Punkt odniesienia zabezpieczeń platformy Azure dla Virtual WAN
Ten punkt odniesienia zabezpieczeń stosuje wskazówki z testu porównawczego zabezpieczeń platformy Azure w wersji 3.0 do Virtual WAN. Test porównawczy zabezpieczeń platformy Azure zawiera zalecenia dotyczące sposobu zabezpieczania rozwiązań w chmurze na platformie Azure. Zawartość jest pogrupowana przez mechanizmy kontroli zabezpieczeń zdefiniowane przez test porównawczy zabezpieczeń platformy Azure i powiązane wskazówki dotyczące Virtual WAN.
Możesz monitorować ten punkt odniesienia zabezpieczeń i jego zalecenia przy użyciu usługi Microsoft Defender for Cloud. Azure Policy definicje zostaną wyświetlone w sekcji Zgodność z przepisami pulpitu nawigacyjnego usługi Microsoft Defender for Cloud.
Jeśli funkcja ma odpowiednie definicje Azure Policy, są one wymienione w tym punkcie odniesienia, aby ułatwić mierzenie zgodności z mechanizmami kontroli i rekomendacji testów porównawczych zabezpieczeń platformy Azure. Niektóre zalecenia mogą wymagać płatnego planu usługi Microsoft Defender w celu włączenia niektórych scenariuszy zabezpieczeń.
Uwaga
Funkcje, które nie mają zastosowania do Virtual WAN zostały wykluczone. Aby dowiedzieć się, jak Virtual WAN całkowicie mapować na test porównawczy zabezpieczeń platformy Azure, zobacz pełny plik mapowania punktu odniesienia zabezpieczeń Virtual WAN.
Profil zabezpieczeń
Profil zabezpieczeń zawiera podsumowanie zachowań związanych z wysokim wpływem Virtual WAN, co może spowodować zwiększenie zagadnień dotyczących zabezpieczeń.
|Atrybut zachowania usługi||Wartość|
|Product Category||Sieć|
|Klient może uzyskać dostęp do hosta/systemu operacyjnego||Brak dostępu|
|Usługę można wdrożyć w sieci wirtualnej klienta||Fałsz|
|Przechowuje zawartość klienta magazynowanych||Fałsz|
Zarządzanie tożsamościami
Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń platformy Azure: zarządzanie tożsamościami.
IM-8: Ograniczanie ujawnienia poświadczeń i wpisów tajnych
Funkcje
Obsługa integracji i magazynu poświadczeń usługi i wpisów tajnych na platformie Azure Key Vault
Opis: Płaszczyzna danych obsługuje natywne użycie usługi Azure Key Vault na potrzeby magazynu poświadczeń i wpisów tajnych. Dowiedz się więcej.
|Obsługiwane||Włączone domyślnie||Odpowiedzialność za konfigurację|
|Prawda||Fałsz||Klient|
Wskazówki dotyczące konfiguracji: Upewnij się, że wpisy tajne i poświadczenia są przechowywane w bezpiecznych lokalizacjach, takich jak azure Key Vault, zamiast osadzania ich w plikach kodu lub konfiguracji.
Ochrona danych
Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń platformy Azure: ochrona danych.
DP-3: Szyfrowanie poufnych danych przesyłanych
Funkcje
Szyfrowanie danych przesyłanych
Opis: Usługa obsługuje szyfrowanie danych przesyłanych dla płaszczyzny danych. Dowiedz się więcej.
|Obsługiwane||Włączone domyślnie||Odpowiedzialność za konfigurację|
|Prawda||Fałsz||Udostępniona|
Wskazówki dotyczące konfiguracji: włącz bezpieczny transfer w usługach, w których wbudowane są natywne dane podczas szyfrowania tranzytowego. Usługa Microsoft Azure Virtual WAN zapewnia niestandardowe możliwości routingu i oferuje szyfrowanie ruchu usługi ExpressRoute. Wszystkie zarządzanie trasami jest udostępniane przez router koncentratora wirtualnego, który umożliwia również przesyłanie łączności między sieciami wirtualnymi. Szyfrowanie ruchu usługi ExpressRoute za pomocą usługi Virtual WAN zapewnia zaszyfrowany tranzyt między sieciami lokalnymi i sieciami wirtualnymi platformy Azure za pośrednictwem usługi ExpressRoute bez przechodzenia przez publiczny Internet lub używanie publicznych adresów IP.
