelo Databricks) | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para sua conta storage, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em - O que é Link Privado do Azure? | AuditIfNotExists; Desactivado | 1.0.0 |
| Os pontos de extremidade privados gerenciados pelo Synapse só devem se conectar aos recursos em locatários Azure Active Directory aprovados | Proteja seu workspace do Synapse permitindo apenas conexões com recursos em locatários aprovados Azure Active Directory (Azure AD). Os locatários Azure do AD aprovados podem ser definidos durante a atribuição de política. | Auditoria; Desactivado; Negar | 1.0.0 |
| VM Image Builder deve usar private link | Link Privado do Azure permite conectar sua rede virtual a serviços Azure sem um endereço IP público na origem ou no destino. A plataforma Link Privado manipula a conectividade entre o consumidor e os serviços pela rede de backbone Azure. Ao mapear pontos de extremidade privados para seus recursos de criação do Construtor de Imagens de VM, os riscos de vazamento de dados são reduzidos. Saiba mais sobre links privados em: Azure opções de rede do Construtor de Imagens de VM – Implantar usando uma VNET existente. | Auditoria; Desactivado; Negar | 1.1.0 |
NS-3: implantar firewall na borda da rede corporativa
Para obter mais informações, consulte Segurança de Rede: NS-3: Implantar firewall na borda da rede corporativa.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| O encaminhamento deIP em sua máquina virtual deve ser desabilitado | A habilitação do encaminhamento de IP na NIC de uma máquina virtual permite que o computador receba o tráfego endereçado a outros destinos. O encaminhamento de IP raramente é necessário (por exemplo, ao usar a VM como uma solução de virtualização de rede) e, portanto, isso deve ser examinado pela equipe de segurança de rede. | AuditIfNotExists; Desactivado | 3.0.0 |
| as portas |
O possível acesso JIT (Just-In-Time) à rede será monitorado por Central de Segurança do Azure como recomendações | AuditIfNotExists; Desactivado | 3.0.0 |
| as portas Management devem ser fechadas em seu virtual machines | As portas abertas de gerenciamento remoto estão expondo sua VM a um alto nível de risco de ataques baseados na Internet. Esses ataques tentam forçar as credenciais brutas para obter access de administrador para o computador. | AuditIfNotExists; Desactivado | 3.0.0 |
| Central de Segurança do Azure identificou que algumas de suas sub-redes não estão protegidas com um firewall de próxima geração. Proteja suas sub-redes contra possíveis ameaças restringindo o acesso a elas com Firewall do Azure ou um firewall de próxima geração com suporte | AuditIfNotExists; Desactivado | 3.0.0-preview |
NS-5: implantar proteção contra DDOS
Para obter mais informações, consulte Segurança de Rede: NS-5: Implantar proteção contra DDOS.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure Proteção contra DDoS deve estar habilitada | A proteção contra DDoS deve ser habilitada para todas as redes virtuais com uma sub-rede que faz parte de uma application gateway com um IP público. | AuditIfNotExists; Desactivado | 3.0.1 |
| Habilitar a regra limite de taxa para proteger contra ataques de DDoS no WAF Azure Front Door | A regra de limite de taxa do WAF (Firewall de Aplicativo Web do Azure) para Azure Front Door controla o número de solicitações permitidas de um endereço IP de cliente específico para o aplicativo durante uma duração de limite de taxa. | Auditoria; Negar; Desactivado | 1.0.0 |
| as redes Virtual devem ser protegidas por Azure Proteção contra DDoS | Proteja suas redes virtuais contra ataques de protocolo e volume com Azure Proteção contra DDoS. Para obter mais informações, visite Azure Visão geral da proteção contra DDoS. | Modificar; Auditoria; Desactivado | 1.0.1 |
NS-6: implantar web application firewall
Para obter mais informações, consulte Network Security: NS-6: Implantar web application firewall.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| O Azure Front Door Standard ou Premium (Mais WAF) deve ter os logs de recursos habilitados | Habilite os logs de recursos para Azure Front Door Standard ou Premium (mais WAF) e transmita para um workspace Log Analytics. Obtenha visibilidade detalhada do tráfego da Web de entrada e das ações executadas para mitigar os ataques. | AuditIfNotExists; Desactivado | 1.0.0 |
| Firewall de Aplicativo Web do Azure no Gateway de Aplicativo do Azure devem ter a inspeção do corpo da solicitação habilitada | Verifique se os Firewalls de Aplicativo Web associados a gateways de Aplicativo Azure têm a inspeção do corpo da solicitação habilitada. Isso permite que o WAF inspecione as propriedades dentro do corpo HTTP que podem não ser avaliadas nos cabeçalhos, cookies ou URI HTTP. | Auditoria; Negar; Desactivado | 1.0.0 |
| Firewall de Aplicativo Web do Azure no Azure Front Door deve ter a inspeção do corpo da solicitação habilitada | Verifique se os Firewalls de Aplicativo Web associados ao Azure Front Doors têm a inspeção do corpo da solicitação habilitada. Isso permite que o WAF inspecione as propriedades dentro do corpo HTTP que podem não ser avaliadas nos cabeçalhos, cookies ou URI HTTP. | Auditoria; Negar; Desactivado | 1.0.0 |
| Firewall de Aplicativo Web do Azure deve ser habilitado para Azure Front Door pontos de entrada | Implante Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. Firewall de Aplicativo Web (WAF) fornece proteção centralizada de seus aplicativos Web contra explorações e vulnerabilidades comuns, como injeções de SQL, script entre sites, execuções de arquivos locais e remotos. Você também pode restringir access a seus aplicativos Web por países/regiões, intervalos de endereços IP e outros parâmetros https por meio de regras personalizadas. | Auditoria; Negar; Desactivado | 1.0.2 |
| Habilitar a regra limite de taxa para proteger contra ataques de DDoS no WAF Azure Front Door | A regra de limite de taxa do WAF (Firewall de Aplicativo Web do Azure) para Azure Front Door controla o número de solicitações permitidas de um endereço IP de cliente específico para o aplicativo durante uma duração de limite de taxa. | Auditoria; Negar; Desactivado | 1.0.0 |
| Migrar o WAF da Configuração do WAF para a Política do WAF no Gateway de Aplicativo | Se você tem uma Configuração WAF, em vez de uma Política do WAF, convém mover para a nova política do WAF. No futuro, a política de firewall dará suporte a configurações de política do WAF, conjuntos de regras gerenciados, exclusões e grupos de regras desabilitados. | Auditoria; Negar; Desactivado | 1.0.0 |
| Firewall de Aplicativo Web (WAF) deve ser habilitado para o Gateway de Aplicativo | Implante Firewall de Aplicativo Web do Azure (WAF) na frente de aplicativos Web voltados para o público para inspeção adicional do tráfego de entrada. Firewall de Aplicativo Web (WAF) fornece proteção centralizada de seus aplicativos Web contra explorações e vulnerabilidades comuns, como injeções de SQL, script entre sites, execuções de arquivos locais e remotos. Você também pode restringir access a seus aplicativos Web por países/regiões, intervalos de endereços IP e outros parâmetros https por meio de regras personalizadas. | Auditoria; Negar; Desactivado | 2.0.0 |
| Firewall de Aplicativo Web (WAF) deve usar o modo especificado para o Gateway de Aplicativo | Determina que o uso do modo "Detecção" ou "Prevenção" esteja ativo em todas as políticas de Firewall de Aplicativo Web para o Gateway de Aplicativo. | Auditoria; Negar; Desactivado | 1.0.0 |
| Firewall de Aplicativo Web (WAF) deve usar o modo especificado para Azure Front Door Service | Determina que o uso do modo "Detecção" ou "Prevenção" esteja ativo em todas as políticas de Firewall de Aplicativo Web para Azure Front Door Service. | Auditoria; Negar; Desactivado | 1.0.0 |
NS-8: Detectar e desabilitar serviços e protocolos inseguros
Para obter mais informações, consulte Segurança de Rede: NS-8: Detectar e desabilitar serviços e protocolos inseguros.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| App Service aplicativos devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a versão mais recente do TLS para App Service aplicativos para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 2.2.0 |
| Azure gateways de VPN não devem usar SKU 'básico' | Essa política garante que os gateways de VPN não usem o SKU "básico". | Auditoria; Desactivado | 1.0.0 |
