Linha de base de segurança do Azure para Máquinas Virtuais - Máquinas Virtuais Linux

Esta linha de base de segurança aplica as orientações do Microsoft cloud security benchmark versão 1.0 para Máquinas Virtuais - Máquinas Virtuais Linux. O benchmark de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas orientações relacionadas aplicáveis às Máquinas Virtuais - Máquinas Virtuais Linux.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender for Cloud. As definições de Política do Azure serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem Definições de Política do Azure relevantes, elas são listadas nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de referência de segurança na nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de Máquinas Virtuais - Máquinas Virtuais Linux, o que pode resultar em maiores considerações de segurança.

Segurança da rede

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Network security.

NS-1: Estabelecer limites de segmentação de rede

Caraterísticas

Integração de Rede Virtual

Descrição: O serviço suporta a implantação na rede virtual privada (VNet) do cliente. Saiba mais.

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Redes virtuais e máquinas virtuais no Azure

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regras de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Configuration Guidance: Use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG para restringir as portas abertas do seu serviço (como impedir que as portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e dos Balanceadores de Carga do Azure.

Ao criar uma máquina virtual (VM) do Azure, você deve criar uma rede virtual ou usar uma rede virtual existente e configurar a VM com uma sub-rede. Certifique-se de que todas as sub-redes implantadas tenham um Grupo de Segurança de Rede aplicado com controles de acesso à rede específicos para suas aplicações, portas e fontes confiáveis.

Referência: Grupos de segurança de rede

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

NS-2: Serviços de nuvem seguros com controles de rede

Caraterísticas

Desativar o acesso à rede pública

Descrição: O serviço suporta a desativação do acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço (não NSG ou Firewall do Azure) ou usando uma opção de alternância 'Desabilitar acesso à rede pública'. Saiba mais.

Configuration Guidance: Serviços como iptables ou firewalld podem ser instalados no sistema operacional Linux e fornecer filtragem de rede para desabilitar o acesso público.

Gestão de identidades

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de identidades.

IM-1: Usar identidade centralizada e sistema de autenticação

Caraterísticas

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Configuration Guidance: Use Azure Active Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

de referência: Inicie sessão numa máquina virtual Linux no Azure utilizando o Azure AD e o OpenSSH

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticação local suportados para acesso ao plano de dados, como um nome de usuário e senha locais. Saiba mais.

Notas de recurso: Uma conta de administrador local é criada por padrão durante a implantação inicial da máquina virtual. Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

IM-3: Gerencie identidades de aplicativos de forma segura e automática

Caraterísticas

Identidades gerenciadas

Descrição: As ações do plano de dados suportam autenticação usando identidades gerenciadas. Saiba mais.

Notas de funcionalidades: A identidade gerenciada é tradicionalmente utilizada pelas VMs Linux para se autenticarem em outros serviços. Se a VM do Linux der suporte à autenticação do Azure AD, a identidade gerenciada poderá ser suportada.

Orientação de Configuração: Use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Ative Directory (Azure AD). As credenciais de identidade gerenciadas são totalmente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou nos arquivos de configuração.

Principais de Serviço

Descrição: O plano de dados suporta autenticação usando entidades de serviço. Saiba mais.

Notas sobre funcionalidades: As entidades de serviço podem ser usadas por aplicações executadas na máquina virtual Linux.

Configuration Guidance: Não há nenhuma orientação atual da Microsoft para esta configuração da funcionalidade. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Monitoramento do Microsoft Defender for Cloud

Definições Incorporadas da Política do Azure - Microsoft.Compute:

IM-7: Restringir o acesso a recursos com base em condições

Caraterísticas

Acesso condicional para o plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as Políticas de Acesso Condicional do Azure AD. Saiba mais.

