Melhores práticas de segurança operacional no Azure

Este artigo apresenta um conjunto de melhores práticas operacionais para proteger os seus dados, aplicações e outros ativos no Azure.

As melhores práticas baseiam-se num consenso de opinião e funcionam com as capacidades e conjuntos de funcionalidades atuais da plataforma Azure. As opiniões e tecnologias mudam ao longo do tempo. A Microsoft atualiza este artigo regularmente para refletir essas alterações.

Este artigo está alinhado com o modelo de segurança Confiança Zero da Microsoft, que assume violação e requer verificação contínua. Para controlos de segurança prescritivos com aplicação de Azure Policy, consulte Microsoft Cloud Security Benchmark v2 - Incident Response e MCSB v2 - Posture and Vulnerability Management.

Definir e implantar práticas de segurança operacional sólidas

A segurança operacional do Azure refere-se aos serviços, controlos e funcionalidades disponíveis para os utilizadores para proteger os seus dados, aplicações e outros ativos no Azure. Azure segurança operacional baseia-se numa estrutura que incorpora o conhecimento adquirido através de capacidades únicas da Microsoft, incluindo o Ciclo de Vida de Desenvolvimento de Segurança (SDL), o programa Centro de Resposta de Segurança da Microsoft e um profundo entendimento do panorama das ameaças de segurança cibernética.

Impor a verificação multifator para os usuários

Exija verificação em dois passos para todos os teus utilizadores. Este requisito inclui administradores e outros membros da sua organização que podem ter um impacto significativo se a sua conta for comprometida, como os responsáveis financeiros.

Tens várias opções para exigir verificação em dois passos. A melhor opção para si depende dos seus objetivos, da edição Microsoft Entra que está a usar e do seu programa de licenciamento. Consulte Como exigir a verificação em duas etapas para um usuário determinar a melhor opção para você. Consulte a documentação sobre Microsoft Entra ID e autenticação multifator do Microsoft Entra para obter mais informações sobre licenças e preços.

As seguintes opções e benefícios podem ajudá-lo a possibilitar a verificação em dois passos:

Opção 1: Ativar MFA para todos os utilizadores e métodos de início de sessão com os Padrões de Segurança Microsoft Entra Benefício: Esta opção permite-lhe aplicar rapidamente a MFA para todos os utilizadores do seu ambiente com uma política rigorosa para:

• Contestar contas administrativas e mecanismos de logon administrativo
• Exigir um desafio MFA através do Microsoft Authenticator para todos os utilizadores
• Restrinja protocolos de autenticação herdados.

Pode usar este método com todos os níveis de licenciamento, mas não pode combiná-lo com as políticas existentes de Acesso Condicional. Para mais informações, consulte Microsoft Entra Security Defaults.

Opção 2: Habilite a autenticação multifator alterando o estado do usuário. Benefício: A opção 2 é o método tradicional para exigir verificação em dois passos. Este método funciona tanto com a autenticação multifator do Microsoft Entra na cloud como com o servidor do Azure Multifactor Authentication. Este método exige que os utilizadores realizem verificação em dois passos sempre que iniciam sessão e sobrepõe-se às políticas de Acesso Condicional.

Para determinar onde ativar a autenticação multifator, veja Qual a versão da autenticação multifator Microsoft Entra que é adequada para a minha organização?

Opção 3: Habilite a autenticação multifator com a política de Acesso Condicional. Benefício: Esta opção solicita a verificação em dois passos sob condições específicas, utilizando o Acesso Condicional. As condições específicas podem ser o início de sessão por parte do utilizador a partir de diferentes locais, dispositivos inseguros ou aplicações que considere arriscadas. Definir condições específicas em que você precisa de verificação em duas etapas permite que você evite solicitações constantes para seus usuários, o que pode ser uma experiência de usuário desagradável.

