Linha de base de segurança do Azure para ExpressRoute

Essa linha de base de segurança aplica diretrizes do microsoft cloud security benchmark versão 1.0 ao ExpressRoute. O parâmetro de comparação de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao ExpressRoute.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do ExpressRoute, o que pode resultar em considerações de segurança aumentadas.

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Características

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Gateway do ExpressRoute

Suporte a grupos de segurança de rede

Descrição: O tráfego de rede do serviço respeita a atribuição de regras dos grupos de segurança de rede nas sub-redes. Saiba mais.

Diretrizes de Configuração: Use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e do Azure Load Balancers.

Observação: os clientes não podem configurar uma UDR com uma rota padrão ou um NSG no GatewaySubnet.

Monitoramento do Microsoft Defender para Nuvem

Definições internas do Azure Policy – Microsoft.Network:

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Características

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Métodos de autenticação local para acesso ao plano de dados

Descrição: métodos de autenticações locais com suporte para acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Características

Identidades gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Notas de recurso: embora a autenticação no ExpressRoute não tenha suporte por meio de identidade gerenciada, o serviço utiliza a identidade gerenciada para autenticar com o Key Vault para recuperar credenciais MACsec.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Entidades de serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

IM-7: Restringir o acesso a recursos com base em condições

Características

Acesso Condicional ao Plano de Dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

IM-8: Restringir a exposição de credenciais e segredos

Características

Credenciais de serviço e segredos dão suporte à integração e armazenamento no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Diretrizes de Configuração: Certifique-se de que os segredos e as credenciais estejam armazenados em locais seguros, como o Azure Key Vault, em vez de incorporá-los em arquivos de código ou de configuração.

Referência: configurar a criptografia MACsec para o ExpressRoute Direct.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Características

Contas de administrador local

Descrição: o serviço tem o conceito de uma conta administrativa local. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

PA-7: Siga o princípio de administração suficiente (privilégio mínimo)

Características

RBAC do Azure para plano de dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Características

Sistema de Proteção de Dados do Cliente

Descrição: Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Características

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

DP-2: Monitorar anomalias e ameaças direcionadas a dados confidenciais

Características

Prevenção de vazamento/perda de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

DP-3: Criptografar dados confidenciais em trânsito

Características

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Notas de funcionalidades: Com o IPsec sobre o Emparelhamento Privado do ExpressRoute, os clientes podem configurar uma conexão de VPN e gerenciar a configuração para que os gateways de ExpressRoute e VPN troquem rotas. No entanto, a criptografia ainda tem suporte apenas na conexão VPN – não no ExpressRoute.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

DP-7: usar um processo seguro de gerenciamento de certificados

Características

Gerenciamento de certificados no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Características

Suporte para Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar recursos de detecção de ameaças

Características

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução específica do Microsoft Defender para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

LT-4: Ativar o registro de logs para investigação de segurança

Características

Logs de Recursos do Azure

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Diretrizes de configuração: Habilite os logs de recursos para o serviço. Por exemplo, o Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo dos logs de recursos varia de acordo com o serviço do Azure e o tipo de recurso.

Referência: Monitorando o Azure ExpressRoute

Backup e recuperação

Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Backup e recuperação.

BR-1: garantir backups automatizados regulares

Características

Serviço de Backup do Azure

Descrição: O serviço pode ser respaldado pelo serviço de Backup do Azure. Saiba mais.

Diretrizes de configuração: esse recurso não tem suporte para proteger esse serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recurso. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: Usando VPN S2S como backup para emparelhamento privado do ExpressRoute

Próximas etapas

• Confira a visão geral do Microsoft Cloud Security Benchmark
• Saiba mais sobre as linhas de base de segurança do Azure