Linha de base de segurança do Azure para serviços de IA do Azure

Essa linha de base de segurança aplica diretrizes do microsoft cloud security benchmark versão 1.0 aos serviços de IA do Azure. O parâmetro de comparação de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis aos serviços de IA do Azure.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto dos serviços de IA do Azure, o que pode resultar em considerações de segurança aumentadas.

Segurança de rede

Para obter mais informações, consulte o Referência de Segurança de Nuvem da Microsoft: Segurança de Rede.

NS-1: estabelecer limites de segmentação de rede

Características

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual) privada do cliente. Saiba mais.

Diretrizes de Configuração: este recurso não é compatível para proteger este serviço.

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de grupos de segurança de rede em suas sub-redes. Saiba mais.

Notas de funcionalidades: embora não haja suporte para Grupos de Segurança de Rede para este serviço, é possível configurar um firewall em nível de serviço. Para obter mais informações, visite: Gerenciando regras de rede IP

Diretrizes de Configuração : esse recurso não é compatível para proteger esse serviço.

NS-2: Proteger serviços de nuvem com controles de rede

Características

Link Privado do Azure

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (para não ser confundido com o NSG ou o Firewall do Azure). Saiba mais.

Diretrizes de Configuração : Implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Private Link, para estabelecer um ponto de acesso privado para os recursos.

Referência: Utilizar pontos de extremidade privados

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de uma opção 'Desabilitar Acesso à Rede Pública'. Saiba mais.

Diretrizes de Configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL IP no nível do serviço ou um comutador de alternância para acesso à rede pública.

Referência: Alterar a regra de acesso à rede padrão

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.CognitiveServices:

Gerenciamento de identidade

Para obter mais informações, consulte o padrão de segurança de nuvem da Microsoft:gerenciamento de identidade.

IM-1: usar o sistema de autenticação e identidade centralizado

Características

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Diretrizes de Configuração: Utilize o Azure Active Directory (Azure AD) como método padrão de autenticação para controlar o acesso ao seu plano de dados.

Referência: Autenticar com o Azure Active Directory

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticação locais suportados para o acesso ao plano de dados, como um nome de usuário local e uma senha. Saiba mais.

Observações de recurso: embora se possa autenticar nos serviços de IA do Azure usando uma chave de assinatura para serviço único ou múltiplo, ou utilizar essas chaves para autenticar com tokens de acesso, esses métodos de autenticação não são suficientes em cenários mais complexos que exigem o RBAC do Azure (Controle de Acesso Baseado em Papéis do Azure). Evite o uso de métodos ou contas de autenticação local, elas devem ser desabilitadas sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de Configuração : restrinja o uso de métodos de autenticação local para acesso ao plano de dados. Em vez disso, use o Azure AD (Azure Active Directory) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Autenticar com um token de acesso

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.CognitiveServices:

IM-3: Gerenciar identidades de aplicativo com segurança e automaticamente

Características

Identidades Gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Configuration Guidance: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, já que elas podem autenticar-se nos serviços e recursos do Azure que suportam a autenticação do Azure AD (Azure Active Directory). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: Autorizar acesso a identidades gerenciadas

Entidades de serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Diretrizes de Configuração: Não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Autenticar solicitações para os serviços de IA do Azure

IM-7: Restringir o acesso a recursos com base em condições

Características

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando políticas de acesso condicional do Azure AD. Saiba mais.

Diretrizes de Configuração : Defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear o comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

IM-8: Restringir a exposição de credenciais e segredos

Características

Credenciais de serviço e segredos dão suporte à integração e armazenamento no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Diretrizes de Configuração: Verifique se os segredos e as credenciais estão armazenados em locais seguros, como o Azure Key Vault, em vez de colocá-los diretamente no código ou em arquivos de configuração.

Referência: Desenvolver aplicativos dos serviços de IA do Azure com o Key Vault

Acesso privilegiado

Para obter mais informações, consulte o Parâmetro de comparação de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Características

Contas de administrador local

Descrição: O Serviço tem o conceito de conta administrativa local. Saiba mais.

Diretrizes de Configuração: Esse recurso não é suportado para assegurar este serviço.