A opção 3 é a forma mais flexível de permitir a verificação em dois passos para os seus utilizadores. Ativar uma política de Acesso Condicional funciona apenas para a autenticação multifator Microsoft Entra na cloud e é uma funcionalidade premium do Microsoft Entra ID. Para mais informações sobre este método, consulte Deploy cloud-based Microsoft Entra multifactor authentication.

Opção 4: Habilite a autenticação multifator com políticas de Acesso Condicional avaliando as políticas de Acesso Condicional baseadas em Risco. Benefício: Esta opção permite-lhe:

• Detete possíveis vulnerabilidades que afetam as identidades da sua organização.
• Configure respostas automatizadas para ações suspeitas detetadas relacionadas às identidades da sua organização.
• Investigue incidentes suspeitos e tome as medidas apropriadas para resolvê-los.

Este método utiliza a avaliação de risco Microsoft Entra ID Protection para determinar se a verificação em dois passos se aplica com base no risco do utilizador e de início de sessão para todas as aplicações cloud. Este método requer licença Microsoft Entra ID P2. Para mais informações sobre este método, consulte Microsoft Entra ID Protection.

Organizações que não adicionam camadas adicionais de proteção de identidade, como a verificação em dois passos, são mais suscetíveis a ataques de roubo de credenciais. Um ataque de roubo de credenciais pode levar ao comprometimento de dados.

Gerenciar e monitorar senhas de usuários

A tabela a seguir lista algumas práticas recomendadas relacionadas ao gerenciamento de senhas de usuário:

• Assegure o nível adequado de proteção por palavra-passe na cloud. Siga as orientações da Microsoft Password Guidance, que são direcionadas para utilizadores das plataformas de identidade da Microsoft (Microsoft Entra ID, Active Directory e conta Microsoft).

• Monitoriza ações suspeitas relacionadas com as tuas contas de utilizador. Monitorize utilizadores em risco e registos de registo arriscados utilizando relatórios de segurança da Microsoft Entra.

• Detetar e remediar automaticamente palavras-passe de alto risco.Microsoft Entra ID Protection é uma funcionalidade da edição P2 do Microsoft Entra ID que lhe permite:

  • Detete possíveis vulnerabilidades que afetam as identidades da sua organização.
  • Configure respostas automatizadas para ações suspeitas detetadas relacionadas às identidades da sua organização.
  • Investigue incidentes suspeitos e tome as medidas adequadas para os resolver.

Receber notificações de incidentes da Microsoft

Certifique-se de que a sua equipa de operações de segurança recebe notificações de incidentes Azure da Microsoft. Uma notificação de incidente ajuda a sua equipa de segurança a saber que os seus recursos Azure estão comprometidos, para que possam responder rapidamente e remediar potenciais riscos de segurança.

No portal de inscrição do Azure, pode garantir que as informações de contacto do administrador incluem detalhes que notificam as operações de segurança. As informações de contato são um endereço de e-mail e número de telefone.

Organizar as subscrições do Azure em grupos de gestão

Se a sua organização tiver muitas subscrições, poderá precisar de uma forma de gerir o acesso, as políticas e a conformidade dessas subscrições. Grupos de gestão do Azure oferecem um nível de âmbito que está acima das subscrições. Organiza as subscrições em grupos chamados "grupos de gestão" e aplica as suas condições de governação aos grupos de gestão. Todas as subscrições num grupo de gestão herdam automaticamente as condições aplicadas ao grupo de gestão.

Você pode criar uma estrutura flexível de grupos de gerenciamento e assinaturas em um diretório. Cada diretório recebe um único grupo de gerenciamento de nível superior chamado grupo de gerenciamento raiz. Este grupo de gestão de raiz está incorporado na hierarquia para ter todos os grupos de gestão e subscrições associados ao mesmo. O grupo de gestão raiz permite a aplicação de políticas globais e atribuições de funções do Azure ao nível do diretório.

