Configuração do recurso MSP

O MSP (Protocolo de Segurança de Metadados) oferece personalização para restringir maximamente o acesso ao servidor de metadados em sua carga de trabalho. Este artigo apresenta conceitos fundamentais que você pode habilitar rapidamente em qualquer VM (máquina virtual) ou conjunto de dimensionamento de máquinas virtuais com suporte.

Se você estiver familiarizado com a forma como sua carga de trabalho usa serviços de metadados, poderá proteger ainda mais o acesso seguindo o guia de configuração avançada.

Você pode configurar o MSP por meio de:

• Modelos do Gerenciador de Recursos do Azure
• API REST
• PowerShell
• Portal do Azure

Conceitos

Campos do Azure Resource Manager

Você gerencia toda a configuração por meio de novas propriedades na securityProfile seção da configuração do recurso.

A versão mínima da API para configurar o MSP é 2024-03-01.

Configuração geral

ProxyAgentSettings é a nova propriedade no modelo de VM para VMs do Azure e conjuntos de dimensionamento de máquinas virtuais que você usa para configurar o recurso MSP.

Configuração para cada serviço de metadados

Você pode configurar proteções individuais para cada serviço de metadados. O esquema é o mesmo para cada serviço.

As configurações embutidas e vinculadas são mutuamente exclusivas por serviço.

Configuração embutida

Você pode definir uma configuração inline usando a propriedade mode de HostEndpointSettings. As configurações embutidas não dão suporte à personalização.

Na tabela a seguir, mode é uma enumeração expressa como String.

No modo WireServer Enforce , o GPA exige implicitamente que um processo seja executado como Administrator ou root para acessar o WireServer. Esse requisito é equivalente à regra de firewall no ambiente convidado que existe mesmo quando o MSP está desativado, mas com uma implementação mais segura.

Configuração vinculada

O inVMAccessControlProfiles tipo de recurso define uma configuração por serviço que pode ser vinculada a uma VM ou um conjunto de dimensionamento de máquinas virtuais. Essas configurações dão suporte a personalizações completas. Para obter detalhes completos, consulte Configuração avançada para MSP.

Essa propriedade deve ser uma ID completa do Resource Manager, que usa este formulário: /subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}.

Exemplo completo

• VM: https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachines/{virtualMachine-Name}?api-version=2024-03-01
• Conjunto de dimensionamento de máquinas virtuais: https://management.azure.com/subscriptions/{subscription-id}/resourceGroups/{resource-group-name}/providers/Microsoft.Compute/virtualMachineScaleSets/{vmScaleSet-name}/virtualMachines/{instance-id}?api-version=2024-03-01

O exemplo a seguir usa mode:

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "mode": "Enforce"
        },
        "imds": {
          "mode": "Audit"
        }
      }
    },
  }
}

O exemplo a seguir usa inVMAccessControlProfileReferenceId:

{
  "name": "GPAWinVM",
  "location": "centraluseuap",
  "properties": {
    ...
    ...
    "securityProfile": {
      "proxyAgentSettings": {
        "enabled": true,
        "wireServer": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        },
        "imds": {
          "inVMAccessControlProfileReferenceId": "/subscriptions/{SubscriptionId}/resourceGroups/{ResourceGroupName}/providers/Microsoft.Compute/galleries/{galleryName}/inVMAccessControlProfiles/{profile}/versions/{version}"
        }
      }
    },
  }
}

Logs de auditoria

Nos modos Audit e Enforce, logs de auditoria são gerados no disco local.

Progressão recomendada

Os clientes geralmente não estão cientes de toda a extensão do uso do WireServer e do Serviço de Metadados de Instância em sua carga de trabalho. O uso da VM é uma combinação de integrações personalizadas que você cria e os detalhes de implementação de qualquer outro software executado. É recomendável começar com uma configuração mais simples e iterar ao longo do tempo à medida que você obtém mais informações. Em geral, é melhor ir nesta ordem:

1. Habilitar MSP para WireServer e Serviço de Metadados de Instância, no modo Audit. Esta etapa permite que você confirme a compatibilidade e saiba mais sobre sua carga de trabalho. Ele também gera dados valiosos para detectar atores de ameaça.
2. Examine os dados de auditoria. Preste muita atenção a todas as solicitações sinalizadas. Essas solicitações podem ser sinais de um ataque contínuo ou uma incompatibilidade de carga de trabalho.
3. Corrija os problemas. Na configuração padrão, qualquer coisa sinalizada é um uso indevido dos serviços de metadados. Contate sua equipe de segurança ou os proprietários de serviços correspondentes, conforme necessário.
4. Alterne de Audit modo para Enforce modo. As solicitações sinalizadas são rejeitadas para ajudar a proteger a sua carga de trabalho.
5. Experimente a configuração avançada. A configuração padrão espelha regras de segurança pré-MSP, que geralmente são excessivamente permissivas. Definir uma configuração personalizada para sua carga de trabalho permite aprimorar ainda mais a segurança aplicando o princípio do acesso menos privilegiado.

Não se preocupe em seguir uma progressão perfeita. Qualquer nível de habilitação de MSP melhora muito sua segurança e ajuda a proteger contra a maioria dos ataques do Mundo Real.

Conteúdo relacionado

• Implantar uma VM ou um conjunto de dimensionamento de máquinas virtuais com MSP
• Habilitar o MSP em uma VM ou conjunto de dimensionamento de máquinas virtuais existente
• Configuração avançada para MSP