Configuration des fonctionnalités MSP

Le protocole MSP (Metadata Security Protocol) offre une personnalisation pour limiter au maximum l’accès au serveur de métadonnées dans votre charge de travail. Cet article présente les concepts fondamentaux que vous pouvez activer rapidement sur n’importe quelle machine virtuelle ou groupe de machines virtuelles identiques pris en charge.

Si vous connaissez bien la façon dont votre charge de travail utilise les services de métadonnées, vous pouvez renforcer l’accès en suivant le guide de configuration avancée.

Vous pouvez configurer MSP via :

• Modèles Microsoft Azure Resource Manager
• API REST
• PowerShell
• portail Azure

Les concepts

Champs Azure Resource Manager

Vous gérez toute la configuration via de nouvelles propriétés dans la securityProfile section de la configuration de votre ressource.

La version minimale de l’API pour configurer MSP est 2024-03-01.

Configuration générale

ProxyAgentSettings est la nouvelle propriété dans le modèle de machine virtuelle pour les machines virtuelles Azure et les groupes de machines virtuelles identiques afin de configurer la fonctionnalité MSP.

Configuration de chaque service de métadonnées

Vous pouvez configurer des protections individuelles pour chaque service de métadonnées. Le schéma est le même pour chaque service.

Les configurations en ligne et les configurations liées s'excluent mutuellement pour chaque service.

Configuration en ligne

Vous pouvez définir une configuration inline à l’aide de la mode propriété de HostEndpointSettings. Les configurations inline ne prennent pas en charge la personnalisation.

Dans le tableau suivant, mode est une énumération exprimée sous la forme String.

En mode WireServer Enforce , le GPA nécessite implicitement qu’un processus s’exécute en tant que Administrator ou root pour accéder à WireServer. Cette exigence équivaut à la règle de pare-feu in-guest qui existe même quand le MSP est désactivé, mais avec une implémentation plus sécurisée.

Configuration liée

Le type de ressource inVMAccessControlProfiles définit une configuration par service qui peut être associée à une machine virtuelle ou à un ensemble élastique de machines virtuelles. Ces configurations prennent en charge les personnalisations complètes. Pour plus d’informations, consultez Configuration avancée pour MSP.

Cette propriété doit être un ID Resource Manager complet, qui prend la forme suivante : /subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}.

Exemple complet

• VM : https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachines/{virtualMachine-Name}?api-version=2024-03-01
• Groupe de machines virtuelles identiques : https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachineScaleSets/{vmScaleSet-name}/virtualMachines/{instance-id}?api-version=2024-03-01

L'exemple suivant utilise mode :

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "mode": "Enforce"
        },
        "imds": {
          "mode": "Audit"
        }
      }
    },
  }
}

L’exemple suivant utilise inVMAccessControlProfileReferenceId:

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        },
        "imds": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        }
      }
    },
  }
}

Journaux d’audit

En mode Audit et en mode Enforce, les journaux d’audit sont générés sur le disque local.

Progression recommandée

Les clients ne sont souvent pas conscients de l’étendue complète de l’utilisation de WireServer et du service de métadonnées d’instance dans leur charge de travail. L’utilisation de votre machine virtuelle est une combinaison de toutes les intégrations personnalisées que vous créez et des détails d’implémentation de tout autre logiciel que vous exécutez. Nous vous recommandons de commencer par une configuration plus simple et d’effectuer une itération au fil du temps à mesure que vous obtenez plus d’informations. En général, il est préférable d’aller dans cet ordre :

1. Activez MSP pour WireServer et Instance Metadata Service, en mode Audit. Cette étape vous permet de confirmer la compatibilité et d’en savoir plus sur votre charge de travail. Il génère également des données précieuses pour détecter les acteurs des menaces.
2. Passez en revue les données d’audit. Soyez particulièrement attentif(ve) aux demandes signalées. Ces requêtes peuvent être des signes d’une attaque en cours ou d’une incompatibilité de charge de travail.
3. Corrigez les problèmes. Sous la configuration par défaut, tout ce qui est marqué par un indicateur est une mauvaise utilisation des services de métadonnées. Contactez votre équipe de sécurité ou les propriétaires de services correspondants en fonction des besoins.
4. Passer du Audit mode au Enforce mode. Les requêtes signalées sont rejetées pour protéger la charge de travail.
5. Expérimentez avec une configuration avancée. La configuration par défaut reflète les règles de sécurité pré-MSP, qui sont souvent trop permissives. La définition d’une configuration personnalisée pour votre charge de travail vous permet d’améliorer davantage la sécurité en appliquant le principe de l’accès avec privilèges minimum.

Ne vous inquiétez pas de suivre une progression parfaite. Tout niveau d’activation MSP améliore considérablement votre sécurité et vous aide à vous protéger contre la plupart des attaques réelles.

Contenu connexe

• Déployer une machine virtuelle ou des groupes de machines virtuelles identiques avec MSP
• Activer MSP sur une machine virtuelle existante ou un ensemble de machines virtuelles échelonnées
• Configuration avancée pour MSP