Aqui estão algumas práticas recomendadas para usar grupos de gerenciamento:

• Assegure que as novas subscrições aplicam elementos de governação, como políticas e permissões, à medida que os adiciona. Use o grupo de gestão raiz para atribuir elementos de segurança a nível empresarial que se aplicam a todos os ativos do Azure. Políticas e permissões são exemplos de elementos.

• Alinhe os níveis superiores dos grupos de gestão com a sua estratégia de segmentação para proporcionar um ponto de controlo e consistência política dentro de cada segmento. Crie um único grupo de gestão para cada segmento dentro do grupo de gestão raiz. Não crie nenhum outro grupo de gerenciamento sob a raiz.

• Limitar a profundidade do grupo de gestão para evitar confusões que dificultem tanto as operações como a segurança. Limite a hierarquia a três níveis, incluindo a raiz.

• Selecione cuidadosamente os itens a aplicar a toda a organização com o grupo de gestão raiz. Garanta que os elementos do grupo de gestão raiz têm uma necessidade clara de serem aplicados em todos os recursos e que são de baixo impacto.

Os bons candidatos incluem:

• Requisitos regulatórios que tenham um impacto claro no negócio, como restrições relacionadas com a soberania dos dados.

• Requisitos com potencial de efeito negativo quase nulo nas operações, como políticas com efeito de auditoria ou atribuições de permissões Azure RBAC que são cuidadosamente revistas.

• Planeie e teste cuidadosamente todas as alterações a nível empresarial no grupo de gestão raiz antes de as aplicar (política, modelo Azure RBAC, e assim por diante). Alterações no grupo de gestão raiz podem afetar todos os recursos no Azure. Embora forneçam uma maneira poderosa de garantir a consistência em toda a empresa, erros ou uso incorreto podem afetar negativamente as operações de produção. Teste todas as alterações no grupo de gerenciamento raiz em um laboratório de teste ou piloto de produção.

Simplifique a criação de ambientes com pilhas de implementação e especificações de modelos

Utilize Azure Deployment Stacks para implementar e gerir coleções reutilizáveis de recursos do Azure como uma só unidade. As pilhas de implementação suportam modelos Bicep e do Azure Resource Manager, a gestão do ciclo de vida e definições de negação que ajudam a proteger os recursos geridos contra alterações indesejadas. Use as especificações dos modelos do Azure Resource Manager para armazenar, versionar e partilhar modelos aprovados por toda a sua organização.

Monitorar os serviços de armazenamento em busca de alterações inesperadas no comportamento

Diagnosticar e resolver problemas numa aplicação distribuída alojada num ambiente cloud pode ser mais complexo do que em ambientes tradicionais. Pode implementar aplicações numa infraestrutura PaaS ou IaaS, on-premises, num dispositivo móvel ou em alguma combinação destes ambientes. O tráfego de rede do seu aplicativo pode atravessar redes públicas e privadas, e seu aplicativo pode usar várias tecnologias de armazenamento.

Monitorize continuamente os serviços de armazenamento que a sua aplicação utiliza para quaisquer alterações inesperadas no comportamento, como tempos de resposta mais lentos. Use o registro em log para coletar dados mais detalhados e analisar um problema em profundidade. A informação de diagnóstico que obtém tanto na monitorização como no registo ajuda-o a determinar a causa raiz do problema que a sua aplicação encontrou. Depois, pode resolver o problema e determinar os passos adequados para o resolver.

Azure Análise de Armazenamento realiza registos e fornece dados de métricas para uma conta de armazenamento Azure. Use estes dados para rastrear pedidos, analisar tendências de utilização e diagnosticar problemas na sua conta de armazenamento.

Prevenir, detetar e responder a ameaças

O Microsoft Defender para a Cloud ajuda-o a prevenir, detetar e responder a ameaças, proporcionando maior visibilidade e controlo sobre a segurança dos seus recursos Azure. O Defender para a Cloud oferece monitorização integrada de segurança e gestão de políticas em todas as suas subscrições do Azure, ajuda a detetar ameaças que de outra forma poderiam passar despercebidas e trabalha com várias soluções de segurança.

