Azure-beveiligingsbasislijn voor ExpressRoute

Deze beveiligingsbasislijn past richtlijnen toe van de Microsoft-cloudbeveiligingsbenchmark versie 1.0 op ExpressRoute. De Microsoft Cloud Security-benchmark biedt aanbevelingen voor het beveiligen van uw cloudoplossingen in Azure. De inhoud wordt gegroepeerd op basis van de beveiligingscontroles die zijn gedefinieerd door de Microsoft-cloudbeveiligingsbenchmark en de gerelateerde richtlijnen die van toepassing zijn op ExpressRoute.

U kunt deze beveiligingsbasislijn en de aanbevelingen ervan bewaken met behulp van Microsoft Defender voor Cloud. Azure Policy-definities worden weergegeven in de sectie Naleving van regelgeving van de Microsoft Defender voor Cloud-portalpagina.

Wanneer een functie relevante Azure Policy-definities heeft, worden deze in deze basislijn vermeld om u te helpen de naleving te meten van de controles en aanbevelingen van de Microsoft-cloudbeveiligingsbenchmark. Voor sommige aanbevelingen is mogelijk een betaald Microsoft Defender-abonnement vereist om bepaalde beveiligingsscenario's in te schakelen.

Beveiligingsprofiel

Het beveiligingsprofiel bevat een overzicht van het gedrag van hoge impact van ExpressRoute, wat kan leiden tot verhoogde beveiligingsoverwegingen.

Netwerkbeveiliging

Zie de Microsoft-benchmark voor cloudbeveiliging: Netwerkbeveiliging voor meer informatie.

NS-1: netwerksegmentatiegrenzen vaststellen

Kenmerken

Integratie van virtueel netwerk

Beschrijving: Service biedt ondersteuning voor implementatie in het particuliere virtuele netwerk van de klant (VNet). Meer informatie.

Configuratierichtlijnen: er zijn geen aanvullende configuraties vereist omdat dit is ingeschakeld voor een standaardimplementatie.

Referentie: ExpressRoute-gateway

Ondersteuning voor netwerkbeveiligingsgroepen

Beschrijving: Servicenetwerkverkeer respecteert de toewijzing van regels door netwerkbeveiligingsgroepen op de subnetten. Meer informatie.

Configuratierichtlijnen: Netwerkbeveiligingsgroepen (NSG) gebruiken om verkeer te beperken of te bewaken op poort, protocol, bron-IP-adres of doel-IP-adres. Maak NSG-regels om de geopende poorten van uw service te beperken (zoals voorkomen dat beheerpoorten worden geopend vanuit niet-vertrouwde netwerken). Houd er rekening mee dat NSG's standaard al het binnenkomende verkeer weigeren, maar dat verkeer van virtueel netwerk en Azure Load Balancers is toegestaan.

Opmerking: Klanten kunnen geen UDR configureren met een standaardroute of een NSG op het GatewaySubnet.

Microsoft Defender voor Cloud-bewaking

Ingebouwde Azure Policy-definities - Microsoft.Network:

Identiteitsbeheer

Zie de Microsoft Cloud Security Benchmark: Identiteitsbeheer voor meer informatie.

IM-1: Gecentraliseerd identiteits- en verificatiesysteem gebruiken

Kenmerken

Azure AD-verificatie vereist voor gegevensvlaktoegang

Beschrijving: Service biedt ondersteuning voor het gebruik van Azure AD-verificatie voor toegang tot gegevensvlakken. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Lokale verificatiemethoden voor gegevensvlaktoegang

Beschrijving: Methoden voor lokale verificatie die worden ondersteund voor toegang tot gegevensvlakken, zoals een lokale gebruikersnaam en wachtwoord. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

IM-3: Toepassingsidentiteiten veilig en automatisch beheren

Kenmerken

Beheerde identiteiten

Beschrijving: Gegevensvlakacties ondersteunen verificatie met behulp van beheerde identiteiten. Meer informatie.

Functieopmerkingen: Hoewel verificatie voor ExpressRoute niet wordt ondersteund via een beheerde identiteit, maakt de service gebruik van beheerde identiteit voor verificatie bij Key Vault om MACsec-geheimen op te halen.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Serviceprincipals

Beschrijving: Het datavlak ondersteunt verificatie met behulp van service-principals. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

IM-7: Toegang tot resources beperken op basis van voorwaarden

Kenmerken

Voorwaardelijke toegang voor data-plane

Beschrijving: Toegang tot het gegevensvlak kan worden beheerd met behulp van beleid voor voorwaardelijke toegang van Azure AD. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

IM-8: Beperk de blootstelling van inloggegevens en geheimen

Kenmerken

Ondersteuning voor de integratie en opslag van servicegegevens en geheime sleutels in Azure Key Vault

Beschrijving: Het gegevensvlak biedt ondersteuning voor systeemeigen gebruik van Azure Key Vault voor het opslaan van referenties en geheimen. Meer informatie.

Configuratierichtlijnen: zorg ervoor dat geheimen en referenties worden opgeslagen op veilige locaties, zoals Azure Key Vault, in plaats van ze in te sluiten in code- of configuratiebestanden.

Naslaginformatie: MACsec-versleuteling configureren voor ExpressRoute Direct.