| os aplicativos Function devem usar a versão mais recente do TLS | Periodicamente, versões mais recentes são lançadas para o TLS, devido a falhas de segurança, para incluir funcionalidades adicionais e aprimorar a velocidade. Atualize para a última versão do TLS para os aplicativos de funções, a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. | AuditIfNotExists; Desactivado | 2.3.0 |
PA-1: separar e limitar usuários altamente privilegiados/administrativos
Para obter mais informações, consulte Privileged Access: PA-1: separar e limitar usuários altamente privilegiados/administrativos.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Um máximo de 3 proprietários deve ser designado para sua assinatura | Recomenda-se designar até 3 proprietários de assinaturas para reduzir o potencial de violação por parte de um proprietário comprometido. | AuditIfNotExists; Desactivado | 3.0.0 |
| As contas desbloqueadas com permissões de proprietário em Azure recursos devem ser removidas | Contas descontinuadas com permissões de proprietário devem ser removidas da sua assinatura. Contas descontinuadas são contas que foram impedidas de fazer login. | AuditIfNotExists; Desactivado | 1.0.0 |
| as contas Guest com permissões de proprietário em Azure recursos devem ser removidas | Contas externas com permissões de proprietário devem ser removidas de sua assinatura para evitar access não monitorados. | AuditIfNotExists; Desactivado | 1.0.0 |
| [Versão prévia]: a MUA (Autorização multiusuário) deve estar habilitada para os Cofres dos Serviços de Recuperação. | Essa política audita se a MUA (Autorização multiusuário) estiver habilitada para os Cofres dos Serviços de Recuperação. O MUA ajuda a proteger seus Cofres dos Serviços de Recuperação adicionando uma camada adicional de proteção às operações críticas. Para saber mais, visite https://aka.ms/MUAforRSV. | Auditoria; Desactivado | 1.0.0-preview |
| Não deve ser mais de um proprietário atribuído à sua assinatura | É recomendável designar mais de um proprietário de assinatura para que o administrador access redundância. | AuditIfNotExists; Desactivado | 3.0.0 |
PA-2: evite access permanente para contas de usuário e permissões
Para obter mais informações, consulte Privileged Access: PA-2: evite access permanente para contas de usuário e permissões.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| as portas |
O possível acesso JIT (Just-In-Time) à rede será monitorado por Central de Segurança do Azure como recomendações | AuditIfNotExists; Desactivado | 3.0.0 |
PA-4: Examinar e reconciliar access de usuário regularmente
Para obter mais informações, consulte Privileged Access: PA-4: Examinar e reconciliar access de usuário regularmente.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| As contas desbloqueadas com permissões de proprietário em Azure recursos devem ser removidas | Contas descontinuadas com permissões de proprietário devem ser removidas da sua assinatura. Contas descontinuadas são contas que foram impedidas de fazer login. | AuditIfNotExists; Desactivado | 1.0.0 |
| as contas Blocked com permissões de leitura e gravação em Azure recursos devem ser removidas | Contas descontinuadas devem ser removidas de suas assinaturas. Contas descontinuadas são contas que foram impedidas de fazer login. | AuditIfNotExists; Desactivado | 1.0.0 |
| as contas Guest com permissões de proprietário em Azure recursos devem ser removidas | Contas externas com permissões de proprietário devem ser removidas de sua assinatura para evitar access não monitorados. | AuditIfNotExists; Desactivado | 1.0.0 |
| contas Guest com permissões de leitura em Azure recursos devem ser removidas | Contas externas com privilégios de leitura devem ser removidas de sua assinatura para evitar access não monitorados. | AuditIfNotExists; Desactivado | 1.0.0 |
| as contas Guest com permissões de gravação em Azure recursos devem ser removidas | Contas externas com privilégios de gravação devem ser removidas de sua assinatura para evitar access não monitorados. | AuditIfNotExists; Desactivado | 1.0.0 |
PA-7: Siga o princípio de administração suficiente (privilégio mínimo)
Para obter mais informações, consulte Privileged Access: PA-7: siga o princípio de administração (privilégio mínimo) suficiente.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Todas as regras de autorização, exceto a RootManageSharedAccessKey, devem ser removidas do namespace do Hub de Eventos | Os clientes do Hub de Eventos não devem usar uma política de acesso no nível do namespace que forneça acesso a todas as filas e tópicos em um namespace. Para alinhar-se ao modelo de segurança com menos privilégios, você deve criar políticas de acesso no nível da entidade para que as filas e os tópicos forneçam acesso somente à entidade específica | Auditoria; Negar; Desactivado | 1.0.1 |
| Todas as regras de autorização, exceto RootManageSharedAccessKey, devem ser removidas do namespace Barramento de Serviço | Barramento de Serviço clientes não devem usar uma política de acesso em nível de namespace que forneça acesso a todas as filas e tópicos em um namespace. Para alinhar-se ao modelo de segurança com menos privilégios, você deve criar políticas de acesso no nível da entidade para que as filas e os tópicos forneçam acesso somente à entidade específica | Auditoria; Negar; Desactivado | 1.0.1 |
| API Management assinaturas não devem ter escopo para todas as APIs | API Management assinaturas devem ter como escopo um produto ou uma API individual em vez de todas as APIs, o que pode resultar em uma exposição excessiva de dados. | Auditoria; Desactivado; Negar | 1.1.0 |
| O uso de funções RBAC personalizadas | Auditar funções internas, como 'Proprietário, Contribuidor, Leitor', em vez de funções RBAC personalizadas, que são propensas a erros. O uso de funções personalizadas é tratado como uma exceção e requer uma revisão rigorosa e uma modelagem de ameaças | Auditoria; Desactivado | 1.0.1 |
| As regras de autorização na instância do Hub de Eventos devem ser definidas | Auditar a existência de regras de autorização em entidades do Hub de Eventos para conceder acesso com privilégios mínimos | AuditIfNotExists; Desactivado | 1.0.0 |
| Azure Key Vault deve usar o modelo de permissão RBAC | Habilite o modelo de permissão RBAC em Key Vaults. Saiba mais em: Igrate da política de acesso do cofre para um modelo de permissão de controle de acesso baseado em função Azure | Auditoria; Negar; Desactivado | 1.0.1 |
| Serviço de Kubernetes do Azure Clusters devem desabilitar a Invocação de Comando | Desabilitar a invocação de comando pode aprimorar a segurança, evitando o bypass do acesso restrito à rede ou o controle de acesso baseado em função do Kubernetes | Auditoria; Desactivado | 1.0.1 |
| Os clusters de Kubernetes devem garantir que a função de administrador do cluster seja usada somente quando necessário | A função 'cluster-admin' fornece amplos poderes sobre o ambiente e deve ser usada somente onde e quando necessário. | Auditoria; Desactivado | 1.1.0 |
| Os clusters do Kubernetes devem minimizar o uso curinga na função e na função de cluster | Usar curingas ‘*’ pode ser um risco à segurança porque concede permissões amplas que podem não ser necessárias para uma função específica. Se uma função tiver muitas permissões, ela poderá ser usada indevidamente por um invasor ou um usuário comprometido para obter acesso não autorizado aos recursos do cluster. | Auditoria; Desactivado | 1.1.0 |
| Role-Based Controle de Acesso (RBAC) deve ser usado nos Serviços kubernetes | Para fornecer filtragem granular nas ações que os usuários podem executar, use Role-Based Controle de Acesso (RBAC) para gerenciar permissões em Clusters de Serviço do Kubernetes e configurar políticas de autorização relevantes. | Auditoria; Desactivado | 1.1.0 |
PV-2: auditar e impor configurações seguras
Para obter mais informações, consulte Postura e Gerenciamento de Vulnerabilidades: PV-2: auditar e impor configurações seguras.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| [Versão prévia]: [Integridade da Imagem] os clusters do Kubernetes só devem usar imagens assinadas por notação | Use imagens assinadas por notação para garantir que as imagens venham de fontes confiáveis e não sejam modificadas maliciosamente. Para obter mais informações, visite https://aka.ms/aks/image-integrity | Auditoria; Desactivado | 1.1.0 – versão prévia |
