Linha de base de segurança do Azure para Máquinas Virtuais - Máquinas Virtuais do Windows

Esta linha de base de segurança aplica as orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 às Máquinas Virtuais - Máquinas Virtuais do Windows. O benchmark de segurança na nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas orientações relacionadas aplicáveis às Máquinas Virtuais - Máquinas Virtuais do Windows.

Você pode monitorar essa linha de base de segurança e suas recomendações usando o Microsoft Defender for Cloud. As definições de Política do Azure serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem Definições de Política do Azure relevantes, elas são listadas nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de referência de segurança na nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto de Máquinas Virtuais - Máquinas Virtuais do Windows, o que pode resultar em considerações de segurança maiores.

Segurança da rede

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Caraterísticas

Integração de Rede Virtual

Descrição: O serviço suporta a implantação na rede virtual privada (VNet) do cliente. Saiba mais.

Diretrizes de configuração: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Redes virtuais e máquinas virtuais no Azure

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regras de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Diretrizes de configuração: use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG para restringir as portas abertas do seu serviço (como impedir que as portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e dos Balanceadores de Carga do Azure.

Ao criar uma máquina virtual (VM) do Azure, você deve criar uma rede virtual ou usar uma rede virtual existente e configurar a VM com uma sub-rede. Certifique-se de que todas as sub-redes implantadas tenham um Grupo de Segurança de Rede aplicado com controles de acesso à rede específicos para suas aplicações, portas e fontes confiáveis.

Referência: Grupos de segurança de rede

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

NS-2: Serviços de nuvem seguros com controles de rede

Caraterísticas

Desativar o acesso à rede pública

Descrição: O serviço suporta a desativação do acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço (não NSG ou Firewall do Azure) ou usando uma opção de alternância 'Desabilitar acesso à rede pública'. Saiba mais.

Diretrizes de configuração: use serviços no nível do sistema operacional, como o Firewall do Windows Defender, para fornecer filtragem de rede para desabilitar o acesso público.

Gestão de identidades

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de identidade.

IM-1: Usar identidade centralizada e sistema de autenticação

Caraterísticas

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Diretrizes de configuração: use o Azure Ative Directory (Azure AD) como o método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Inicie sessão numa máquina virtual com o Windows no Azure usando o Azure AD, incluindo autenticação sem senha

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticação local suportados para acesso ao plano de dados, como um nome de usuário e senha locais. Saiba mais.

Notas de recurso: Uma conta de administrador local é criada por padrão durante a implantação inicial da máquina virtual. Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de configuração: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

IM-3: Gerencie identidades de aplicativos de forma segura e automática

Caraterísticas

Identidades gerenciadas

Descrição: As ações do plano de dados suportam autenticação usando identidades gerenciadas. Saiba mais.

Notas de recursos: a identidade gerenciada normalmente é aproveitada pela VM do Windows para autenticação em outros serviços. Se a VM do Windows oferecer suporte à autenticação do Azure AD, a identidade gerenciada poderá ser suportada.

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar nos serviços e recursos do Azure que dão suporte à autenticação do Azure Ative Directory (Azure AD). As credenciais de identidade geridas são totalmente geridas, rotacionadas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou nos ficheiros de configuração.

Principais de Serviço

Descrição: O plano de dados suporta autenticação usando entidades de serviço. Saiba mais.

Notas de recurso: As entidades de serviço podem ser usadas por aplicações executadas na máquina virtual do Windows.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Compute:

IM-7: Restringir o acesso a recursos com base em condições

Caraterísticas

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando as Políticas de Acesso Condicional do Azure AD. Saiba mais.

Notas de funcionalidade: utilize o Azure AD como uma plataforma de autenticação principal para RDP no Windows Server 2019 Datacenter edition e posterior, ou no Windows 10 1809 e posterior. Em seguida, você pode controlar centralmente e impor o RBAC (controle de acesso baseado em função) e as políticas de Acesso Condicional do Azure que permitem ou negam acesso às VMs.

