Información general de seguridad de Azure Virtual Machines

En este artículo se proporciona información general sobre las características principales de seguridad de Azure para las máquinas virtuales.

Azure Virtual Machines le permite implementar una amplia gama de soluciones informáticas de forma ágil. El servicio es compatible con Microsoft Windows, Linux, Microsoft SQL Server, Oracle, IBM, SAP y Azure BizTalk Services. Puede implementar cualquier carga de trabajo y cualquier idioma en casi cualquier sistema operativo.

Las máquinas virtuales de Azure proporcionan la flexibilidad de virtualización sin comprar y mantener hardware físico. Puede compilar e implementar aplicaciones con la garantía de que los datos están protegidos en centros de datos altamente seguros.

Con Azure, puede crear soluciones compatibles con seguridad mejorada que:

• Protección de máquinas virtuales frente a virus y malware
• Cifrado de datos confidenciales
• Protección del tráfico de red
• Identificación y detección de amenazas
• Satisfacen los requisitos de cumplimiento.

Lanzamiento confiable

Trusted launch es el valor predeterminado para las Azure VMs de Generación 2 recién creadas y los conjuntos de escalado de máquinas virtuales. El inicio de confianza protege contra técnicas de ataque avanzadas y persistentes, como kits de arranque, rootkits y malware de nivel de kernel.

El lanzamiento confiable proporciona:

• Arranque seguro: protege contra la instalación de rootkits y kits de arranque basados en malware al garantizar que solo los sistemas operativos y controladores firmados puedan arrancar.
• vTPM (Módulo de plataforma segura virtual): un almacén seguro dedicado para claves y mediciones que permite la atestación y la comprobación de la integridad de arranque
• Supervisión de la integridad de arranque: usa la atestación a través de Microsoft Defender for Cloud para comprobar la integridad de la cadena de arranque y alertar sobre errores.

El arranque confiable se puede habilitar en máquinas virtuales existentes y conjuntos de escalabilidad de máquinas virtuales. Para más información, consulte Inicio seguro para máquinas virtuales de Azure.

Computación confidencial

La computación confidencial de Azure protege los datos mientras se usan mediante entornos de ejecución de confianza basados en hardware. Las máquinas virtuales confidenciales usan la tecnología AMD SEV-SNP para crear un límite aplicado por hardware entre la aplicación y la pila de virtualización.

Las máquinas virtuales confidenciales proporcionan:

• Aislamiento basado en hardware: entre máquinas virtuales, hipervisor y código de administración de host
• Cifrado de disco del sistema operativo confidencial: enlaza las claves de cifrado de disco al TPM de la máquina virtual, lo que hace que el contenido del disco sea accesible solo para la máquina virtual.
• Versión de clave segura: enlace criptográfico entre la atestación de plataforma y las claves de cifrado de máquina virtual
• Atestación: directivas personalizables para garantizar el cumplimiento del host antes de la implementación

Para más información, consulte Máquinas virtuales confidenciales de Azure.

Azure Backup

Azure Backup es una solución escalable que protege los datos de la aplicación con una inversión de capital cero y costos operativos mínimos. Los errores de una aplicación pueden dañar los datos, y los errores humanos pueden crear errores en las aplicaciones. Con Azure Backup, las máquinas virtuales que ejecutan Windows y Linux están protegidas.

Azure Backup proporciona copias de seguridad independientes y aisladas para protegerse frente a la destrucción accidental de datos. Las copias de seguridad se almacenan en un almacén de Recovery Services con administración integrada de puntos de recuperación.

Para más información, consulte ¿Qué es Azure Backup? y preguntas más frecuentes sobre el servicio Azure Backup.

Recuperación del Sitio de Azure

Azure Site Recovery ayuda a orquestar la replicación, la conmutación por error y la recuperación de cargas de trabajo y aplicaciones para que estén disponibles desde una ubicación secundaria si la ubicación principal deja de funcionar.