| API Management ponto de extremidade de gerenciamento direto não deve ser habilitado | A API REST de gerenciamento direto em Gerenciamento de API do Azure ignora Azure Resource Manager mecanismos de controle de acesso baseado em função, autorização e limitação, aumentando assim a vulnerabilidade do serviço. | Auditoria; Desactivado; Negar | 1.0.2 |
| Os slots de aplicativo do Serviço de Aplicativo devem ter a depuração remota desativada | A depuração remota requer que as portas de entrada sejam abertas em um aplicativo App Service. A depuração remota deve ser desligada. | AuditIfNotExists; Desactivado | 1.0.1 |
| Os slots de aplicativos do Serviço de Aplicativo não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos | O CORS (Compartilhamento de Recursos entre Origens) não deve permitir que todos os domínios access seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo. | AuditIfNotExists; Desactivado | 1.0.0 |
| Os slots de aplicativos do Serviço de Aplicativo devem usar a ''versão do HTTP'' mais recente | Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usar a versão do HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 1.0.0 |
| Os slots de aplicativos do Serviço de Aplicativo que usam PHP devem usar uma ''versão do PHP'' especificada | Periodicamente, versões mais recentes são lançadas para o software PHP devido a falhas de segurança ou para incluir funcionalidades adicionais. Recomendamos o uso da última versão do PHP para aplicativos do Serviço de Aplicativo a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. Essa política se aplica somente a aplicativos do Linux. Essa política requer que você especifique uma versão do PHP que atenda aos seus requisitos. | AuditIfNotExists; Desactivado | 1.0.0 |
| os slots de aplicativo |
Periodicamente, versões mais recentes são lançadas para Python software devido a falhas de segurança ou para incluir funcionalidades adicionais. É recomendável usar a versão mais recente do Python para aplicativos do Serviço de Aplicativo para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Python que atenda aos seus requisitos. | AuditIfNotExists; Desactivado | 1.0.0 |
| App Service aplicativos devem ter certificados de cliente (certificados de cliente de entrada) habilitados | Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações recebidas. Somente clientes que possuem um certificado válido poderão acessar o aplicativo. Essa política se aplica a aplicativos com a versão Http definida como 1.1. | AuditIfNotExists; Desactivado | 1.0.0 |
| App Service aplicativos devem ter a depuração remota desativada | A depuração remota requer que as portas de entrada sejam abertas em um aplicativo App Service. A depuração remota deve ser desligada. | AuditIfNotExists; Desactivado | 2.0.0 |
| App Service aplicativos não devem ter o CORS configurado para permitir que todos os recursos access seus aplicativos | O CORS (Compartilhamento de Recursos entre Origens) não deve permitir que todos os domínios access seu aplicativo. Permita que apenas os domínios necessários interajam com seu aplicativo. | AuditIfNotExists; Desactivado | 2.0.0 |
| Os aplicativos do Serviço de Aplicativo devem usar a ''Versão do HTTP'' mais recente | Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usar a versão do HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 4.0.0 |
| os aplicativos |
Periodicamente, versões mais recentes são lançadas para Java software devido a falhas de segurança ou para incluir funcionalidades adicionais. O uso da versão mais recente do Java para aplicativos do Serviço de Aplicativo é recomendado para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Java que atenda às suas necessidades. | AuditIfNotExists; Desactivado | 3.1.0 |
| Os aplicativos do Serviço de Aplicativo que usam PHP devem usar uma ''versão do PHP'' especificada | Periodicamente, versões mais recentes são lançadas para o software PHP devido a falhas de segurança ou para incluir funcionalidades adicionais. Recomendamos o uso da última versão do PHP para aplicativos do Serviço de Aplicativo a fim de aproveitar as correções de segurança, se houver, e/ou as novas funcionalidades da última versão. Essa política se aplica somente a aplicativos do Linux. Essa política requer que você especifique uma versão do PHP que atenda aos seus requisitos. | AuditIfNotExists; Desactivado | 3.2.0 |
| os aplicativos |
Periodicamente, versões mais recentes são lançadas para Python software devido a falhas de segurança ou para incluir funcionalidades adicionais. É recomendável usar a versão mais recente do Python para aplicativos do Serviço de Aplicativo para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Python que atenda aos seus requisitos. | AuditIfNotExists; Desactivado | 4.1.0 |
| [Versão prévia]: a atribuição de perfil de configuração de Gerenciamento Automatizado deve estar em conformidade | Os recursos gerenciados pelo Gerenciamento Automatizado devem ter um status de Conformant ou ConformantCorrected. | AuditIfNotExists; Desactivado | 1.0.0-preview |
| Gerenciamento de API do Azure versão da plataforma deve ser stv2 | Gerenciamento de API do Azure versão da plataforma de computação stv1 será desativada a partir de 31 de agosto de 2024 e essas instâncias devem ser migradas para a plataforma de computação stv2 para suporte contínuo. Saiba mais em API Management stv1 platform retirement – Global Azure cloud (agosto de 2024) | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Arc clusters do Kubernetes habilitados devem ter a extensão Azure Policy instalada | A extensão Azure Policy para Azure Arc fornece imposição e proteções em escala em seus clusters kubernetes habilitados para Arc de maneira centralizada e consistente. Saiba mais em Understand Azure Policy para clusters do Kubernetes. | AuditIfNotExists; Desactivado | 1.1.0 |
| Azure Data Factory deve usar um repositório Git para controle do código-fonte | Configure somente seu data factory de desenvolvimento com a integração do Git. As alterações no teste e na produção devem ser implantadas por meio de CI/CD e NÃO devem ter integração com o Git. NÃO aplique essa política em seus data factories de QA/Teste/Produção. | Auditoria; Negar; Desactivado | 1.0.1 |
| A instância de Computação do Azure Machine Learning deve ter desligamento por ociosidade. | O agendamento do desligamento por ociosidade reduz o custo desligando computações ociosas após um período de atividade pré-determinado. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Machine Learning instâncias de computação devem ser recriadas para obter as atualizações de software mais recentes | Verifique se Azure Machine Learning instâncias de computação são executadas no sistema operacional disponível mais recente. A segurança é melhorada e as vulnerabilidades reduzidas pela execução dos últimos patches de segurança. Para obter mais informações, visite https://aka.ms/azureml-ci-updates/. | Auditoria; Desactivado | 1.0.3 |
| Os espaços de trabalho do Azure Machine Learning devem habilitar o V1LegacyMode para suportar a compatibilidade com versões anteriores de isolamento de rede | O Azure ML está fazendo uma transição para uma nova plataforma de API V2 no Azure Resource Manager e você pode controlar a versão da plataforma de API usando o parâmetro V1LegacyMode. Habilitar o parâmetro V1LegacyMode permitirá que você mantenha seus workspaces no mesmo isolamento de rede que v1, embora você não tenha o uso dos novos recursos V2. Recomendamos ativar o Modo Herdado V1 somente quando você quiser manter os dados do plano de controle do AzureML dentro de suas redes privadas. Saiba mais em: https://aka.ms/V1LegacyMode. | Auditoria; Negar; Desactivado | 1.0.0 |
| Azure Policy complemento do AKS (serviço kubernetes) deve ser instalado e habilitado em seus clusters | Azure Policy complemento para AKS (serviço kubernetes) estende o Gatekeeper v3, um webhook do controlador de admissão para OPA (Open Policy Agent), para aplicar imposição e proteções em escala em seus clusters de maneira centralizada e consistente. | Auditoria; Desactivado | 1.0.2 |
| [Versão prévia]: o diagnóstico de inicialização deve estar habilitado nas máquinas virtuais | Azure máquinas virtuais devem ter diagniostics de inicialização habilitados. | Auditoria; Desactivado | 1.0.0-preview |
