비고
가장 최신의 up-toAzure Security Benchmark는 여기에서 사용할 수 있습니다.
로깅 및 위협 감지는 Azure에서 위협을 감지하고 Azure 서비스에 대한 감사 로그를 활성화, 수집 및 저장하기 위한 제어를 다룹니다. 여기에는 Azure 서비스에서 네이티브 위협 탐지를 사용하여 고품질 경고를 생성하기 위해 컨트롤을 사용하여 검색, 조사 및 수정 프로세스를 사용하도록 설정하는 것이 포함됩니다. Azure Monitor를 사용하여 로그 수집, Azure Sentinel을 사용하여 보안 분석 중앙 집중화, 시간 동기화 및 로그 보존도 포함됩니다.
적용 가능한 기본 제공 Azure Policy를 보려면 Azure Security Benchmark 규정 준수 기본 제공 이니셔티브의 세부 정보: 로깅 및 위협 감지를 참조하세요.
LT-1: Azure 리소스에 대한 위협 탐지 사용
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-1 | 6.7 | AU-3, AU-6, AU-12, SI-4 |
잠재적인 위협 및 변칙에 대해 다양한 유형의 Azure 자산을 모니터링해야 합니다. 분석가들이 정렬해야 하는 오탐을 줄이기 위해 고품질 경고에 집중하십시오. 경고는 로그 데이터, 에이전트 또는 기타 데이터를 원본으로 사용할 수 있습니다.
Azure 서비스 원격 분석 모니터링 및 서비스 로그 분석을 기반으로 하는 Azure Defender를 사용합니다. 데이터는 Log Analytics 에이전트를 사용하여 수집됩니다. 이 에이전트는 시스템에서 다양한 보안 관련 구성 및 이벤트 로그를 읽고 분석을 위해 데이터를 작업 영역에 복사합니다.
또한 Azure Sentinel을 사용하여 환경 전반의 특정 기준과 일치하는 위협을 헌팅하는 분석 규칙을 빌드합니다. 규칙은 기준이 일치할 때 인시던트 생성을 생성하므로 각 인시던트별로 조사할 수 있습니다. Azure Sentinel은 타사 위협 인텔리전스를 가져와 위협 탐지 기능을 향상시킬 수도 있습니다.
책임: 고객
고객 보안 관련자 (자세한 정보):
LT-2: Azure ID 및 액세스 관리에 대한 위협 탐지 사용
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-2 | 6.8 | AU-3, AU-6, AU-12, SI-4 |
Azure AD는 보다 정교한 모니터링 및 분석 사용 사례를 위해 Azure AD 보고에서 보거나 Azure Monitor, Azure Sentinel 또는 기타 SIEM/모니터링 도구와 통합할 수 있는 다음 사용자 로그를 제공합니다.
로그인 – 로그인 보고서는 관리되는 애플리케이션 및 사용자 로그인 활동의 사용에 대한 정보를 제공합니다.
감사 로그 - Azure AD 내의 다양한 기능에서 수행한 모든 변경 내용에 대한 로그를 통해 추적 가능성을 제공합니다. 감사 로그의 예로는 사용자, 앱, 그룹, 역할 및 정책 추가 또는 제거와 같은 Azure AD 내의 모든 리소스에 대한 변경 내용이 포함됩니다.
위험한 로그인 - 위험한 로그인은 사용자 계정의 합법적인 소유자가 아닌 사용자가 수행했을 수 있는 로그인 시도에 대한 지표입니다.
위험 플래그가 지정된 사용자 - 위험한 사용자는 손상되었을 수 있는 사용자 계정에 대한 지표입니다.
Azure Security Center는 과도한 인증 시도 실패 및 구독에서 사용되지 않는 계정과 같은 특정 의심스러운 활동에 대해 경고할 수도 있습니다. 기본 보안 위생 모니터링 외에도 Azure Defender는 개별 Azure 컴퓨팅 리소스(예: 가상 머신, 컨테이너, 앱 서비스), 데이터 리소스(예: SQL DB 및 스토리지) 및 Azure 서비스 계층에서 더 심층적인 보안 경고를 수집할 수 있습니다. 이 기능을 사용하면 개별 리소스 내에서 계정 변칙을 볼 수 있습니다.