O Defender para a Cloud inclui capacidades Foundational Cloud Security Posture Management (CSPM) e acesso gratuito ao Microsoft Defender XDR. Para expandir a proteção, ative os planos pagos do Defender para a Cloud para as cargas de trabalho que pretende proteger, como o GPSC do Defender, o Defender for Servers Plano 1 ou Plano 2, o Defender for Storage, o Defender for Databases, o Defender for Containers, o Defender for Key Vault, o Defender for App Service, o Defender for Resource Manager, o Defender for APIs e o Defender for AI Services. Estes planos ajudam-no a encontrar e corrigir vulnerabilidades de segurança, aplicar controlos de acesso e aplicações para bloquear atividades maliciosas, detetar ameaças através de análises e inteligência, e responder rapidamente quando está sob ataque.

Pode experimentar o Defender para a Cloud gratuitamente durante os primeiros 30 dias, ou até certos planos atingirem os seus limites de utilização, o que acontecer primeiro. Quando terminar o período experimental ou o limite de utilização, começam a ser cobrados encargos com base nos planos que ativa no seu ambiente. Para mais informações, consulte Conecte as suas subscrições Azure e O que é o Microsoft Defender para a Cloud?.

Use o Defender para a Cloud para obter uma visão central do estado de segurança de todos os seus recursos nos seus próprios centros de dados, Azure e outras clouds. Rapidamente, verifique se os controles de segurança apropriados estão instalados e configurados corretamente e identifique rapidamente todos os recursos que precisam de atenção.

O Defender para a Cloud integra-se também com o Microsoft Defender para Endpoint, que oferece capacidades abrangentes de deteção e resposta de endpoints (EDR). Com a integração do Microsoft Defender para Endpoint, pode detetar anomalias e detetar vulnerabilidades. Você também pode detetar e responder a ataques avançados em endpoints de servidor monitorados pelo Defender para a Cloud.

Quase todas as organizações empresariais têm um sistema de gerenciamento de eventos e informações de segurança (SIEM) para ajudar a identificar ameaças emergentes, consolidando informações de log de diversos dispositivos de coleta de sinal. Os registos são então analisados por um sistema de análise de dados para ajudar a identificar o que é "interessante" em relação ao ruído inevitável em todas as soluções de recolha e análise de registos.

O Microsoft Sentinel é uma solução escalável, nativa da cloud, de gestão de informação e eventos de segurança (SIEM) e de orquestração, automação e resposta de segurança (SOAR). O Microsoft Sentinel fornece análises inteligentes de segurança e inteligência de ameaças através da deteção de alertas, visibilidade de ameaças, caça proativa e resposta automática a ameaças.

Aqui estão algumas práticas recomendadas para prevenir, detetar e responder a ameaças:

• Aumente a velocidade e escalabilidade da sua solução SIEM utilizando um SIEM baseado na cloud. Investigue as funcionalidades e capacidades do Microsoft Sentinel e compare-as com as capacidades do que está atualmente a usar on-premises. Considere adotar o Microsoft Sentinel se este cumprir os requisitos de SIEM da organização.

• Encontre as vulnerabilidades de segurança mais graves para poder priorizar a investigação. Revise a sua pontuação Azure Secure para ver as recomendações resultantes das políticas e iniciativas do Azure incorporadas no Microsoft Defender para a Cloud. Essas recomendações ajudam a lidar com os principais riscos, como atualizações de segurança, proteção de endpoint, criptografia, configurações de segurança, WAF ausente, VMs conectadas à Internet e muito mais.

A pontuação segura, baseada nos controlos do Center for Internet Security (CIS), ajuda-o a comparar a segurança Azure da sua organização com fontes externas. A validação externa ajuda a validar e enriquecer a estratégia de segurança da sua equipa.