| Não é possível editar nós individuais | Não é possível editar nós individuais. Os usuários não devem editar nós individuais. Edite pools de nós. Modificar nós individuais pode levar a configurações inconsistentes, desafios operacionais e possíveis riscos de segurança. | Auditoria; Negar; Desactivado | 1.3.1 |
| A limitação de conexão deve ser habilitada para servidores de banco de dados PostgreSQL | Essa política ajuda a auditar todos os bancos de dados PostgreSQL em seu ambiente sem a limitação de conexão habilitada. Essa configuração permite a limitação temporária de conexão por IP para muitas falhas de logon de senha inválidas. | AuditIfNotExists; Desactivado | 1.0.0 |
| As exportações dos registros de contêiner devem estar desabilitadas | Desabilitar exportações melhora a segurança ao garantir que os dados de um registro sejam acessados exclusivamente pelo dataplane ("docker pull"). Os dados não podem ser movidos para fora do registro via "acr import" ou "acr transfer". Para desabilitar as exportações, é preciso desabilitar o acesso à rede pública. Saiba mais em: https://aka.ms/acr/export-policy. | Auditoria; Negar; Desactivado | 1.0.0 |
| Verificar se os contêineres de cluster têm investigações de preparação ou atividade configuradas | Essa política impõe que todos os pods tenham investigações de preparação e/ou atividade configuradas. Os tipos de investigação podem ser os seguintes: tcpSocket, httpGet e exec. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter instruções sobre como usar essa política, visite https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 3.3.0 |
| Os slots do aplicativo de funções devem ter a depuração remota desativada | A depuração remota exige que as portas de entrada estejam abertas em Aplicativos de funções. A depuração remota deve ser desligada. | AuditIfNotExists; Desactivado | 1.1.0 |
| Os slots dos aplicativos de funções não devem ter o CORS configurado para permitir que todos os recursos acessem seus aplicativos | O CORS (Compartilhamento de Recursos entre Origens) não deve permitir que todos os domínios access seu aplicativo de funções. Permitir que apenas os domínios necessários interajam com seu aplicativo de funções. | AuditIfNotExists; Desactivado | 1.1.0 |
| Os slots dos aplicativos de funções devem usar a ''versão do HTTP'' mais recente | Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usar a versão do HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 1.1.0 |
| os slots de aplicativo |
Periodicamente, versões mais recentes são lançadas para Java software devido a falhas de segurança ou para incluir funcionalidades adicionais. O uso da versão mais recente do Java para aplicativos de funções é recomendado para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Java que atenda às suas necessidades. | AuditIfNotExists; Desactivado | 1.0.0 |
| os aplicativos Function devem ter certificados de cliente (certificados de cliente de entrada) habilitados | Os certificados de cliente permitem que o aplicativo solicite um certificado para solicitações recebidas. Somente clientes que possuem um certificado válido poderão acessar o aplicativo. Essa política se aplica a aplicativos com a versão Http definida como 1.1. | AuditIfNotExists; Desactivado | 1.1.0 |
| os aplicativos Function devem ter a depuração remota desativada | A depuração remota exige que as portas de entrada estejam abertas em Aplicativos de funções. A depuração remota deve ser desligada. | AuditIfNotExists; Desactivado | 2.1.0 |
| Não deve ter o CORS configurado para permitir que todos os recursos access seus aplicativos | O CORS (Compartilhamento de Recursos entre Origens) não deve permitir que todos os domínios access seu aplicativo de funções. Permitir que apenas os domínios necessários interajam com seu aplicativo de funções. | AuditIfNotExists; Desactivado | 2.1.0 |
| Os Aplicativos de funções devem usar a ''Versão do HTTP'' mais recente' | Periodicamente, versões mais recentes são lançadas para HTTP devido a falhas de segurança ou para incluir funcionalidades adicionais. Usar a versão do HTTP mais recente para aplicativos Web para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. | AuditIfNotExists; Desactivado | 4.1.0 |
| os aplicativos |
Periodicamente, versões mais recentes são lançadas para Java software devido a falhas de segurança ou para incluir funcionalidades adicionais. O uso da versão mais recente do Java para aplicativos de funções é recomendado para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Java que atenda às suas necessidades. | AuditIfNotExists; Desactivado | 3.1.0 |
| os aplicativos |
Periodicamente, versões mais recentes são lançadas para Python software devido a falhas de segurança ou para incluir funcionalidades adicionais. O uso da versão mais recente do Python para aplicativos de funções é recomendado para aproveitar as correções de segurança, se houver, e/ou novas funcionalidades da versão mais recente. Essa política se aplica somente a aplicativos do Linux. Essa política exige que você especifique uma versão Python que atenda aos seus requisitos. | AuditIfNotExists; Desactivado | 4.1.0 |
| As imagens de contêiner de cluster do Kubernetes não devem incluir a marca de imagem mais recente | Exige que as imagens de contêiner não usem a marca mais recente no Kubernetes; é uma prática recomendada garantir a reprodutibilidade, impedir atualizações não intencionais e facilitar a depuração e as reversões usando imagens de contêiner explícitas e com controle de versão. | Auditoria; Negar; Desactivado | 2.0.1 |
| A CPU de contêineres de clusterKubernetes e os limites de recursos de memória não devem exceder os limites especificados | Impor limites de recursos de memória e CPU de contêiner para evitar ataques de esgotamento de recursos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 9.3.0 |
| Solicitações de recursos de memória e CPU de contêineres de cluster do Kubernetes devem ser definidas | Imponha solicitações de recursos de CPU e memória do contêiner para garantir que o nó agendado tenha recursos necessários. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| os contêineres de cluster Kubernetes não devem compartilhar namespaces de host | Bloqueie os contêineres de pod de compartilhar o namespace da ID do processo de host, o namespace de IPC do host e o namespace de rede do host em um cluster do Kubernetes. Essa recomendação se alinha aos Padrões de Segurança de Pod do Kubernetes para namespaces de host e faz parte do CIS 5.2.1, 5.2.2 e 5.2.3, que se destinam a melhorar a segurança de seus ambientes do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | Auditoria; Negar; Desactivado | 6.0.0 |
| os contêineres de cluster Kubernetes devem usar apenas perfis AppArmor permitidos | Os contêineres devem usar somente os perfis do AppArmor permitidos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 6.2.1 |
| os contêineres de cluster Kubernetes só devem usar recursos permitidos | Restrinja os recursos para reduzir a surface de ataque de contêineres em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.8 e do CIS 5.2.9, que se destinam a aprimorar a segurança de seus ambientes do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 6.2.0 |
| Contêineres de clusterKubernetes devem usar apenas imagens permitidas | Use imagens de Registros confiáveis para reduzir o risco de exposição do cluster do Kubernetes a vulnerabilidades desconhecidas, problemas de segurança e imagens mal-intencionadas. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 9.3.0 |
| Os contêineres de cluster do Kubernetes devem usar somente o ProcMountType permitido | Os contêineres de pod só podem usar ProcMountTypes permitidos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 8.2.0 |
| Os contêineres do cluster do Kubernetes devem usar apeanas a política de pull permitida | Restringir a política de pull de contêineres para impor que os contêineres usem apenas imagens permitidas em implantações | Auditoria; Negar; Desactivado | 3.2.0 |
| Os contêineres de cluster do Kubernetes devem usar somente os perfis do seccomp permitidos | Os contêineres de pod podem usar somente perfis do seccomp permitidos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 7.2.0 |
| os contêineres de cluster Kubernetes devem ser executados com um sistema de arquivos raiz somente leitura | Execute contêineres com um sistema de arquivos raiz somente leitura para protegê-los contra alterações em runtime com binários mal-intencionados sendo adicionados a PATH em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 6.3.0 |
