Базовый план безопасности Azure для Экземпляров контейнеров

Этот базовый план безопасности применяет рекомендации из Microsoft Cloud Security Benchmark версии 1.0 к Экземпляры контейнеров. Тест производительности облачной безопасности Майкрософт предоставляет рекомендации по защите облачных решений в Azure. Содержимое сгруппировано по элементам управления безопасностью, определенным в microsoft cloud security benchmark и в соответствующем руководстве, применимом к Экземпляры контейнеров.

Вы можете отслеживать эти базовые показатели безопасности и его рекомендации с помощью Microsoft Defender для облака. Политика Azure определения будут перечислены в разделе Соответствие нормативным требованиям на странице портала Microsoft Defender для облака.

Если у компонента есть релевантные Политика Azure определения, они перечислены в этом базовом плане, чтобы помочь вам измерить соответствие элементам управления и рекомендациям microsoft cloud security benchmark. Для реализации определенных сценариев безопасности для некоторых рекомендаций может потребоваться платный план Microsoft Defender.

Профиль безопасности

Профиль безопасности обобщает поведение Экземпляры контейнеров с высокой степенью влияния, что может привести к повышению уровня безопасности.

Безопасность сети

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Сетевая безопасность.

NS-1: установка границы сегментации сети

Компоненты

Интеграция с виртуальной сетью

Описание. Служба поддерживает развертывание в частной виртуальная сеть клиента (VNet). Подробнее.

Руководство по настройке. Разверните службу в виртуальной сети. Назначьте ресурсу частные IP-адреса (если это применимо), если нет веской причины назначать общедоступные IP-адреса напрямую ресурсу.

Справка.Развертывание экземпляров контейнеров в виртуальная сеть

Поддержка групп безопасности сети

Описание. Сетевой трафик службы учитывает назначение правил групп безопасности сети в своих подсетях. Подробнее.

Руководство по настройке. Использование правил NSG для управления доступом контейнера к подсетям или другим сетевым ресурсам

Примечание. Размещение Azure Load Balancer перед экземплярами контейнеров в сетевой группе контейнеров не поддерживается.

NS-2: защита облачных служб с помощью элементов управления сетью

Компоненты

Приватный канал Azure

Описание: возможность фильтрации IP-адресов в собственном коде службы для фильтрации сетевого трафика (не следует путать с NSG или Брандмауэр Azure). Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Отключение доступа к общедоступной сети

Описание. Служба поддерживает отключение доступа к общедоступной сети с помощью правила фильтрации списка ACL IP-адресов на уровне службы (не NSG или Брандмауэр Azure) или с помощью переключателя "Отключить доступ к общедоступной сети". Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление удостоверениями

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Identity management(Управление удостоверениями).

IM-1: Использование централизованной системы удостоверений и проверки подлинности

Компоненты

аутентификация Azure AD требуется для доступа к плоскости данных

Описание. Служба поддерживает использование проверки подлинности Azure AD для доступа к плоскости данных. Подробнее.

Заметки о функциях. Клиент может создать управляемое удостоверение, назначаемое системой, для безопасного доступа к ресурсам в ARM

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Методы локальной проверки подлинности для доступа к плоскости данных

Описание: локальные методы проверки подлинности, поддерживаемые для доступа к плоскости данных, такие как локальное имя пользователя и пароль. Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-3: Безопасное и автоматическое управление удостоверениями приложений

Компоненты

управляемые удостоверения.

Описание. Действия плоскости данных поддерживают проверку подлинности с помощью управляемых удостоверений. Подробнее.

Руководство по настройке. Используйте управляемые удостоверения для ресурсов Azure для выполнения кода в Экземпляры контейнеров Azure, который взаимодействует с другими службами Azure без сохранения секретов или учетных данных в коде. Эта функция позволяет создать развертывание службы "Экземпляры контейнеров Azure" с автоматическим управлением удостоверениями через Azure Active Directory.

Справочник. Использование управляемых удостоверений с Экземпляры контейнеров Azure

Субъекты-службы

Описание. Плоскость данных поддерживает проверку подлинности с помощью субъектов-служб. Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

IM-7: Ограничение доступа к ресурсам на основе условий

Компоненты

Условный доступ для плоскости данных

Описание. Доступом к плоскости данных можно управлять с помощью Azure AD политик условного доступа. Подробнее.

Руководство по конфигурации. Нет текущих рекомендаций Майкрософт по этой конфигурации компонентов. Проверьте и определите, хочет ли ваша организация настроить эту функцию безопасности.

IM-8: ограничение раскрытия учетных данных и секретов

Компоненты

Учетные данные и секреты службы поддерживают интеграцию и хранение в Azure Key Vault

Описание. Плоскость данных поддерживает собственное использование azure Key Vault для хранилища учетных данных и секретов. Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Привилегированный доступ

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Privileged Access( Привилегированный доступ).

PA-7. Следуйте принципу администрирования с предоставлением минимальных прав

Компоненты

Azure RBAC для плоскости данных

Описание. Azure Role-Based контроль доступа (Azure RBAC) можно использовать для управляемого доступа к действиям уровня данных службы. Подробнее.

Руководство по конфигурации. При использовании облачного частного реестра, например Реестр контейнеров Azure с Экземпляры контейнеров Azure, используйте управление доступом на основе ролей Azure (Azure RBAC) для управления доступом к данным и ресурсам в реестре контейнеров Azure.