Notas de funcionalidades: Use o Azure AD como a plataforma principal de autenticação e uma autoridade de certificação para aceder a uma Máquina Virtual Linux via SSH, usando o Azure AD e a autenticação por certificados OpenSSH. Essa funcionalidade permite que as organizações gerenciem o acesso a VMs com o RBAC (controle de acesso baseado em função) e as políticas de Acesso Condicional do Azure.

Configuration Guidance: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Ative Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamentos de entrada arriscados ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

de referência: Inicie sessão numa máquina virtual Linux no Azure utilizando o Azure AD e o OpenSSH

IM-8: Restringir a exposição de credenciais e segredos

Caraterísticas

Integração e armazenamento de suporte de credenciais e segredos de serviço no Cofre de Chaves do Azure

Descrição: O plano de dados dá suporte ao uso nativo do Cofre de Chaves do Azure para armazenamento de credenciais e segredos. Saiba mais.

Notas de recurso: Dentro do plano de dados ou do sistema operativo, os serviços podem chamar o Azure Key Vault para credenciais ou segredos.

Diretrizes de configuração: certifique-se de que os segredos e credenciais sejam armazenados em locais seguros, como o Cofre da Chave do Azure, em vez de incorporá-los em arquivos de código ou configuração.

Acesso privilegiado

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: Separe e limite usuários altamente privilegiados/administrativos

Caraterísticas

Contas de administrador local

Descrição: O serviço incorpora o conceito de uma conta administrativa local. Saiba mais.

Notas de recurso: Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

de referência: Guia de início rápido: criar uma máquina virtual Linux no portal do Azure

PA-7: Siga o princípio da administração suficiente (menor privilégio)

Caraterísticas

RBAC do Azure para a Plataforma de Dados

Descrição: O Azure Role-Based Access Control (Azure RBAC) pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Notas de funcionalidades: Use o Azure AD como a plataforma principal de autenticação e uma autoridade de certificação para aceder a uma Máquina Virtual Linux via SSH, usando o Azure AD e a autenticação por certificados OpenSSH. Essa funcionalidade permite que as organizações gerenciem o acesso a VMs com o RBAC (controle de acesso baseado em função) e as políticas de Acesso Condicional do Azure.

Orientação de configuração: Com o RBAC, especifique quem pode efetuar login em uma VM como um usuário regular ou com privilégios de administrador. Quando os usuários ingressam em sua equipe, você pode atualizar a política RBAC do Azure para que a VM conceda acesso conforme apropriado. Quando os funcionários deixam sua organização e suas contas de usuário são desabilitadas ou removidas do Azure AD, eles não têm mais acesso aos seus recursos.

de referência: Inicie sessão numa máquina virtual Linux no Azure utilizando o Azure AD e o OpenSSH

PA-8: Determinar o processo de acesso para suporte ao provedor de nuvem

Caraterísticas

Cofre do Cliente

Descrição: Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Diretrizes de configuração: Em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o benchmark de segurança em nuvem da Microsoft: proteção de dados.

DP-1: Descubra, classifique e rotule dados confidenciais

Caraterísticas

Deteção e classificação de dados confidenciais

Descrição: Ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Configuration Guidance: Esta funcionalidade não é suportada para proteger este serviço.

DP-2: Monitore anomalias e ameaças visando dados confidenciais

Caraterísticas

Prevenção de Fugas/Perdas de Dados

Descrição: O serviço dá suporte à solução DLP para monitorizar o movimento de dados confidenciais (no conteúdo do cliente). Saiba mais.

Configuration Guidance: Esta funcionalidade não é suportada para proteger este serviço.

DP-3: Criptografar dados confidenciais em trânsito

Caraterísticas

Encriptação de Dados em Trânsito

Descrição: O serviço suporta criptografia de dados em trânsito para o plano de dados. Saiba mais.

Notas de recurso: Certos protocolos de comunicação, como SSH, são criptografados por padrão. No entanto, outros serviços, como HTTP, devem ser configurados para usar TLS para criptografia.