• Monitorize a postura de segurança das máquinas, redes, serviços de armazenamento e dados, e aplicações, para descobrir e priorizar potenciais problemas de segurança. Siga as recomendações de segurança no Defender para a Cloud, começando pelos itens de maior prioridade.

• Integre os alertas do Defender para a Cloud na sua solução de gestão de informação e eventos de segurança (SIEM). A maioria das organizações com um SIEM utiliza-o como ponto central para alertas de segurança que exigem a intervenção de um analista. Os eventos processados produzidos pelo Defender para a Cloud são publicados no Azure Activity Log, um dos logs disponíveis através do Azure Monitor. O Azure Monitor oferece um pipeline consolidado para encaminhar qualquer um dos seus dados de monitorização para uma ferramenta SIEM. Consulte Transmitir alertas para uma solução SIEM, SOAR ou IT Service Management para obter instruções. Se estiveres a usar Microsoft Sentinel, vê Connect Microsoft Defender para a Cloud.

• Integra os registos do Azure com o teu SIEM. Use o Azure Monitor para recolher e exportar dados. Essa prática é fundamental para permitir a investigação de incidentes de segurança e a retenção de logs on-line é limitada. Se estiver a usar Microsoft Sentinel, veja Connect data sources.

• Acelere os seus processos de investigação e caça e reduza falsos positivos integrando capacidades de deteção e resposta ao endpoint (EDR) na sua investigação de ataques.Ative a integração com o Microsoft Defender para Endpoint através da sua política de segurança Defender para a Cloud. Considere usar o Microsoft Sentinel para caça a ameaças e resposta a incidentes.

Monitore o monitoramento de rede de ponta a ponta baseado em cenários

As organizações constroem uma rede de ponta a ponta no Azure combinando recursos de rede como uma rede virtual, ExpressRoute, Application Gateway e balanceadores de carga. Pode monitorizar cada um destes recursos de rede.

Observador de Rede do Azure é um serviço regional. Utilize as suas ferramentas de diagnóstico e visualização para monitorizar e diagnosticar condições ao nível de um cenário de rede em, para e a partir do Azure.

A seguir estão as práticas recomendadas para monitoramento de rede e ferramentas disponíveis.

• Automatize a monitorização remota da rede com captura de pacotes. Monitorize e diagnostique problemas de rede sem iniciar sessão nas suas VMs usando o Observador de Rede. Acione a captura de pacotes definindo alertas e obtenha acesso a informações de desempenho em tempo real no nível do pacote. Quando detetar um problema, pode investigar em detalhe para obter melhores diagnósticos.

• Obtenha informações sobre o tráfego da sua rede usando registos de fluxo. Construa uma compreensão mais profunda dos seus padrões de tráfego de rede utilizando registos de fluxo de grupos de segurança de rede. As informações nos logs de fluxo ajudam a coletar dados para conformidade, auditoria e monitoramento do perfil de segurança da rede.

• Diagnosticar problemas de conectividade VPN. Use o Observador de Rede para diagnosticar problemas comuns de Gateway de VPN e ligação. Pode identificar o problema e usar registos detalhados para investigar mais a fundo.

Implantação segura usando ferramentas comprovadas de DevOps

Use as seguintes práticas recomendadas de DevOps para garantir que sua empresa e suas equipes sejam produtivas e eficientes.

• Automatizar a construção e implementação dos serviços.Infraestrutura como código é um conjunto de técnicas e práticas que ajudam os profissionais de TI a eliminar o peso da construção e gestão diária de infraestruturas modulares. A infraestrutura como código permite aos profissionais de TI construir e manter o seu ambiente de servidor moderno de uma forma semelhante à forma como os programadores de software constroem e mantêm código de aplicação.