Справочник. Рекомендации по обеспечению безопасности для Экземпляры контейнеров Azure

PA-8. Определение процесса доступа для поддержки поставщиков облачных служб

Компоненты

Защищенное хранилище клиента

Описание. Защищенное хранилище можно использовать для доступа к службе поддержки Майкрософт. Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Защита данных

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Защита данных.

DP-4: включение шифрования неактивных данных по умолчанию

Компоненты

Шифрование неактивных данных с помощью ключей платформы

Описание. Поддерживается шифрование неактивных данных с помощью ключей платформы. Любое неактивное содержимое клиента шифруется с помощью этих ключей, управляемых корпорацией Майкрософт. Подробнее.

Руководство по настройке. Включите шифрование неактивных данных с помощью управляемых платформой ключей (управляемых Корпорацией Майкрософт), если служба не настраивает их автоматически.

Справка: Экземпляры контейнеров Azure — шифрование данных развертывания

DP-5: использование ключа, управляемого клиентом, для шифрования неактивных данных при необходимости

Компоненты

Шифрование неактивных данных с помощью CMK

Описание. Шифрование неактивных данных с помощью ключей, управляемых клиентом, поддерживается для содержимого клиента, хранящегося службой. Подробнее.

Руководство по настройке. Если это необходимо для соответствия нормативным требованиям, определите вариант использования и область службы, в которых требуется шифрование с помощью ключей, управляемых клиентом. Включите и реализуйте шифрование неактивных данных с помощью ключа, управляемого клиентом, для этих служб.

Справка: Экземпляры контейнеров Azure — шифрование данных развертывания

DP-6: безопасное управление ключами

Компоненты

Управление ключами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых ключей, секретов или сертификатов клиентов. Подробнее.

Руководство по настройке. Используйте Azure Key Vault для создания и управления жизненным циклом ключей шифрования, используемых для шифрования на основе ключей, управляемых клиентом, для экземпляра контейнера.

Справка. Создание ресурса Key Vault

DP-7: безопасное управление сертификатами

Компоненты

Управление сертификатами в Azure Key Vault

Описание. Служба поддерживает интеграцию Azure Key Vault для любых сертификатов клиентов. Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Управление ресурсами

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Управление ресурсами.

AM-2: использование только утвержденных служб

Компоненты

Поддержка службы "Политика Azure"

Описание. Конфигурации служб можно отслеживать и применять с помощью Политика Azure. Подробнее.

Заметки о функциях: Экземпляры контейнеров Azure поддерживает настройку политики для двух функций (CMK и развертываний в частной виртуальной сети)

Руководство по настройке. Используйте Microsoft Defender для облака, чтобы настроить Политика Azure для аудита и принудительного применения конфигураций ресурсов Azure. Воспользуйтесь Azure Monitor, чтобы создавать оповещения при обнаружении отклонений в ресурсах. Используйте Политика Azure эффекты [запрет] и [развертывание, если не существует], чтобы обеспечить безопасную конфигурацию в ресурсах Azure.

Справка: Политика Azure встроенные определения для Экземпляры контейнеров Azure

Ведение журнала и обнаружение угроз

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Ведение журнала и обнаружение угроз.

LT-4: включение ведения журнала для исследования безопасности

Компоненты

Журналы ресурсов Azure

Описание. Служба создает журналы ресурсов, которые могут предоставлять расширенные метрики и ведение журнала для конкретной службы. Клиент может настроить эти журналы ресурсов и отправить их в собственный приемник данных, например в учетную запись хранения или рабочую область Log Analytics. Подробнее.

Руководство по настройке. Рабочие области Log Analytics предоставляют централизованное расположение для хранения и запроса данных журнала не только из ресурсов Azure, но и из локальных ресурсов и ресурсов в других облаках. Экземпляры контейнеров Azure по умолчанию поддерживают отправку журналов и данных событий в журналы Azure Monitor.

Справочник. Ведение журналов групп контейнеров и экземпляров с помощью журналов Azure Monitor

резервное копирование и восстановление

Дополнительные сведения см. в статье Microsoft Cloud Security Benchmark: Backup and recovery (Производительность производительности облачной безопасности Майкрософт: резервное копирование и восстановление).

BR-1: обеспечение регулярного автоматического резервного копирования

Компоненты

Azure Backup

Описание. Резервная копия службы может выполняться службой Azure Backup. Подробнее.

Заметки о функциях. ACI рекомендуется для приложений без отслеживания состояния, и мы не предлагаем службу резервного копирования. Клиент может выбрать регионы, поддерживающие поддержку AZ, для поддержки своих развертываний в том же регионе. Для разных регионов им необходимо разработать решение резервного копирования и аварийного восстановления, развернув свои приложения в ACI в нескольких регионах и перенаправляя трафик с помощью диспетчера трафика для обработки вариантов использования аварийного восстановления.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Возможность резервного копирования в собственном коде службы

Описание. Служба поддерживает собственную возможность резервного копирования (если не используется Azure Backup). Подробнее.

Руководство по настройке. Эта функция не поддерживается для защиты этой службы.

Дальнейшие действия

• Ознакомьтесь с обзором производительности облачной безопасности Майкрософт.
• Дополнительные сведения о базовой конфигурации безопасности Azure.