Orientação de configuração: habilite a transferência segura em serviços onde há um recurso nativo de criptografia de dados em trânsito integrado. Imponha HTTPS em quaisquer aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. As versões herdadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de máquinas virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: Criptografia em trânsito em VMs

Monitoramento do Microsoft Defender for Cloud

Definições Incorporadas da Política do Azure - Microsoft.Compute:

DP-4: Habilitar a criptografia de dados em repouso por padrão

Caraterísticas

Criptografia de dados em repouso usando chaves de plataforma

Descrição: A criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Notas de recurso: Por padrão, os discos gerenciados usam chaves de criptografia gerenciadas pela plataforma. Todos os discos gerenciados, instantâneos, imagens e dados gravados em discos gerenciados existentes são automaticamente criptografados em repouso com chaves gerenciadas pela plataforma.

Configuration Guidance: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Criptografia de Armazenamento em Disco do Azure - Chaves geridas pela plataforma

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

DP-5: Use a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Caraterísticas

Criptografia de dados em repouso usando CMK

Descrição: A criptografia de dados em repouso usando chaves gerenciadas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Notas de funcionalidade: Pode optar por gerir a encriptação ao nível de cada disco gerido, com as suas próprias chaves. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar o acesso à chave que criptografa seus dados. As chaves gerenciadas pelo cliente oferecem maior flexibilidade para gerenciar controles de acesso.

Orientação de configuração: Se necessário para conformidade regulamentar, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Os discos virtuais em máquinas virtuais (VM) são criptografados em repouso usando criptografia do lado do servidor ou criptografia de disco do Azure (ADE). O Azure Disk Encryption aproveita o recurso DM-Crypt do Linux para criptografar discos gerenciados com chaves gerenciadas pelo cliente na VM convidada. A criptografia do lado do servidor com chaves gerenciadas pelo cliente melhora o ADE permitindo que você use quaisquer tipos de sistema operacional e imagens para suas VMs criptografando dados no serviço de armazenamento.

de referência: Criptografia do lado do servidor do Armazenamento em Disco do Azure - Chaves gerenciadas pelo cliente

DP-6: Use um processo seguro de gerenciamento de chaves

Caraterísticas

Gerenciamento de chaves no Cofre de Chaves do Azure

Descrição: O serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Diretrizes de Configuração: Use o Cofre de Chaves do Azure para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Cofre de Chaves do Azure e seu serviço com base em um cronograma definido ou quando houver uma desativação de chave ou comprometimento. Quando houver necessidade de usar a chave gerenciada pelo cliente (CMK) na carga de trabalho, serviço ou nível de aplicativo, certifique-se de seguir as práticas recomendadas para gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma chave de criptografia de dados (DEK) separada com sua chave de criptografia de chave (KEK) no cofre de chaves. Certifique-se de que as chaves estão registadas no Azure Key Vault e referenciadas através de IDs de chave do serviço ou aplicação. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Cofre de Chaves do Azure), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: Criar e configurar uma Key Vault para o Azure Disk Encryption

DP-7: Use um processo seguro de gerenciamento de certificados

Caraterísticas

Gerenciamento de certificados no Azure Key Vault

Descrição: O serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.

Configuration Guidance: Esta funcionalidade não é suportada para proteger este serviço.

Gestão de ativos

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de ativos.

AM-2: Use apenas serviços aprovados

Caraterísticas

Suporte de Política do Azure

Descrição: As configurações de serviço podem ser monitoradas e aplicadas por meio da Política do Azure. Saiba mais.

Orientação de Configuração: a Política do Azure pode ser usada para definir o comportamento desejado para as VMs do Windows e das VMs Linux da sua organização. Usando políticas, uma organização pode impor várias convenções e regras em toda a empresa e definir e implementar configurações de segurança padrão para Máquinas Virtuais do Azure. A aplicação do comportamento desejado pode ajudar a mitigar riscos, contribuindo para o sucesso da organização.

de referência: definições incorporadas da Política do Azure para Máquinas Virtuais do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

AM-5: Use apenas aplicativos aprovados na máquina virtual

Caraterísticas

Microsoft Defender for Cloud - Controles de aplicativos adaptáveis

Descrição: O serviço pode limitar quais aplicativos do cliente são executados na máquina virtual usando os Controles de Aplicativo Adaptáveis no Microsoft Defender for Cloud. Saiba mais.