Pode usar Azure Resource Manager para provisionar as suas aplicações usando um template declarativo. Num único modelo, pode implementar vários serviços, bem como as respetivas dependências. Você usa o mesmo modelo para implantar repetidamente seu aplicativo em cada estágio do ciclo de vida do aplicativo.

• Construir e implementar automaticamente para aplicações web Azure ou serviços cloud. Pode configurar os seus Projetos Azure DevOps para compilar e implementar automaticamente aplicações web Azure ou serviços cloud. O Azure DevOps implementa automaticamente binários no Azure após cada check-in de código. O processo de compilação de pacotes é equivalente ao comando Package no Visual Studio, e os passos de publicação são equivalentes ao comando Publish no Visual Studio.

• Automatizar a gestão de lançamentos.Azure Pipelines é uma solução para automatizar a implementação em múltiplas fases e gerir o processo de lançamento. Crie pipelines de implementação contínua gerida para lançar rápida e frequentemente. Com o Azure Pipelines, pode automatizar o seu processo de lançamento com fluxos de trabalho de aprovação pré-definidos. Implante no local e na nuvem, estenda e personalize conforme necessário.

• Verifique o desempenho da sua aplicação antes de a lançar ou implementar atualizações em produção. Executar testes de carga baseados na cloud para:

  • Encontre problemas de desempenho em seu aplicativo.
  • Melhore a qualidade da implantação.
  • Certifique-se de que a sua aplicação está sempre disponível.
  • Garanta que a sua aplicação consegue gerir tráfego para o seu próximo lançamento ou campanha de marketing.

Apache JMeter é uma ferramenta de open source gratuita e popular, com forte apoio da comunidade.

• Monitorizar o desempenho da aplicação.Aplicação Azure Insights é um serviço extensível de gestão de desempenho de aplicações (APM) para programadores web em múltiplas plataformas. Use o Application Insights para monitorar seu aplicativo Web ao vivo. Deteta automaticamente anomalias de desempenho. Inclui ferramentas de análise para o ajudar a diagnosticar problemas e a compreender o que os utilizadores realmente fazem com a sua aplicação. Foi concebido para o ajudar a melhorar continuamente o desempenho e a usabilidade.

Mitigar e proteger contra DDoS

A negação de serviço distribuída (DDoS) é um tipo de ataque que tenta esgotar os recursos do aplicativo. O objetivo é afetar a disponibilidade do aplicativo e sua capacidade de lidar com solicitações legítimas. Estes ataques estão a tornar-se mais sofisticados e maiores em tamanho e impacto. Os atacantes podem ter como alvo qualquer endpoint publicamente acessível a partir da internet.

Projetar e construir para a resiliência a DDoS requer planeamento e conceção para uma variedade de tipos de falhas. Seguem-se as melhores práticas para construir serviços resistentes a DDoS no Azure.

• Garanta que a segurança seja uma prioridade durante todo o ciclo de vida de um aplicativo, desde o projeto e a implementação até a implantação e as operações. As aplicações podem ter bugs que permitem que um volume relativamente baixo de pedidos use muitos recursos, resultando numa interrupção do serviço. Para ajudar a proteger um serviço a correr no Azure, deve ter um bom conhecimento da arquitetura da sua aplicação e focar-se nos cinco pilares da qualidade do software. Você deve conhecer os volumes de tráfego típicos, o modelo de conectividade entre o aplicativo e outros aplicativos e os pontos de extremidade de serviço expostos à Internet pública.

Garantir que um aplicativo seja resiliente o suficiente para lidar com uma negação de serviço direcionada ao próprio aplicativo é o mais importante. A segurança e a privacidade estão integradas na plataforma Azure, começando pelo Ciclo de Vida do Desenvolvimento de Segurança (SDL). O SDL aborda a segurança em todas as fases de desenvolvimento e assegura que o Azure é continuamente atualizado para o tornar ainda mais seguro.