| [Versão prévia]: os contêineres de cluster do Kubernetes devem usar somente interfaces sysctl permitidas | Os contêineres devem usar somente interfaces sysctl permitidas em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 1.0.0-preview |
| Volumes hostPath do pod de clusterKubernetes devem usar apenas caminhos de host permitidos | Limite as montagens de volume de pod de HostPath aos caminhos de host permitidos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 6.3.0 |
| Os pods e contêineres de cluster do Kubernetes devem seguir os padrões de segurança SELinux | Essa política impõe padrões de segurança de pod do Kubernetes para opções SELinux. No modo PSS, os campos "usuário" e "função" devem estar vazios e o campo "tipo" deve ser um dos valores permitidos. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 8.0.0 |
| Os contêineres e pods de clusterKubernetes só devem ser executados com IDs de usuário e grupo aprovadas | Controle as IDs de usuário, de grupo primário, de grupo complementar e de grupo do sistema de arquivos que os pods e os contêineres podem usar para a execução em um Cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 6.2.0 |
| Os pods do cluster do Kubernetes devem usar somente os tipos de volumes permitidos | Os pods podem usar somente tipos de volume permitidos em um cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 5.2.0 |
| os pods de cluster Kubernetes devem usar apenas a rede de host e a lista de portas aprovadas | Restrinja o pod access à rede host e às portas de host permitidas em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.4, que se destina a melhorar a segurança de seus ambientes do Kubernetes e se alinha ao PSS (Padrões de Segurança de Pod) para hostPorts. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | Auditoria; Negar; Desactivado | 7.0.0 |
| os serviços de cluster Kubernetes devem escutar somente em portas permitidas | Restrinja os serviços a escutar somente em portas permitidas para proteger access para o cluster do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 8.2.0 |
| Os serviços de cluster do Kubernetes devem usar somente IPs externos permitidos | Use IPs externos permitidos para evitar um potencial ataque (CVE-2020-8554) em um cluster do Kubernetes. Para obter mais informações, consulte https://aka.ms/kubepolicydoc. | Auditoria; Negar; Desactivado | 5.2.0 |
| Os serviços de cluster do Kubernetes devem usar seletores exclusivos | Certifique-se de que os serviços em um namespace têm seletores exclusivos. Um seletor de serviço exclusivo garante que cada serviço dentro de um namespace seja identificado exclusivamente com base em critérios específicos. Essa política sincroniza os recursos de serviço no OPA por meio do Gatekeeper. Antes de aplicar, verifique se a capacidade de memória dos pods do Gatekeeper não será excedida. Os parâmetros se aplicam a namespaces específicos, mas isso sincroniza todos os recursos desse tipo em todos os namespaces. Está atualmente em versão prévia do AKS (Serviço de Kubernetes). | Auditoria; Negar; Desactivado | 1.2.2 |
| ClusterKubernetes não deve permitir contêineres privilegiados | Não permita a criação de contêineres com privilégios no cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.1, que se destina a aprimorar a segurança de seus ambientes do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 9.2.0 |
| O cluster do Kubernetes não deve usar pods naked | Bloquear o uso de pods naked. Pods naked não serão reagendados em caso de falha do nó. Os pods devem ser gerenciados por Implantação, Replicset, Daemonset ou Trabalhos | Auditoria; Negar; Desactivado | 2.3.1 |
| Contêineres de Windows do clusterKubernetes não devem ser executados como ContainerAdministrator | Impedir o uso de ContainerAdministrator como o usuário para executar os processos de contêiner para Windows pods ou contêineres. Essa recomendação destina-se a melhorar a segurança de nós Windows. Para obter mais informações, consulte https://kubernetes.io/docs/concepts/windows/intro/. | Auditoria; Negar; Desactivado | 1.2.0 |
| Pods de Windows de cluster doKubernetes não devem executar contêineres do HostProcess | Impedir acesso privilegiado ao nó do Windows. Essa recomendação destina-se a melhorar a segurança de nós Windows. Para obter mais informações, consulte https://kubernetes.io/docs/concepts/windows/intro/. | Auditoria; Negar; Desactivado | 1.0.0 |
| os clusters Kubernetes devem desabilitar a desmontagem automática de credenciais de API | Desabilite as credenciais da API de montagem automática para evitar que um recurso Pod potencialmente comprometido execute comandos de API em clusters do Kubernetes. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 4.2.0 |
| os clusters Kubernetes não devem permitir o escalonamento de privilégios de contêiner | Não permita que os contêineres sejam executados com escalonamento de privilégios para a raiz em um cluster do Kubernetes. Essa recomendação faz parte do CIS 5.2.5, que se destina a aprimorar a segurança de seus ambientes do Kubernetes. Essa política geralmente está disponível para o AKS (Serviço de Kubernetes) e a versão prévia para Azure Arc Kubernetes habilitado. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | Auditoria; Negar; Desactivado | 8.0.0 |
| os clusters Kubernetes não devem conceder recursos de segurança CAP_SYS_ADMIN | Para reduzir o surface de ataque de seus contêineres, restrinja CAP_SYS_ADMIN recursos do Linux. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 5.1.0 |
| os clusters Kubernetes não devem usar o namespace padrão | Impedir o uso do namespace padrão em clusters kubernetes para proteger contra access não autorizados para tipos de recursos ConfigMap, Pod, Secret, Service e ServiceAccount. Para obter mais informações, consulte Understand Azure Policy para clusters kubernetes. | auditoria; Auditoria; negar; Negar; desactivado; Desactivado | 4.2.0 |
| Os clusters do Kubernetes devem usar o StorageClass do driver da Interface de Armazenamento de Contêiner (CSI) | A CSI (Interface de Armazenamento de Contêiner) é um padrão para expor sistemas de blocos e de armazenamento de arquivos arbitrários a cargas de trabalho em contêineres no Kubernetes. O StorageClass do provisionador na árvore deve ser preterido desde a versão 1.21 do AKS. Para saber mais, https://aka.ms/aks-csi-driver | Auditoria; Negar; Desactivado | 2.3.0 |
| Deve ter regras antia afinidade ou restrições de propagação de topologia definidas | Essa política garante que os pods sejam agendados em nós diferentes dentro do cluster. Ao impor regras anti-afinidade ou restrições de propagação de topologia de pod, a disponibilidade será mantida mesmo se um dos nós ficar indisponível. Os pods continuarão a ser executados em outros nós, aumentando a resiliência. | Auditoria; Negar; Desactivado | 1.2.2 |
| Somente as extensões aprovadas da VM devem ser instaladas | Essa política rege as extensões da máquina virtual que não foram aprovadas. | Auditoria; Negar; Desactivado | 1.0.0 |
| Imprime uma mensagem se uma mutação é aplicada | Pesquisa as anotações de mutação aplicadas e imprime uma mensagem se houver uma anotação. | Auditoria; Desactivado | 1.2.1 |
| As contas de armazenamento devem impedir a replicação de objetos entre locatários | Audite a restrição da replicação de objetos para sua conta de armazenamento. Por padrão, os usuários podem configurar a replicação de objeto com uma conta de armazenamento de origem em uma Azure locatário do AD e uma conta de destino em um locatário diferente. Trata-se de uma preocupação de segurança porque os dados do cliente podem ser replicados para uma conta de armazenamento que pertence ao cliente. Ao definir allowCrossTenantReplication como false, a replicação de objetos só poderá ser configurada se as contas de origem e de destino estiverem no mesmo locatário Azure AD. | Auditoria; Negar; Desactivado | 1.0.0 |
PV-4: auditar e impor configurações seguras para recursos de computação
Para obter mais informações, consulte Postura e Gerenciamento de Vulnerabilidades: PV-4: auditar e impor configurações seguras para recursos de computação.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Auditar os computadores Linux que permitem conexões remotas de contas sem senhas | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se forem computadores Linux que permitem conexões remotas de contas sem senhas | AuditIfNotExists; Desactivado | 3.1.0 |