Configuration Guidance: Use os controles de aplicativos adaptáveis do Microsoft Defender for Cloud para descobrir aplicativos em execução em máquinas virtuais (VMs) e gerar uma lista de permissões de aplicativos para determinar quais aplicativos aprovados podem ser executados no ambiente VM.

Referência: Use controles de aplicativos adaptáveis para reduzir as superfícies de ataque de suas máquinas

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

Registo e deteção de ameaças

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Registro em log e deteção de ameaças.

LT-1: Habilite os recursos de deteção de ameaças

Caraterísticas

Microsoft Defender para Oferta de Serviços e Produtos

Descrição: O serviço tem uma solução Microsoft Defender específica para monitorar e alertar sobre problemas de segurança. Saiba mais.

Configuration Guidance: o Defender for Servers estende a proteção às suas máquinas Windows e Linux em execução no Azure. O Defender for Servers integra-se ao Microsoft Defender for Endpoint para fornecer EDR (endpoint detection and response) e também fornece uma série de recursos adicionais de proteção contra ameaças, como linhas de base de segurança e avaliações no nível do sistema operacional, verificação de avaliação de vulnerabilidade, controles adaptáveis de aplicativos (AAC), monitoramento de integridade de arquivos (FIM) e muito mais.

de referência: Planeie a sua para a implementação do Defender para Servidores

Monitoramento do Microsoft Defender for Cloud

Definições Incorporadas da Política do Azure - Microsoft.Compute:

LT-4: Ativar o registo para investigação de segurança

Caraterísticas

Logs de Recursos do Azure

Descrição: O serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço aprimorados. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um espaço de trabalho de análise de log. Saiba mais.

Orientação de Configuração: o Azure Monitor inicia automaticamente a coleta de dados métricos para seu host de máquina virtual quando você cria a VM. No entanto, para coletar logs e dados de desempenho do sistema operacional convidado da máquina virtual, você deve instalar o agente do Azure Monitor. Você pode instalar o agente e configurar a coleta usando de insights da VM ou criando uma regra de de coleta de dados.

de referência: Visão geral do agente do Log Analytics

Monitoramento do Microsoft Defender for Cloud

Definições Incorporadas da Política do Azure - Microsoft.Compute:

Gestão da postura e da vulnerabilidade

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gestão de postura e vulnerabilidade.

PV-3: Definir e estabelecer configurações seguras para recursos de computação

Caraterísticas

Configuração do Estado de Automação do Azure

Descrição: A Configuração do Estado de Automação do Azure pode ser usada para manter a configuração de segurança do sistema operacional. Saiba mais.

Diretrizes de Configuração: Use a Configuração de Estado de Automação do Azure para manter a configuração de segurança do sistema operacional.

Referência: Configurar uma VM com Configuração de Estado Desejado

Agente de Política de Configuração de Convidado do Azure

Descrição: O agente de configuração de hóspede da Política do Azure pode ser instalado ou implantado como uma extensão para recursos de computação. Saiba mais.

Notas de funcionalidade: A Política de Configuração de Convidados do Azure agora é chamada de Configuração de Máquinas Azure Automanage.

Orientação de Configuração: Use o Microsoft Defender for Cloud e o agente de configuração convidado da Política do Azure para avaliar e corrigir regularmente desvios de configuração em seus recursos de computação do Azure, incluindo VMs, contêineres e outros.

Referência: Compreender o recurso de configuração de máquina do Azure Automanage

Imagens de VM personalizadas

Descrição: O serviço suporta o uso de imagens de VM fornecidas pelo usuário ou imagens pré-criadas do mercado com determinadas configurações de linha de base pré-aplicadas. Saiba mais.