• Desenhe os seus aplicativos para dimensionar horizontalmente para responder à demanda de uma carga aumentada, especificamente no caso de um ataque DDoS. Se seu aplicativo depende de uma única instância de um serviço, ele cria um único ponto de falha. O provisionamento de várias instâncias torna seu sistema mais resiliente e escalável. Para o Serviço de Aplicativo do Azure, selecione um plano de Serviço de Aplicativo que ofereça várias instâncias.

Para Serviços Cloud do Azure, configura cada um dos teus papéis para usar múltiplas instâncias.

Para Máquinas Virtuais do Azure, certifique-se de que a arquitetura da sua VM inclui mais do que uma VM e que cada VM está incluída num conjunto disponibilidade. Utilize Conjuntos de Dimensionamento de Máquinas Virtuais para tirar partido das capacidades de dimensionamento automático.

• Colocar as defesas de segurança em camadas em um aplicativo reduz a chance de um ataque bem-sucedido. Implemente designs seguros para as suas aplicações utilizando as capacidades integradas da plataforma Azure. O risco de ataque aumenta com o tamanho (área de superfície) da aplicação. Pode reduzir a área de superfície usando uma lista de permissão para fechar o espaço de endereços IP expostos e as portas de escuta que não são necessárias nos balanceadores de carga (Balanceador de Carga do Azure e Gateway de Aplicação do Azure).

Os grupos de segurança de rede são outra forma de reduzir a superfície de ataque. Você pode usar tags de serviço e grupos de segurança de aplicativos para minimizar a complexidade para criar regras de segurança e configurar a segurança de rede, como uma extensão natural da estrutura de um aplicativo.

Deves implementar Azure serviços numa rede virtual sempre que possível. Essa prática permite que os recursos de serviço se comuniquem por meio de endereços IP privados. O tráfego de serviço Azure proveniente de uma rede virtual utiliza endereços IP públicos como endereços IP de origem por defeito.

Usando endpoints service alterna o tráfego de serviço para usar endereços privados de rede virtual como endereços IP de origem quando acede ao serviço Azure a partir de uma rede virtual.

Os atacantes podem direcionar recursos locais juntamente com recursos no Azure. Se estiver a ligar um ambiente local ao Azure, minimize a exposição dos recursos locais à internet pública.

Azure dispõe de duas ofertas DDoS service que oferecem proteção contra ataques à rede:

• A proteção da infraestrutura contra DDoS está integrada no Azure por predefinição, sem custos adicionais. A escala e a capacidade da rede Azure implementada a nível global protegem contra ataques comuns à camada de rede através da monitorização contínua do tráfego e da mitigação em tempo real. A Proteção da Infraestrutura não requer alterações de configuração ou aplicação do utilizador e ajuda a proteger todos os serviços do Azure, incluindo serviços PaaS como o DNS do Azure.
• A Proteção de Rede DDoS fornece capacidades avançadas de mitigação DDoS contra ataques de rede. É automaticamente ajustado para proteger os teus recursos específicos do Azure. Pode ativar a proteção durante a criação ou após a criação da rede virtual, e não requer alterações de aplicação ou de recursos.

Ativar a Política do Azure

Azure Policy é um serviço em Azure que utiliza para criar, atribuir e gerir políticas. Essas políticas impõem regras e efeitos sobre seus recursos, para que esses recursos permaneçam em conformidade com seus padrões corporativos e contratos de nível de serviço. O Azure Policy responde a esta necessidade avaliando os seus recursos quanto à inconformidade com as políticas atribuídas.

Ative o Azure Policy para monitorizar e aplicar a política escrita da sua organização. Esta abordagem garante o cumprimento dos requisitos de segurança da sua empresa ou regulatórios, gerindo centralmente as políticas de segurança em todas as suas cargas de trabalho na cloud híbrida. Saiba como criar e gerenciar políticas para impor a conformidade. Consulte Azure Policy estrutura de definição para uma visão geral dos elementos de uma política.