| Auditar as máquinas Linux que não têm as permissões do arquivo passwd definidas como 0644 | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se forem computadores Linux que não têm as permissões de arquivo de senha definidas como 0644 | AuditIfNotExists; Desactivado | 3.1.0 |
| Auditar os computadores Linux que têm contas sem senhas | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se forem computadores Linux que permitem contas sem senhas | AuditIfNotExists; Desactivado | 3.1.0 |
| Auditar computadores Windows que permitem o reutilização das senhas após o número especificado de senhas exclusivas | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que permitem o reutilizador das senhas após o número especificado de senhas exclusivas. O valor padrão para senhas exclusivas é 24 | AuditIfNotExists; Desactivado | 2.1.0 |
| Auditar computadores Windows que não têm a idade máxima da senha definida como o número especificado de dias | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que não têm a idade máxima da senha definida como o número especificado de dias. O valor padrão para a idade máxima da senha é de 70 dias | AuditIfNotExists; Desactivado | 2.1.0 |
| Auditar computadores Windows que não têm a idade mínima da senha definida como o número especificado de dias | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que não têm a idade mínima da senha definida como o número especificado de dias. O valor padrão para a idade mínima da senha é 1 dia | AuditIfNotExists; Desactivado | 2.1.0 |
| Auditar os computadores Windows que não têm a configuração de complexidade de senha habilitada | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que não têm a configuração de complexidade de senha habilitada | AuditIfNotExists; Desactivado | 2.0.0 |
| Auditar os computadores Windows que não restringem o tamanho mínimo da senha a um número especificado de caracteres | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que não restringem o comprimento mínimo da senha ao número especificado de caracteres. O valor padrão no comprimento mínimo da senha é de 14 caracteres | AuditIfNotExists; Desactivado | 2.1.0 |
| Auditar os computadores Windows que não armazenam senhas usando a criptografia reversível | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. Os computadores não estarão em conformidade se Windows computadores que não armazenam senhas usando criptografia reversível | AuditIfNotExists; Desactivado | 2.0.0 |
| [Versão prévia]: Azure Stack servidores HCI devem ter políticas de controle de aplicativo impostas consistentemente | No mínimo, aplique o Microsoft política base do WDAC no modo imposto em todos os servidores HCI Azure Stack. As políticas de WDAC (Controle de Aplicativos) Windows Defender aplicadas devem ser consistentes entre servidores no mesmo cluster. | Auditoria; Desactivado; AuditIfNotExists | 1.0.0-preview |
| [Versão prévia]: Azure Stack servidores HCI devem atender aos requisitos de núcleo protegido | Verifique se todos os servidores HCI Azure Stack atendem aos requisitos de núcleo protegido. Para habilitar os requisitos de servidor de núcleo protegido: 1. Na página Azure Stack clusters HCI, vá para Windows Admin Center e selecione Conectar. 2 Acesse a extensão Segurança e selecione Núcleo Protegido. 3. Selecione qualquer configuração que não esteja habilitada e clique em Habilitar. | Auditoria; Desactivado; AuditIfNotExists | 1.0.0-preview |
| As instâncias de função dos Serviços de Nuvem (suporte estendido) devem ser configuradas com segurança | Proteja suas instâncias de função dos Serviços de Nuvem (suporte estendido) contra ataques, garantindo que elas não sejam expostas a vulnerabilidades do sistema operacional. | AuditIfNotExists; Desactivado | 1.0.0 |
| Discos e imagem do sistema operacional devem dar suporte a TrustedLaunch | O TrustedLaunch aprimora a segurança de uma máquina virtual que exige que o disco do sistema operacional e a imagem do sistema operacional deem suporte a ela (Gen 2). Para saber mais sobre TrustedLaunch, visite https://aka.ms/trustedlaunch | Auditoria; Desactivado | 1.0.0 |
| Instale a extensão atestado de convidado em máquinas virtuais linux com suporte para permitir que Central de Segurança do Azure atestem e monitorem proativamente a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica ao Início Confiável e à virtual machines Do Linux Confidencial. | AuditIfNotExists; Desactivado | 6.0.0-preview | |
| [Versão prévia]: a extensão atestado de convidado deve ser instalada em conjuntos de dimensionamento de virtual machines linux com suporte | Instale a extensão atestado de convidado em conjuntos de dimensionamento de máquinas virtuais linux com suporte para permitir que Central de Segurança do Azure atestem e monitorem proativamente a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica ao Início Confiável e à virtual machine scale sets Do Linux Confidencial. | AuditIfNotExists; Desactivado | 5.1.0-preview |
| [Versão prévia]: a extensão atestado de convidado deve ser instalada em máquinas virtuais Windows com suporte | Instale a extensão atestado de convidado em máquinas virtuais com suporte para permitir que Central de Segurança do Azure atestem e monitorem proativamente a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica a máquinas virtuais de inicialização confiável e de Windows confidenciais. | AuditIfNotExists; Desactivado | 4.0.0-preview |
| [Versão prévia]: a extensão atestado de convidado deve ser instalada em conjuntos de dimensionamento de máquinas virtuais Windows com suporte | Instale a extensão atestado de convidado em conjuntos de dimensionamento de máquinas virtuais com suporte para permitir que Central de Segurança do Azure atestem e monitorem proativamente a integridade da inicialização. Após a instalação, a integridade da inicialização será atestada por meio do atestado remoto. Essa avaliação se aplica ao Início Confiável e aos conjuntos de dimensionamento de máquinas virtuais do Windows Confidencial. | AuditIfNotExists; Desactivado | 3.1.0-preview |
| A extensão de Configuração doGuest deve ser instalada em seus computadores | Para garantir configurações seguras de configurações no convidado de seu computador, instale a extensão de Configuração de Convidado. As configurações no convidado que a extensão monitora incluem a configuração do sistema operacional, a configuração ou a presença do aplicativo e as configurações do ambiente. Depois de instaladas, as políticas no convidado estarão disponíveis, como "Windows o Exploit Guard deve ser habilitado". Saiba mais em Understand Azure Machine Configuration. | AuditIfNotExists; Desactivado | 1.0.3 |
| os computadores Linux devem atender aos requisitos da linha de base de segurança de computação Azure | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite Understand Azure Machine Configuration. Os computadores não estarão em conformidade se o computador não estiver configurado corretamente para uma das recomendações no Azure linha de base de segurança de computação. | AuditIfNotExists; Desactivado | 2.3.0 |
| [Versão prévia]: o Linux virtual machines deve usar apenas componentes de inicialização confiáveis e assinados | Todos os componentes de inicialização do sistema operacional (carregador de inicialização, kernel, drivers do kernel) devem ser assinados por fornecedores confiáveis. Defender para Nuvem identificou componentes de inicialização do sistema operacional não confiáveis em um ou mais de seus computadores Linux. Para proteger seus computadores contra componentes potencialmente mal-intencionados, adicione-os à lista de permissão ou remova os componentes identificados. | AuditIfNotExists; Desactivado | 1.0.0-preview |
| [Versão prévia]: a Inicialização Segura deve ser habilitada em máquinas virtuais Windows com suporte | Habilite a Inicialização Segura em máquinas virtuais de Windows com suporte para atenuar alterações mal-intencionadas e não autorizadas na cadeia de inicialização. Depois que ele for habilitado, somente os carregadores de inicialização, o kernel e os drivers de kernel poderão ser executados. Essa avaliação se aplica a máquinas virtuais de inicialização confiável e de Windows confidenciais. | Auditoria; Desactivado | 4.0.0-preview |