Configuration Guidance: use uma imagem protegida pré-configurada de um fornecedor confiável, como a Microsoft, ou crie uma linha de base de configuração segura desejada no modelo de imagem da VM.

Referência: Tutorial: Criar uma imagem personalizada de uma VM do Azure com a Interface de Linha de Comando

PV-4: Auditar e impor configurações seguras para recursos de computação

Caraterísticas

Máquina virtual de inicialização confiável

Descrição: O Trusted Launch protege contra técnicas de ataque avançadas e persistentes combinando tecnologias de infraestrutura como inicialização segura, vTPM e monitoramento de integridade. Cada tecnologia fornece outra camada de defesa contra ameaças sofisticadas. A inicialização confiável permite a implantação segura de máquinas virtuais com carregadores de inicialização verificados, kernels de sistema operacional e drivers, além de proteger com segurança chaves, certificados e segredos nas máquinas virtuais. O lançamento confiável também fornece informações e confiança na integridade de toda a sequência de inicialização e garante que as tarefas sejam confiáveis e verificáveis. A inicialização confiável é integrada ao Microsoft Defender for Cloud para garantir que as VMs sejam configuradas corretamente, atestando remotamente que a VM foi inicializada de forma íntegra. Saiba mais.

Nota de funcionalidade: A inicialização segura está disponível para VMs de geração 2. A inicialização confiável requer a criação de novas máquinas virtuais. Não é possível habilitar a inicialização confiável em máquinas virtuais existentes que foram criadas inicialmente sem ela.

Configuration Guidance: O arranque seguro pode ser habilitado durante a implantação da Máquina Virtual. Habilite todos os três - Inicialização Segura, vTPM e monitoramento de inicialização de integridade para garantir a melhor postura de segurança para a máquina virtual. Observe que há alguns pré-requisitos, incluindo a integração de sua assinatura no Microsoft Defender for Cloud, a atribuição de determinadas iniciativas de Política do Azure e a configuração de políticas de firewall.

de referência : Implementar uma VM com arranque seguro ativado

PV-5: Realizar avaliações de vulnerabilidade

Caraterísticas

Avaliação de vulnerabilidade usando o Microsoft Defender

Descrição: O serviço pode ser analisado para deteção de vulnerabilidades usando o Microsoft Defender for Cloud ou outras capacidades integradas de avaliação de vulnerabilidades dos serviços Microsoft Defender (incluindo o Microsoft Defender para servidor, registo de contentores, Serviço de Aplicações, SQL e DNS). Saiba mais.

Orientação de Configuração: Siga as recomendações do Microsoft Defender para Cloud para realizar avaliações de vulnerabilidade nas suas máquinas virtuais do Azure.

de referência: Planeie a sua para a implementação do Defender para Servidores

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

PV-6: Corrige vulnerabilidades de forma rápida e automática

Caraterísticas

Azure Update Manager

Descrição: O serviço pode usar o Azure Update Manager para implantar patches e atualizações automaticamente. Saiba mais.

Diretrizes de Configuração: Use o Azure Update Manager para garantir que as atualizações de segurança mais recentes estejam instaladas em suas VMs Linux.

Referência: Gerir atualizações e patches para as suas VMs

Serviço de Atualizações de Convidados do Azure

Descrição: O serviço pode usar o Azure Guest Patching para implantar patches e atualizações automaticamente. Saiba mais.

Configuration Guidance: Os serviços podem utilizar os diferentes mecanismos de atualização, como Auto OS Image Upgrades e Auto Guest Patching. Recomenda-se que as capacidades apliquem as atualizações críticas e de segurança mais recentes ao sistema operativo convidado da sua máquina virtual de acordo com os Princípios de Implantação Segura.