• Use o Azure Policy para aplicar as recomendações do Microsoft Cloud Security Benchmark v2 (pré-visualização) em todo o seu ambiente. O Microsoft Cloud Security Benchmark v2 (pré-visualização) fornece boas práticas de segurança abrangentes com cobertura alargada do Azure Policy (420+ medições baseadas em políticas). Atribua políticas Microsoft Cloud Security Benchmark v2 (pré-visualização) às suas subscrições e grupos de gestão para auditar e aplicar continuamente configurações seguras. O benchmark inclui novos controlos para a segurança da IA, computação confidencial e deteção melhorada de ameaças. Use o painel de conformidade regulatória do Defender para a Cloud para acompanhar a conformidade e identificar lacunas de segurança que exijam remediação.

Aqui estão algumas boas práticas de segurança a seguir depois de adotar o Azure Policy:

• Inicie as implementações de políticas em modo de auditoria. A política suporta vários tipos de efeitos. Pode ler sobre elas em estrutura de definição do Azure Policy. As operações de negócios podem ser afetadas negativamente pelo efeito de negação e pelo efeito de remediação, portanto, comece com o efeito de auditoria para limitar o risco de impacto negativo da política. Mais tarde, progredirá para negar ou remediar. Teste e analise os resultados do efeito de auditoria antes de passar a negar ou corrigir.

  Para obter mais informações, consulte Criar e gerenciar políticas para impor a conformidade.

• Identifique os papéis responsáveis por monitorizar violações das políticas e garantir uma remediação rápida. Faça com que o papel atribuído monitorize a conformidade através do portal Azure ou pela linha de comandos.

• Azure Policy é uma representação técnica das políticas escritas de uma organização. Mapeie todas as definições do Azure Policy para políticas organizacionais para reduzir confusão e aumentar a consistência. Mapeamento de documentos na documentação da sua organização ou na própria definição do Azure Policy, adicionando uma referência à política organizacional na definição da política ou na descrição da definição da iniciativa.

Monitorizar os relatórios de risco da Microsoft Entra

A grande maioria das violações de segurança ocorre quando atacantes acedem a um ambiente roubando a identidade de um utilizador. Descobrir identidades comprometidas não é tarefa fácil. O Microsoft Entra ID utiliza algoritmos e heurísticas adaptativas de aprendizagem automática para detetar ações suspeitas relacionadas com as suas contas de utilizador. Cada ação suspeita detetada é armazenada em um registro chamado deteção de risco. As deteções de risco são registadas nos relatórios de segurança da Microsoft Entra. Para obter mais informações, leia sobre o relatório de segurança de usuários em risco e o relatório de segurança de entradas arriscadas.

Próximos passos

Consulte Resumo da resposta a incidentes para orientações sobre como responder a incidentes de segurança no seu ambiente Azure. Consulte Azure melhores práticas e padrões de segurança para mais boas práticas de segurança a utilizar ao desenhar, implementar e gerir as suas soluções cloud utilizando Azure.

Os seguintes recursos estão disponíveis para fornecer informações mais gerais sobre a segurança do Azure e serviços Microsoft relacionados:

• Blog da Equipa de Segurança do Azure - para obter informações atualizadas sobre as mais recentes novidades em Segurança do Azure.
• Centro de Resposta de Segurança da Microsoft - para reportar vulnerabilidades de segurança da Microsoft, incluindo problemas com o Azure. Também pode reportar vulnerabilidades por email para secure@microsoft.com.
• Consulte os controlos Microsoft Cloud Security Benchmark v2 - Resposta a Incidentes e MCSB v2 - Gestão de Postura e Vulnerabilidades para orientações abrangentes de segurança operacional com mapeamentos de Azure Policy.
• Saiba mais sobre a Microsoft Secure Future Initiative (SFI), as melhores práticas internas de segurança da Microsoft.
• Explore os princípios Confiança Zero para orientação na implementação de uma arquitetura de segurança Confiança Zero.