Bevoegde toegang

Zie de Microsoft Cloud Security-benchmark: Bevoegde toegang voor meer informatie.

PA-1: Scheid en beperk gebruikers met hoge bevoegdheden/beheerdersrechten

Kenmerken

Lokale beheerdersaccounts

Beschrijving: De service heeft het concept van een lokaal beheerdersaccount. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

PA-7: Volg slechts voldoende beheerprincipe (minimale bevoegdheden)

Kenmerken

Azure RBAC voor datavlakbeheer

Beschrijving: Op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC) kan worden gebruikt voor beheerde toegang tot de gegevensvlakacties van de service. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

PA-8: Toegangsproces bepalen voor cloudproviderondersteuning

Kenmerken

Klantenvergrendelkluis

Beschrijving: Customer Lockbox kan worden gebruikt voor microsoft-ondersteuningstoegang. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Gegevensbescherming

Zie de Microsoft-cloudbeveiligingsbenchmark: Gegevensbeveiliging voor meer informatie.

DP-1: Gevoelige gegevens detecteren, classificeren en labelen

Kenmerken

Detectie en classificatie van gevoelige gegevens

Beschrijving: Hulpprogramma's (zoals Azure Purview of Azure Information Protection) kunnen worden gebruikt voor gegevensdetectie en -classificatie in de service. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

DP-2: Afwijkingen en bedreigingen bewaken die gericht zijn op gevoelige gegevens

Kenmerken

Preventie van gegevenslekken/verlies

Beschrijving: De service ondersteunt een DLP-oplossing voor het bewaken van de verplaatsing van gevoelige gegevens binnen de klantinhoud. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

DP-3: Gevoelige gegevens versleutelen tijdens overdracht

Kenmerken

Versleuteling van gegevens tijdens transport

Beschrijving: De service ondersteunt versleuteling van gegevens tijdens overdracht voor het datavlak. Meer informatie.

Functieopmerkingen: Met IPsec via ExpressRoute-privépeering kunnen klanten een VPN-verbinding configureren en de configuratie beheren, zodat de ExpressRoute- en VPN-gateways routes uitwisselen. Versleuteling wordt echter nog steeds alleen ondersteund in de VPN-verbinding, niet op ExpressRoute.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

DP-7: Een beveiligd certificaatbeheerproces gebruiken

Kenmerken

Certificaatbeheer in Azure Key Vault

Beschrijving: De service biedt ondersteuning voor Azure Key Vault-integratie voor alle klantcertificaten. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Vermogensbeheer

Zie de Microsoft Cloud Security-benchmark: Asset management voor meer informatie.

AM-2: Alleen goedgekeurde services gebruiken

Kenmerken

Ondersteuning voor Azure Policy

Beschrijving: Serviceconfiguraties kunnen worden bewaakt en afgedwongen via Azure Policy. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Loggen en detectie van bedreigingen

Zie de Microsoft-benchmark voor cloudbeveiliging: Logboekregistratie en detectie van bedreigingen voor meer informatie.

LT-1: Mogelijkheden voor detectie van bedreigingen inschakelen

Kenmerken

Microsoft Defender voor service/productaanbiedingen

Beschrijving: De service heeft een aanbiedingsspecifieke Microsoft Defender-oplossing voor het bewaken en waarschuwen van beveiligingsproblemen. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

LT-4: Logboekregistratie inschakelen voor beveiligingsonderzoek

Kenmerken

Azure Resource-logboeken

Beschrijving: Service produceert resourcelogboeken die uitgebreide servicespecifieke metrische gegevens en logboekregistratie kunnen bieden. De klant kan deze logboeken voor bronnen configureren en naar hun eigen gegevensopslag verzenden, zoals een opslagaccount of een werkruimte voor loganalyse. Meer informatie.

Configuratierichtlijnen: Resourcelogboeken inschakelen voor de service. Key Vault biedt bijvoorbeeld ondersteuning voor extra resourcelogboeken voor acties die een geheim ophalen uit een sleutelkluis of azure SQL heeft resourcelogboeken waarmee aanvragen voor een database worden bijgehouden. De inhoud van resourcelogboeken verschilt per Azure-service en resourcetype.

Naslaginformatie: Azure ExpressRoute monitoren

Back-up en herstel

Zie de Microsoft-benchmark voor cloudbeveiliging: Back-up en herstel voor meer informatie.

BR-1: Regelmatige geautomatiseerde back-ups garanderen

Kenmerken

Azure Backup

Beschrijving: Er kan een back-up van de service worden gemaakt door de Azure Backup-service. Meer informatie.

Configuratierichtlijnen: deze functie wordt niet ondersteund om deze service te beveiligen.

Systeemeigen back-up mogelijkheid voor services

Beschrijving: Service ondersteunt zijn eigen systeemeigen back-upmogelijkheden (als u Azure Backup niet gebruikt). Meer informatie.

Configuratierichtlijnen: Er is geen huidige Microsoft-richtlijnen voor deze functieconfiguratie. Controleer en bepaal of uw organisatie deze beveiligingsfunctie wil configureren.

Naslaginformatie: S2S VPN gebruiken als back-up voor persoonlijke ExpressRoute-peering

Volgende stappen

• Zie het overzicht van de Microsoft-cloudbeveiligingsbenchmark
• Meer informatie over Azure-beveiligingsbasislijnen