O Auto Guest Patching permite que você avalie e atualize automaticamente suas máquinas virtuais do Azure para manter a conformidade de segurança com as atualizações críticas e de segurança lançadas todos os meses. As atualizações são aplicadas fora do horário de pico, incluindo máquinas virtuais dentro de um conjunto de disponibilidade. Esse recurso está disponível para VMSS Flexible Orchestration, com suporte futuro no roteiro para Uniform Orchestration.

Se você executar uma carga de trabalho sem monitoração de estado, as Atualizações Automáticas de Imagem do SO são ideais para aplicar a atualização mais recente para o seu VMSS Uniform. Com a capacidade de reversão, essas atualizações são compatíveis com o Marketplace ou imagens personalizadas. Suporte de atualização contínua futura no roteiro para orquestração flexível.

Referência: Atualização Automática de Sistema de Convidado de VM para VMs do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

Segurança do endpoint

Para obter mais informações, consulte o benchmark de segurança na nuvem Microsoft: Endpoint security.

ES-1: Usar EDR (Endpoint Detection and Response)

Caraterísticas

Solução EDR

Descrição: Um recurso EDR (Endpoint Detection and Response), como o Azure Defender for Servers, pode ser implantado no ponto de extremidade. Saiba mais.

Orientação de Configuração: o Azure Defender para servidores (com o Microsoft Defender for Endpoint integrado) fornece capacidade EDR para prevenir, detetar, investigar e responder a ameaças avançadas. Utilize o Microsoft Defender para Cloud para implantar o Azure Defender para servidores no seu ponto de extremidade e integrar os alertas à sua solução SIEM, como o Azure Sentinel.

de referência: Planeie a sua para a implementação do Defender para Servidores

ES-2: Use software moderno anti-malware

Caraterísticas

Solução Anti-Malware

Descrição: Recursos antimalware, como o Microsoft Defender Antivirus e o Microsoft Defender for Endpoint, podem ser implantados no ponto de extremidade. Saiba mais.

Configuration Guidance: Para Linux, os clientes podem ter a opção de instalar o Microsoft Defender for Endpoint para Linux. Como alternativa, os clientes também têm a opção de instalar produtos antimalware de terceiros.

Referência: Microsoft Defender for Endpoint no Linux

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

ES-3: Garantir que o software antimalware e as assinaturas estejam atualizados

Caraterísticas

Monitoramento da integridade da solução antimalware

Descrição: A solução antimalware fornece monitorização do estado de saúde para a plataforma, o mecanismo e as atualizações automáticas de assinatura. Saiba mais.

Notas de recurso: A inteligência de segurança e as atualizações de produtos aplicam-se ao Defender for Endpoint, que pode ser instalado nas VMs Linux.

Configuration Guidance: Configure sua solução antimalware para garantir que a plataforma, o mecanismo e as assinaturas sejam atualizados de forma rápida e consistente e que seu status possa ser monitorado.

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições Incorporadas da Política do Azure - Microsoft.Compute:

Backup e recuperação

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Backup e recuperação.

BR-1: Garanta backups automatizados regulares

Caraterísticas

Azure Backup

Descrição: O backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Orientação de Configuração: Habilite o Backup do Azure e direcione as Máquinas Virtuais (VM) do Azure, bem como a frequência e os períodos de retenção desejados. Isso inclui o backup completo do estado do sistema. Se você estiver usando a criptografia de disco do Azure, o backup de VM do Azure manipulará automaticamente o backup de chaves gerenciadas pelo cliente. Para Máquinas Virtuais do Azure, você pode usar a Política do Azure para habilitar backups automáticos.

Referência: Opções de cópia de segurança e restauração para máquinas virtuais no Azure

Monitoramento do Microsoft Defender for Cloud

Definições Incorporadas da Política do Azure - Microsoft.Compute:

Próximos passos

• Consulte a visão geral do benchmark de segurança na nuvem da Microsoft
• Saiba mais sobre linhas de base de segurança do Azure