Recuperación del sitio:

• Simplifica la estrategia de BCDR: facilita el control de la replicación, la conmutación por error y la recuperación de varias cargas de trabajo y aplicaciones empresariales desde una sola ubicación.
• Proporciona replicación flexible: replicación de cargas de trabajo que se ejecutan en máquinas virtuales de Hyper-V, máquinas virtuales de VMware y servidores físicos Windows/Linux
• Admite la conmutación por error y la recuperación: proporciona conmutaciones por error de prueba para los simulacros de recuperación ante desastres sin afectar a los entornos de producción.
• Elimina los centros de datos secundarios: replicación en Azure, lo que elimina el costo y la complejidad de mantener un sitio secundario.

Para más información, consulte ¿Qué es Azure Site Recovery?, ¿Cómo funciona Azure Site Recovery? y ¿Qué cargas de trabajo están protegidas por Azure Site Recovery?.

Redes virtuales

Las máquinas virtuales requieren conectividad de red. Azure requiere que las máquinas virtuales estén conectadas a una red virtual de Azure.

Azure Virtual Network es una construcción lógica creada encima del tejido de red físico de Azure. Cada instancia lógica de Azure Virtual Network está aislada de todas las demás redes virtuales de Azure. Este aislamiento ayuda a garantizar que el tráfico de red de las implementaciones no sea accesible para otros clientes de Microsoft Azure.

Para obtener más información, consulte Introducción a la seguridad de red de Azure y Introducción a virtual Network.

Administración de directivas de seguridad

Microsoft Defender for Cloud le ayuda a evitar, detectar y responder a amenazas. Defender for Cloud aporta visibilidad mejorada y control sobre la seguridad de los recursos de Azure. Proporciona una supervisión de la seguridad y una administración de directivas integradas en suscripciones de Azure.

Defender for Cloud le ayuda a optimizar y supervisar la seguridad de las máquinas virtuales mediante:

• Proporcionar recomendaciones de seguridad para máquinas virtuales
• Supervisión del estado de las máquinas virtuales
• Proporcionar Microsoft Defender para servidores con protección contra amenazas avanzada

Microsoft Defender para servidores incluye:

• Integración de Microsoft Defender para punto de conexión para detección y respuesta de puntos de conexión
• Evaluación de vulnerabilidades para identificar puntos débiles de seguridad
• Acceso a máquinas virtuales Just-In-Time para reducir la superficie expuesta a ataques
• Supervisión de la integridad de los archivos para detectar cambios en archivos críticos
• Controles de aplicaciones adaptables para aplicaciones aprobadas

Para obtener más información, consulte Introducción a Microsoft Defender for Cloud, Microsoft Defender para servidores y preguntas más frecuentes sobre Microsoft Defender for Cloud.

Cumplimiento normativo

Azure Virtual Machines tiene las certificaciones de FISMA, FedRAMP, HIPAA, PCI DSS nivel 1 y otros programas de cumplimiento fundamentales. Esta certificación facilita que las aplicaciones de Azure cumplan los requisitos de cumplimiento y que su empresa aborde los requisitos normativos nacionales e internacionales.

Para obtener más información, consulte Centro de confianza de Microsoft: Documentación de cumplimiento y cumplimiento de Azure.

Módulo de seguridad de hardware

Azure Key Vault proporciona almacenamiento seguro para claves y secretos. Key Vault ofrece la opción de almacenar las claves en módulos de seguridad de hardware (HSM) certificados para estándares validados de FIPS 140.

Las claves de cifrado de SQL Server para la copia de seguridad o el cifrado de datos transparente pueden almacenarse en Key Vault junto con claves o secretos de aplicaciones. Los permisos y el acceso a estos elementos protegidos se administran con Microsoft Entra ID.

Para más información sobre la administración de claves de Azure, consulte Administración de claves en Azure.

Pasos siguientes

Aprenda sobre los procedimientos recomendados de seguridad para máquinas virtuales y sistemas operativos.