Dokumentacja: Szyfrowanie podczas przesyłania
DP-6: Korzystanie z bezpiecznego procesu zarządzania kluczami
Funkcje
Zarządzanie kluczami na platformie Azure Key Vault
Opis: Usługa obsługuje integrację usługi Azure Key Vault z dowolnymi kluczami klienta, wpisami tajnymi lub certyfikatami. Dowiedz się więcej.
|Obsługiwane||Włączone domyślnie||Odpowiedzialność za konfigurację|
|Prawda||Fałsz||Udostępniona|
Wskazówki dotyczące konfiguracji: użyj usługi Azure Key Vault, aby utworzyć i kontrolować cykl życia kluczy szyfrowania. Sieć VPN typu lokacja-lokacja w Virtual WAN używa kluczy wstępnych (PSK), które są odnajdywane, tworzone i zarządzane przez klienta w Key Vault azure. Zaimplementuj skaner poświadczeń, aby zidentyfikować poświadczenia w kodzie. Skaner poświadczeń ułatwia również przenoszenie odnalezionych poświadczeń do bezpieczniejszych lokalizacji, takich jak usługa Azure Key Vault.
Zarządzanie zasobami
Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń platformy Azure: zarządzanie zasobami.
AM-2: Używanie tylko zatwierdzonych usług
Funkcje
Obsługa usługi Azure Policy
Opis: Konfiguracje usług można monitorować i wymuszać za pośrednictwem Azure Policy. Dowiedz się więcej.
|Obsługiwane||Włączone domyślnie||Odpowiedzialność za konfigurację|
|Prawda||Fałsz||Udostępniona|
Wskazówki dotyczące konfiguracji: konfigurowanie Azure Policy za pomocą usługi Microsoft Defender for Cloud w celu przeprowadzania inspekcji i wymuszania konfiguracji zasobów platformy Azure. Usługa Azure Monitor umożliwia tworzenie alertów w przypadku wykrycia odchylenia konfiguracji w zasobach. Użyj Azure Policy [odmów] i [wdróż, jeśli nie istnieje], aby wymusić bezpieczną konfigurację między zasobami platformy Azure.
Rejestrowanie i wykrywanie zagrożeń
Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń platformy Azure: rejestrowanie i wykrywanie zagrożeń.
LT-1: Włączanie możliwości wykrywania zagrożeń
Funkcje
Usługa Microsoft Defender dla usług/oferta produktów
Opis: Usługa ma rozwiązanie usługi Microsoft Defender specyficzne dla oferty do monitorowania i zgłaszania alertów dotyczących problemów z zabezpieczeniami. Dowiedz się więcej.
|Obsługiwane||Włączone domyślnie||Odpowiedzialność za konfigurację|
|Fałsz||Nie dotyczy||Nie dotyczy|
Wskazówki dotyczące konfiguracji: ta funkcja nie jest obsługiwana w celu zabezpieczenia tej usługi.
LT-4: Włączanie rejestrowania na potrzeby badania zabezpieczeń
Funkcje
Dzienniki zasobów platformy Azure
Opis: Usługa tworzy dzienniki zasobów, które mogą zapewnić rozszerzone metryki i rejestrowanie specyficzne dla usługi. Klient może skonfigurować te dzienniki zasobów i wysłać je do własnego ujścia danych, takiego jak konto magazynu lub obszar roboczy analizy dzienników. Dowiedz się więcej.
|Obsługiwane||Domyślnie włączone||Odpowiedzialność za konfigurację|
|Prawda||Fałsz||Klient|
Wskazówki dotyczące konfiguracji: Włączanie dzienników zasobów dla usługi Virtual Wan i powiązanych zasobów. Różne dzienniki zasobów są dostępne dla Virtual WAN i można je skonfigurować dla zasobu Virtual WAN za pomocą Azure Portal. Możesz wysłać do usługi Log Analytics, przesłać strumieniowo do centrum zdarzeń lub po prostu zarchiwizować je na koncie magazynu. Dzienniki zasobów są obsługiwane zarówno w przypadku sieci VPN usługi ExpressRoute, jak i sieci VPN P2S/S2S.
Dokumentacja: Dzienniki zasobów