Compartilhar via

O que é a linha de base de segurança do Azure para Linux?

A linha de base de segurança do Azure para Linux é uma lista de recomendações de segurança para computadores Linux de uso geral. A linha de base é implementada por meio dos serviços de Governança do Azure (Azure Policy, Azure Machine Configuration). As VMs do Azure e os computadores habilitados para Azure Arc estão no escopo.

Nomes e pontos de entrada

A linha de base é referenciada por meio de vários sinônimos em vários blogs, documentos e ferramentas. Por exemplo, "Linha de base de segurança de computação do Azure", "Linha de base da Configuração de Convidado", "Linha de base de segurança do Azure para Máquinas Virtuais – Máquinas Virtuais linux" e assim por diante.

Experiência do Azure Policy

Experiência do Microsoft Defender para Nuvem

No Microsoft Defender para Nuvem (MDC), a experiência de recomendações se baseia na experiência do Azure Policy. Se você tiver habilitado os recursos de segurança do servidor em suas configurações de MDC, verá uma recomendação para iniciar a auditoria de computadores. Seguir essa recomendação leva à implantação do mesmo os computadores Linux devem atender aos requisitos... política de auditoria descrita acima. Depois que os computadores tiverem sido auditados pelo menos uma vez, você verá recomendações adicionais que correspondem a regras de linha de base não compatíveis.

Considerações de visualização

  1. A implementação do lado do computador da linha de base é uma versão prévia e deve ser usada em ambientes de teste.
  2. Estamos trabalhando para remover quaisquer limitações de visualização e pretendemos remover esta seção de visualização deste documento quando isso ocorrer.
  3. Na implementação da versão prévia mais recente, as alterações que você pode observar em relação às visualizações anteriores incluem:
    1. Para o mesmo computador, a avaliação de conformidade para determinadas regras de linha de base pode ser diferente de antes. Isso é resultado de uma melhor manipulação de erros, melhor tratamento de diferenças de distribuição, etc. para reduzir falsos positivos e falsos negativos.
    2. Razões robustas foram adicionadas para cada status de regra para fornecer evidências e clareza sobre como a conformidade foi avaliada.
    3. Determinadas definições de regra foram fatoradas novamente (combinadas, divididas) para maior clareza e consistência, resultando em uma contagem de regras atualizada.
  4. Para obter canais de comentários, consulte a seção Recursos relacionados no final deste artigo.

Escopo e limitações da linha de base

  1. As regras de linha de base são motivadas por diretrizes de segurança de várias fontes, especialmente a CIS Distro Independent Benchmark versão 2.0.0, com cerca de 63% cobertura dessa linha de base.
  2. As configurações de regra de linha de base (por exemplo, porta SSH esperada) não podem ser personalizadas por meio de parâmetros de política. Somente os parâmetros relacionados à atribuição estão disponíveis, incluindo:
    1. Se os computadores habilitados para Arc devem ser incluídos
    2. Se a política efeito deve ser disabled ou deve ser o efeito normal para a política determinada (AuditIfNotExists para a política de auditoria, DeployIfNotExists para configurar a política)
  • Last updated on