PA-7: Siga o princípio de administração suficiente (privilégio mínimo)

Características

RBAC do Azure para plano de dados

Descrição: o Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Diretrizes de Configuração: use o controle de acesso baseado em papéis (RBAC) do Azure para gerenciar o acesso a recursos do Azure através de atribuições de papéis embutidos. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.

Referência: Autenticar com o Azure Active Directory

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Características

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Diretrizes de Configuração: Em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para examinar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o benchmark de segurança de nuvem da Microsoft:proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Características

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Diretrizes de Configuração : Esse recurso não possui suporte para proteger este serviço.

DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais

Características

Prevenção contra perda/vazamento de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Diretrizes de Configuração: os recursos de prevenção contra perda de dados dos serviços de IA do Azure permitem que os clientes configurem a lista de URLs de saída que os serviços de IA do Azure podem acessar. Isso cria outro nível de controle para os clientes evitarem a perda de dados.

Referência: Configurar a prevenção de perda de dados para os serviços de IA do Azure

DP-3: Criptografar dados confidenciais em trânsito

Características

Dados em Criptografia de Trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Diretrizes de Configuração : nenhuma configuração adicional é necessária, pois isso está habilitado em uma implementação padrão.

Referência: segurança dos serviços de IA do Azure

DP-4: habilitar a criptografia de dados em repouso por padrão

Características

Criptografia de dados em repouso usando chaves de plataforma

Descrição: a criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas por Microsoft. Saiba mais.

Diretrizes de Configuração : nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Configurar chaves gerenciadas pelo cliente no Azure Key Vault para serviços de IA do Azure

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Características

Criptografia de dados em repouso usando o CMK

Descrição: A criptografia de dados em repouso com chaves gerenciadas pelo cliente é oferecida para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Diretrizes de Configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Referência: Configurar chaves gerenciadas pelo cliente com o Azure Key Vault para Serviços de IA do Azure

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.CognitiveServices:

DP-6: Usar um processo seguro de gerenciamento de chave

Características

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para chaves, segredos ou certificados do cliente. Saiba mais.

Diretrizes de Configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração de chaves, distribuição e armazenamento. Gire e revogue as chaves no Azure Key Vault e em seu serviço com base em um agendamento definido e quando houver uma desativação ou um comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) na carga de trabalho, no serviço ou no nível do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: Configurar chaves gerenciadas pelo cliente com o Azure Key Vault para serviços de IA do Azure

DP-7: usar um processo seguro de gerenciamento de certificados

Características

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para todos os certificados do cliente. Saiba mais.

Diretrizes de Configuração: este recurso não é suportado para proteger este serviço.

Gerenciamento de ativos

Para mais informações, veja o benchmark de segurança na nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Características

Suporte ao serviço Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Orientação de configuração: use o Microsoft Defender para Nuvem para configurar o Azure Policy para auditar e aplicar as configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio de configuração detectado nos recursos. Use os efeitos de [negar] e [implantar se não existir] do Azure Policy para impor a configuração segura nos recursos do Azure.

Referência: Definições de políticas internas do Azure Policy para serviços de IA do Azure

Registro em log e detecção de ameaças

Para obter mais informações, consulte o Parâmetro de comparação de segurança da nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar recursos de detecção de ameaças

Características

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução específica do Microsoft Defender para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de Configuração : esse recurso não tem suporte para proteger este serviço.

LT-4: Ativar o registro de logs para investigação de segurança

Características

Logs de Recursos do Azure

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Diretrizes de configuração: habilitar logs de recurso para o serviço. Por exemplo, o Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo dos logs de recursos varia de acordo com o serviço do Azure e o tipo de recurso.

Referência: Habilitar o registro em log de diagnóstico para serviços de IA do Azure

Backup e recuperação

Para obter mais informações, consulte o Parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Características

Azure Backup

Descrição: o backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Diretrizes de Configuração: Este recurso não é suportado para proteger este serviço.

Funcionalidade de backup nativo do serviço

Descrição: o serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Diretrizes de Configuração: este recurso não é suportado para proteger este serviço.

Próximas etapas

• Consulte a Visão geral do parâmetro de comparação de segurança da nuvem da Microsoft
• Saiba mais sobre linhas de base de segurança do Azure