| A Máquina Virtual deve ter TrustedLaunch habilitado | Habilite TrustedLaunch na Máquina Virtual para maior segurança, use a SKU da VM (Gen 2) que dá suporte ao TrustedLaunch. Para saber mais sobre TrustedLaunch, visite /azure/virtual-machines/trusted-launch | Auditoria; Desactivado | 1.0.0 |
| Virtual machines' A extensão de Configuração de Convidado deve ser implantada com a identidade gerenciada atribuída pelo sistema | A extensão de configuração de convidado exige uma identidade gerenciada atribuída ao sistema. Azure máquinas virtuais no escopo dessa política não estarão em conformidade quando tiverem a extensão de Configuração de Convidado instalada, mas não tiverem uma identidade gerenciada atribuída pelo sistema. Saiba mais em Understand Azure Machine Configuration | AuditIfNotExists; Desactivado | 1.0.1 |
| Habilite o dispositivo TPM virtual em virtual machines com suporte para facilitar a Inicialização Medida e outros recursos de segurança do sistema operacional que exigem um TPM. Depois que ele for habilitado, o vTPM pode ser usado para atestar a integridade da inicialização. Essa avaliação se aplica apenas a virtual machines habilitadas para inicialização confiável. | Auditoria; Desactivado | 2.0.0-preview | |
| Os computadores Windows devem configurar o Windows Defender para atualizar assinaturas de proteção em até um dia | Para fornecer proteção adequada contra malware recém-lançado, as assinaturas de proteção Windows Defender precisam ser atualizadas regularmente para levar em conta o malware recém-lançado. Essa política não foi aplicada nos servidores conectados ao Arc e requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter mais informações sobre a Configuração de Convidado, acesse https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 1.0.1 |
| Os computadores Windows devem habilitar a proteção em tempo real do Windows Defender | Windows computadores devem habilitar a proteção em tempo real no Windows Defender para fornecer proteção adequada contra malware recém-lançado. Essa política não é aplicável aos servidores conectados ao Arc e requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter mais informações sobre a Configuração de Convidado, acesse https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 1.0.1 |
| Windows computadores devem atender aos requisitos para 'Modelos Administrativos - Painel de Controle' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Modelos Administrativos - Painel de Controle' para personalização e prevenção de entrada para habilitar telas de bloqueio. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Modelos Administrativos - MSS (Herdado)' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Modelos Administrativos – MSS (Herdado)' para logon automático, economia de tela, comportamento de rede, DLL segura e log de eventos. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Modelos Administrativos - Rede' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Modelos Administrativos – Rede' para logons de convidado, conexões simultâneas, ponte de rede, ICS e resolução de nomes multicast. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Modelos Administrativos - Sistema' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Modelos Administrativos – Sistema' para configurações que controlam a experiência administrativa e a Assistência Remota. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Contas' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Contas' para limitar o uso da conta local de senhas em branco e status da conta de convidado. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Auditoria' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Auditoria' para forçar a subcategoria da política de auditoria e desligar se não for possível registrar auditorias de segurança. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Opções de Segurança - Dispositivos' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Dispositivos' para desencaixar sem fazer logon, instalar drivers de impressão e formatar/ejetar mídia. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Logon Interativo' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Logon Interativo' para exibir o sobrenome do usuário e exigir ctrl-alt-del. Essa política exige que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Opções de Segurança - Microsoft Cliente de Rede' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Microsoft Cliente de Rede' para Microsoft cliente/servidor de rede e SMB v1. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Servidor de Rede da Microsoft' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Microsoft Servidor de Rede' para desabilitar o servidor SMB v1. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Acesso à Rede' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Acesso à Rede' para incluir acesso a usuários anônimos, contas locais e acesso remoto ao registro. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Segurança de Rede' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Segurança de Rede' para incluir o comportamento do sistema local, PKU2U, LAN Manager, cliente LDAP e NTLM SSP. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Console de recuperação' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Console de recuperação' para permitir a cópia disquete e o acesso a todas as unidades e pastas. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos de 'Opções de Segurança – Desligamento' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Desligamento' para permitir o desligamento sem logon e limpar o arquivo de página de memória virtual. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Opções de Segurança - Objetos do sistema' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Objetos do sistema' para insensibilidade de caso para subsistemas não Windows e permissões de objetos internos do sistema. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Opções de Segurança - Configurações do sistema' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Configurações do sistema' para regras de certificado em executáveis para SRP e subsistemas opcionais. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Opções de Segurança – Controle de Conta de Usuário' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Opções de Segurança – Controle de Conta de Usuário' para modo para administradores, comportamento do prompt de elevação e virtualização de falhas de gravação de arquivo e registro. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Configurações de Segurança – Políticas de Conta' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Configurações de Segurança – Políticas de Conta' para histórico de senha, idade, comprimento, complexidade e armazenamento de senhas usando criptografia reversível. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Políticas de Auditoria do Sistema - Logon de Conta' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Logon de Conta' para auditoria da validação de credenciais e outros eventos de logon de conta. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Políticas de Auditoria do Sistema – Gerenciamento de Contas' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Gerenciamento de Contas' para auditoria de gerenciamento de aplicativo, segurança e grupo de usuários e outros eventos de gerenciamento. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Políticas de Auditoria do Sistema – Acompanhamento Detalhado' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Acompanhamento Detalhado' para auditoria de DPAPI, criação/encerramento do processo, eventos RPC e atividade PNP. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Políticas de Auditoria do Sistema - Logon-Logoff' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Logon-Logoff' para auditoria de IPSec, política de rede, declarações, bloqueio de conta, associação de grupo e eventos de logon/logoff. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Políticas de Auditoria do Sistema – Acesso a Objetos' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Acesso a Objetos' para arquivo de auditoria, registro, SAM, armazenamento, filtragem, kernel e outros tipos de sistema. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Políticas de Auditoria do Sistema – Alteração de Política' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Alteração de Política' para auditoria de alterações nas políticas de auditoria do sistema. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Políticas de Auditoria do Sistema – Uso de Privilégios' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Uso de Privilégios' para auditoria de uso sem sentido e outros privilégios. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Políticas de Auditoria do Sistema - Sistema' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Políticas de Auditoria do Sistema – Sistema' para auditoria do driver IPsec, integridade do sistema, extensão do sistema, alteração de estado e outros eventos do sistema. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Atribuição de Direitos do Usuário' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Atribuição de Direitos de Usuário' para permitir logon localmente, RDP, acesso da rede e muitas outras atividades do usuário. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos para 'Windows Components' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'componentes Windows' para autenticação básica, tráfego não criptografado, contas Microsoft, telemetria, Cortana e outros comportamentos de Windows. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Os computadores Windows devem atender aos requisitos de 'Propriedades do Firewall do Windows' | Windows computadores devem ter as configurações de Política de Grupo especificadas na categoria 'Propriedades do Firewall Windows' para estado de firewall, conexões, gerenciamento de regras e notificações. Essa política requer que os pré-requisitos de Configuração de Convidado tenham sido implantados no escopo de atribuição de política. Para obter detalhes, visite https://aka.ms/gcpol. | AuditIfNotExists; Desactivado | 3.0.0 |
| Windows computadores devem atender aos requisitos da linha de base de segurança de computação Azure | Requer que os pré-requisitos sejam implantados no escopo de atribuição de política. Para obter detalhes, visite Understand Azure Machine Configuration. Os computadores não estarão em conformidade se o computador não estiver configurado corretamente para uma das recomendações no Azure linha de base de segurança de computação. | AuditIfNotExists; Desactivado | 2.1.0 |
PV-5: executar avaliações de vulnerabilidade
Para obter mais informações, consulte Postura e Gerenciamento de Vulnerabilidades: PV-5: executar avaliações de vulnerabilidade.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| A solução de avaliação de vulnerabilidade deve ser habilitada em seu virtual machines | Auditorias virtual machines para detectar se estão executando uma solução de avaliação de vulnerabilidade com suporte. Um componente principal de cada programa de segurança e risco cibernético é a identificação e a análise das vulnerabilidades. Central de Segurança do Azure tipo de preço padrão inclui verificação de vulnerabilidade para suas máquinas virtuais sem custo adicional. Além disso, a Central de Segurança pode implantar essa ferramenta automaticamente para você. | AuditIfNotExists; Desactivado | 3.0.0 |
| Machines devem ter descobertas secretas resolvidas | Auditorias virtual machines para detectar se elas contêm descobertas secretas das soluções de verificação secreta em seu virtual machines. | AuditIfNotExists; Desactivado | 1.0.2 |
| A avaliação Vulnerability deve ser habilitada no Instância Gerenciada de SQL | Audite cada Instância Gerenciada de SQL que não tem verificações de avaliação de vulnerabilidade recorrentes habilitadas. A avaliação de vulnerabilidades pode descobrir, acompanhar e ajudar a corrigir possíveis vulnerabilidades do banco de dados. | AuditIfNotExists; Desactivado | 1.0.1 |
| A avaliação Vulnerability deve ser habilitada em seus servidores SQL | Audite SQL do Azure servidores que não têm a avaliação de vulnerabilidade configurada corretamente. A avaliação de vulnerabilidades pode descobrir, acompanhar e ajudar a corrigir possíveis vulnerabilidades do banco de dados. | AuditIfNotExists; Desactivado | 3.0.0 |
| A avaliação de vulnerabilidade deve ser habilitada em seus workspaces do Azure Synapse | Descubra, acompanhe e corrija possíveis vulnerabilidades configurando verificações recorrentes de avaliação de vulnerabilidades do SQL em seus workspaces do Synapse. | AuditIfNotExists; Desactivado | 1.0.0 |
PV-6: corrigir vulnerabilidades de forma rápida e automática
Para obter mais informações, consulte Postura e Gerenciamento de Vulnerabilidades: PV-6: corrigir vulnerabilidades de forma rápida e automática.
| Nome | Description | Effect(s) | Versão |
|---|---|---|---|
| Azure imagens de contêiner do Registro devem ter vulnerabilidades resolvidas (alimentadas por Gerenciamento de Vulnerabilidades do Microsoft Defender) | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. | AuditIfNotExists; Desactivado | 1.0.1 |
| Azure imagens de contêiner em execução devem ter vulnerabilidades resolvidas (alimentadas por Gerenciamento de Vulnerabilidades do Microsoft Defender) | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para melhorar sua postura de segurança, reduzindo significativamente o ataque surface para suas cargas de trabalho em contêineres. | AuditIfNotExists; Desactivado | 1.0.1 |
| As instâncias de função dos Serviços de Nuvem (suporte estendido) devem ter atualizações do sistema instaladas | Proteja suas instâncias de função dos Serviços de Nuvem (suporte estendido), garantindo que as mais recentes atualizações críticas e de segurança sejam instaladas nelas. | AuditIfNotExists; Desactivado | 1.0.0 |
| Hotpatch deve ser habilitado para VMs Windows Server Azure Edition | Minimize as reinicializações e instale atualizações rapidamente com o hotpatch. Saiba mais em /azure/automanage/automanage-hotpatch | Auditoria; Negar; Desactivado | 1.0.0 |
| Os Serviços de Kubernetes devem ser atualizados para uma versão não vulnerável do Kubernetes | Atualize o cluster do serviço de Kubernetes para a última versão do Kubernetes a fim de fornecer proteção contra as vulnerabilidades conhecidas na versão atual do Kubernetes. A vulnerabilidade CVE-2019-9946 foi corrigida nas versões do Kubernetes 1.11.9 e posterior, 1.12.7 e posterior, 1.13.5 e posterior e 1.14.0 e posterior | Auditoria; Desactivado | 1.0.2 |
| Machines deve ser configurado para verificar periodicamente se há atualizações ausentes do sistema | Para garantir que as avaliações periódicas de atualizações do sistema ausentes sejam disparadas automaticamente a cada 24 horas, a propriedade AssessmentMode deve ser definida como 'AutomaticByPlatform'. Saiba mais sobre a propriedade AssessmentMode para Windows: Windows modo de avaliação de patch, para Linux: Modo de avaliação de patchLinux. | Auditoria; Negar; Desactivado | 3.9.0 |
| os bancos de dados SQL devem ter descobertas de vulnerabilidade resolvidas | Monitore os resultados da verificação da avaliação de vulnerabilidades e as recomendações sobre como corrigir as vulnerabilidades do banco de dados. | AuditIfNotExists; Desactivado | 4.1.0 |
| os servidores SQL em computadores devem ter descobertas de vulnerabilidade resolvidas | A avaliação de vulnerabilidades do SQL examina o banco de dados em busca de vulnerabilidades de segurança e expõe os desvios das melhores práticas como configurações incorretas, permissões excessivas e dados confidenciais desprotegidos. Resolver as vulnerabilidades encontradas pode melhorar muito a postura de segurança de seu banco de dados. | AuditIfNotExists; Desactivado | 1.0.0 |
| as atualizações System devem ser instaladas em seus computadores (alimentados pelo Centro de Atualização) | As atualizações de sistema, segurança e críticas estão ausentes em seus computadores. As atualizações de software geralmente incluem patches críticos para brechas de segurança. Essas brechas costumam ser exploradas em ataques de malware, portanto, é vital manter seu software atualizado. Para instalar todos os patches pendentes e proteger seus computadores, siga as etapas de correção. | AuditIfNotExists; Desactivado | 1.0.1 |
Próximas etapas
- Examine o Microsoft benchmark de segurança de nuvem para obter mais informações sobre detalhes do controle.
- Consulte o mapeamento mcsb v2 para controles CIS para uma exibição consolidada de mapeamentos cis controls v8.1
- Atribuir políticas por meio do portal Azure
- Saiba mais sobre Azure Policy