Поделиться через

Базовый уровень безопасности Azure для экземпляров контейнеров

Это важно

Эта базовая база безопасности основана на предыдущей версии Microsoft Cloud Security Benchmark (версии 1.0) и может содержать устаревшие рекомендации. Актуальные рекомендации по безопасности смотрите в документации по экземплярам контейнеров.

Этот базовый уровень безопасности применяет руководящие указания из Microsoft cloud security benchmark версии 1.0 к экземплярам контейнеров. Тест безопасности облака Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано элементами управления безопасностью, определенными тестом безопасности Microsoft Cloud Security, и соответствующим руководством, применимым к экземплярам контейнеров.

Вы можете отслеживать эти базовые показатели безопасности и их рекомендации с помощью Microsoft Defender для облака. Определения политики Azure будут перечислены в разделе "Соответствие нормативным требованиям" на странице портала Microsoft Defender для облака.

Если функция имеет соответствующие определения политики Azure, они перечислены в этом базовом плане, чтобы помочь вам оценить соответствие требованиям средств управления и рекомендаций microsoft cloud security benchmark. Для некоторых рекомендаций может потребоваться платный план Microsoft Defender для включения определенных сценариев безопасности.

Замечание

Функции , неприменимые к экземплярам контейнеров, исключены. Чтобы узнать, как экземпляры контейнеров полностью соответствуют эталонному показателю безопасности облачных сервисов Microsoft, см. полный файл сопоставления базовых показателей безопасности экземпляров контейнеров.

Профиль безопасности

Профиль безопасности резюмирует поведение экземпляров контейнеров с высоким воздействием, что может привести к увеличению необходимости учета вопросов безопасности.

Атрибут поведения службы Ценность
Категория продукта Вычисления, контейнеризация
Клиент может получить доступ к HOST / OS Нет доступа
Служба может быть развернута в виртуальной сети клиента True
Сохраняет содержимое данных клиента в состоянии покоя Неправда

Сетевая безопасность

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: сетевая безопасность.

NS-1. Установка границ сегментации сети

Функции

Интеграция виртуальной сети

Описание. Служба поддерживает развертывание в частной виртуальной сети клиента. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Развертывание службы в виртуальной сети. Назначьте частные IP-адреса ресурсу (если применимо), если не существует строгой причины назначения общедоступных IP-адресов непосредственно ресурсу.

Справочник. Развертывание экземпляров контейнеров в виртуальной сети

Поддержка группы безопасности сети

Описание: Трафик сервисной сети соблюдает назначение правил групп безопасности сети на своих подсетях. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Использование правил NSG для управления доступом контейнера к подсетям или другим сетевым ресурсам

Примечание. Размещение Azure Load Balancer перед экземплярами контейнеров в сетевой группе контейнеров не поддерживается.

NS-2. Защита облачных служб с помощью сетевых элементов управления

Функции

Описание. Возможность фильтрации ip-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или брандмауэром Azure). Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации IP-адресов уровня обслуживания (не NSG или брандмауэра Azure) или переключателя переключателя "Отключить доступ к общедоступной сети". Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление идентичностью

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление удостоверениями.

IM-1. Использование централизованной системы идентификации и проверки подлинности

Функции

Требуется проверка подлинности Azure AD для доступа к плоскости управления данными.

Описание. Служба поддерживает проверку подлинности Azure AD для доступа к плоскости данных. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Заметки о функциях. Клиент может создать управляемое удостоверение, назначаемое системой, для безопасного доступа к ресурсам в ARM

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Методы локальной аутентификации для доступа к плоскости данных

Описание. Локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, например локальное имя пользователя и пароль. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3. Безопасное и автоматическое управление идентичностями приложений

Функции

Управляемые учётные записи

Описание: Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Использование управляемых удостоверений для ресурсов Azure для запуска кода в экземплярах контейнеров Azure, взаимодействующих с другими службами Azure, без сохранения секретов или учетных данных в коде. Эта функция предоставляет развертывание Azure Container Instances с автоматически управляемым удостоверением в Azure Active Directory.

Справочник: Использование управляемых удостоверений с экземплярами контейнеров Azure

Субъекты-службы

Описание: Плоскость данных поддерживает аутентификацию с использованием служебных принципов. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-7. Ограничение доступа к ресурсам в зависимости от условий

Функции

Условный доступ к каналу данных

Описание. Доступ к плоскости данных можно контролировать с помощью политик условного доступа Azure AD. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Для этой конфигурации компонентов нет текущих рекомендаций Майкрософт. Проверьте и определите, хотите ли ваша организация настроить эту функцию безопасности.

IM-8. Ограничение раскрытия учетных данных и секретов

Функции

Поддержка интеграции и хранения учетных данных службы и секретов в Azure Key Vault

Описание: Плоскость данных поддерживает нативное использование Azure Key Vault в качестве хранилища учетных данных и секретов. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: привилегированный доступ.