책임: 고객
고객 보안 관련자 (자세한 정보):
LT-3: Azure 네트워크 활동에 대한 로깅 사용
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-3 | 9.3, 12.2, 12.5, 12.8 | AU-3, AU-6, AU-12, SI-4 |
보안 분석을 위해 NSG(네트워크 보안 그룹) 리소스 로그, NSG 흐름 로그, Azure Firewall 로그 및 WAF(웹 애플리케이션 방화벽) 로그를 사용하도록 설정하고 수집하여 인시던트 조사, 위협 헌팅 및 보안 경고 생성을 지원합니다. 흐름 로그를 Azure Monitor Log Analytics 작업 영역으로 보낸 다음 Traffic Analytics를 사용하여 인사이트를 제공할 수 있습니다.
다른 네트워크 데이터 상관 관계를 지원하기 위해 DNS 쿼리 로그를 수집하고 있는지 확인합니다.
책임: 고객
고객 보안 관련자 (자세한 정보):
LT-4: Azure 리소스에 대한 로깅 사용
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-4 | 6.2, 6.3, 8.8 | AU-3, AU-12 |
규정 준수, 위협 감지, 헌팅 및 인시던트 조사에 대한 요구 사항을 충족하도록 Azure 리소스에 대한 로깅을 사용하도록 설정합니다.
Azure Security Center 및 Azure Policy를 사용하여 감사, 보안 및 리소스 로그에 액세스하기 위해 Azure 리소스에서 리소스 로그 및 로그 데이터 수집을 사용하도록 설정할 수 있습니다. 자동으로 사용할 수 있는 활동 로그에는 이벤트 원본, 날짜, 사용자, 타임스탬프, 원본 주소, 대상 주소 및 기타 유용한 요소가 포함됩니다.
책임: 공유
고객 보안 관련자 (자세한 정보):
인프라 및 엔드포인트 보안
LT-5: 보안 로그 관리 및 분석 중앙 집중화
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-5 | 6.5, 6.6 | AU-3, SI-4 |
로깅 스토리지 및 분석을 중앙 집중화하여 상관 관계를 설정합니다. 각 로그 원본에 대해 데이터 소유자, 액세스 지침, 스토리지 위치, 데이터를 처리하고 액세스하는 데 사용되는 도구, 데이터 보존 요구 사항을 할당했는지 확인합니다.
Azure 활동 로그를 중앙 로깅에 통합하는지 확인합니다. Azure Monitor를 통해 로그를 수집하여 엔드포인트 디바이스, 네트워크 리소스 및 기타 보안 시스템에서 생성된 보안 데이터를 집계합니다. Azure Monitor에서 Log Analytics 작업 영역을 사용하여 분석을 쿼리 및 수행하고 장기 및 보관 스토리지에 Azure Storage 계정을 사용합니다.
또한 Azure Sentinel 또는 타사 SIEM에 데이터를 사용하도록 설정하고 온보딩합니다.
많은 조직에서 자주 사용되는 "핫" 데이터에는 Azure Sentinel을 사용하고, 자주 사용되지 않는 "콜드" 데이터에는 Azure Storage를 사용하도록 선택합니다.
책임: 고객
고객 보안 관련자 (자세한 정보):
LT-6: 로그 스토리지 보존 구성
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-6 | 6.4 | AU-3, AU-11 |
규정 준수, 규정 및 비즈니스 요구 사항에 따라 로그 보존을 구성합니다.
Azure Monitor에서 조직의 규정 준수 규정에 따라 Log Analytics 작업 영역 보존 기간을 설정할 수 있습니다. 장기 및 보관 스토리지에 Azure Storage, Data Lake 또는 Log Analytics 작업 영역 계정을 사용합니다.
책임: 고객
고객 보안 관련자 (자세한 정보):
LT-7: 승인된 시간 동기화 원본 사용
| Azure ID | CIS 컨트롤 v7.1 ID | NIST SP 800-53 r4 ID(들) |
|---|---|---|
| LT-7 | 6.1 | AU-8 |
Microsoft는 대부분의 Azure PaaS 및 SaaS 서비스에 대한 시간 원본을 유지 관리합니다. 가상 머신의 경우 특정 요구 사항이 없는 한 시간 동기화에 Microsoft 기본 NTP 서버를 사용합니다. 고유한 NTP(네트워크 시간 프로토콜) 서버를 유지해야 하는 경우 UDP 서비스 포트 123을 보호해야 합니다.
Azure 내의 리소스에서 생성된 모든 로그는 기본적으로 지정된 표준 시간대를 사용하여 타임스탬프를 제공합니다.
책임: 공유
고객 보안 관련자 (자세한 정보):