PA-7. Следуйте принципу достаточного уровня администрирования (принцип наименьших привилегий)

Функции

Azure RBAC для плоскости данных

Описание: Управление доступом на основе роли в Azure (Azure RBAC) можно использовать для управления доступом к действиям уровня плоскости данных службы. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. При использовании облачного частного реестра, например Реестра контейнеров Azure с экземплярами контейнеров Azure, используйте управление доступом на основе ролей Azure (Azure RBAC) для управления доступом к данным и ресурсам в реестре контейнеров Azure.

Справочник. Рекомендации по безопасности для экземпляров контейнеров Azure

PA-8. Определение процесса доступа для поддержки поставщика облачных служб

Функции

Сервис "Контроль доступа клиентов"

Описание. Для доступа в службу поддержки Майкрософт можно использовать папку "Блокировка клиента". Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: защита данных.

DP-4. Включение шифрования неактивных данных по умолчанию

Функции

Шифрование неактивных данных с помощью ключей платформы

Описание. Шифрование неактивных данных с помощью ключей платформы поддерживается, любое содержимое клиента, неактивное, шифруется с помощью этих управляемых корпорацией Майкрософт ключей. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Microsoft

Руководство по настройке. Включение шифрования неактивных данных с помощью ключей, управляемых платформой (Майкрософт), где служба не настроена автоматически.

Справочник: Экземпляры контейнеров Azure — шифрование данных развертывания

DP-5. Использование параметра ключа, управляемого клиентом, в неактивных шифрованиях данных при необходимости

Функции

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Если требуется для соответствия нормативным требованиям, определите вариант использования и область обслуживания, где требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом для этих служб.

Справочник: Экземпляры контейнеров Azure — шифрование данных развертывания

DP-6. Использование процесса безопасного управления ключами

Функции

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых ключей клиентов, секретов или сертификатов. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке: Используйте Azure Key Vault для создания и управления жизненным циклом ключей шифрования, применяемых для шифрования с управляемым клиентом ключом вашего экземпляра контейнера.

Справочник. Создание ресурса Key Vault

DP-7. Использование процесса управления безопасными сертификатами

Функции

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых сертификатов клиентов. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление активами

Для получения дополнительной информации см. Microsoft Cloud Security Benchmark: управление активами.

AM-2. Использование только утвержденных служб

Функции

Поддержка политик Azure

Описание. Конфигурации служб можно отслеживать и применять с помощью политики Azure. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Примечания к функциям: Контейнерные экземпляры Azure поддерживают настройку политики для 2 функций (CMK и развертываний в частной виртуальной сети).

Руководство по настройке. Использование Microsoft Defender для облака для настройки политики Azure для аудита и применения конфигураций ресурсов Azure. Используйте Azure Monitor для создания оповещений при обнаружении отклонения конфигурации ресурсов. Используйте эффекты политики Azure [deny] и [deployIfNotExists], чтобы обеспечить безопасную настройку ресурсов Azure.

Справочник. Встроенные определения политики Azure для экземпляров контейнеров Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в тестовом тесте облачной безопасности Майкрософт: ведение журнала и обнаружение угроз.

LT-4. Включить ведение журнала для расследования инцидентов безопасности

Функции

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например учетную запись хранения или рабочую область Log Analytics. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
True Неправда Клиент

Руководство по настройке. Рабочие области Log Analytics предоставляют централизованное расположение для хранения и запроса данных журнала не только из ресурсов Azure, но и локальных ресурсов и ресурсов в других облаках. Экземпляры контейнеров Azure по умолчанию поддерживают отправку журналов и данных событий в журналы Azure Monitor.

Справочник: Логирование групп контейнеров и инстанций с помощью журналов Azure Monitor

Резервное копирование и восстановление

Дополнительные сведения см. в эталоне безопасности облака Майкрософт: резервное копирование и восстановление.

BR-1. Обеспечение регулярного автоматического резервного копирования

Функции

Azure Backup

Описание: Служба может быть защищена с помощью Azure Backup. Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Заметки о функциях: ACI рекомендуется для бессостояных приложений, и мы не предлагаем сервис резервного копирования. Клиент может выбрать регионы, которые поддерживают поддержку AZ для поддержки развертывания в одном регионе. Для разных регионов им необходимо разработать решение резервного копирования и аварийного восстановления путем развертывания приложений в ACI в нескольких регионах и маршрутизации трафика с помощью диспетчера трафика для обработки вариантов использования аварийного восстановления.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Встроенная возможность резервного копирования службы

Описание. Служба поддерживает собственные возможности резервного копирования (если не используется Azure Backup). Подробнее.

Поддерживается Включен по умолчанию Ответственность за конфигурацию
Неправда Не применимо Не применимо

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие шаги

  • Last updated on