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Ative Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamentos de entrada arriscados ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

Referência: Inicie sessão numa máquina virtual com o Windows no Azure usando o Azure AD, incluindo autenticação sem senha

IM-8: Restringir a exposição de credenciais e segredos

Caraterísticas

Integração e armazenamento de suporte de credenciais e segredos de serviço no Cofre de Chaves do Azure

Descrição: O plano de dados dá suporte ao uso nativo do Cofre de Chaves do Azure para armazenamento de credenciais e segredos. Saiba mais.

Notas sobre funcionalidades: dentro do plano de dados ou sistema operativo, os serviços podem chamar o Azure Key Vault para credenciais ou segredos.

Diretrizes de configuração: certifique-se de que os segredos e credenciais sejam armazenados em locais seguros, como o Cofre da Chave do Azure, em vez de incorporá-los em arquivos de código ou configuração.

Acesso privilegiado

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: acesso privilegiado.

PA-1: Separe e limite usuários altamente privilegiados/administrativos

Caraterísticas

Contas de administrador local

Descrição: O serviço tem o conceito de conta administrativa local. Saiba mais.

Notas de recursos: Evite o uso de métodos ou contas de autenticação local, estes devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de configuração: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Guia de início rápido: criar uma máquina virtual do Windows no portal do Azure

PA-7: Siga o princípio da administração suficiente (menor privilégio)

Caraterísticas

RBAC do Azure para Plano de Dados

Descrição: O Azure Role-Based Access Control (Azure RBAC) pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Notas de funcionalidade: utilize o Azure AD como uma plataforma de autenticação principal para RDP no Windows Server 2019 Datacenter edition e posterior, ou no Windows 10 1809 e posterior. Em seguida, você pode controlar centralmente e impor o RBAC (controle de acesso baseado em função) e as políticas de Acesso Condicional do Azure que permitem ou negam acesso às VMs.

Diretrizes de configuração: com o RBAC, especifique quem pode fazer login em uma VM como um usuário regular ou com privilégios de administrador. Quando os usuários ingressam em sua equipe, você pode atualizar a política RBAC do Azure para que a VM conceda acesso conforme apropriado. Quando os funcionários deixam sua organização e suas contas de usuário são desabilitadas ou removidas do Azure AD, eles não têm mais acesso aos seus recursos.

Referência: Inicie sessão numa máquina virtual com o Windows no Azure usando o Azure AD, incluindo autenticação sem senha

PA-8: Determinar o processo de acesso para suporte ao provedor de nuvem

Caraterísticas

Acesso Seguro do Cliente

Descrição: O Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Proteção de dados

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Proteção de dados.

DP-1: Descubra, classifique e rotule dados confidenciais

Caraterísticas

Deteção e classificação de dados confidenciais

Descrição: Ferramentas (como o Azure Purview ou a Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Diretrizes de configuração: Este recurso não é suportado para proteger este serviço.

DP-2: Monitore anomalias e ameaças visando dados confidenciais

Caraterísticas

Prevenção de Fugas/Perdas de Dados

Descrição: O serviço suporta a solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Diretrizes de configuração: Este recurso não é suportado para proteger este serviço.

DP-3: Criptografar dados confidenciais em trânsito

Caraterísticas

Encriptação de Dados em Trânsito

Descrição: O serviço suporta criptografia de dados em trânsito no plano de dados. Saiba mais.

Notas de recurso: Certos protocolos de comunicação, como SSH, são criptografados por padrão. No entanto, outros serviços, como HTTP, devem ser configurados para usar TLS para criptografia.

Orientação de configuração: habilite a transferência segura em serviços onde há um recurso nativo de criptografia de dados em trânsito integrado. Imponha HTTPS em quaisquer aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. As versões herdadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de máquinas virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: criptografia em trânsito em VMs

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Compute:

DP-4: Habilitar a criptografia de dados em repouso por padrão

Caraterísticas

Criptografia de dados em repouso usando chaves de plataforma

Descrição: A criptografia de dados em repouso usando chaves de plataforma é suportada, qualquer conteúdo de cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Notas de funcionalidade: Por predefinição, os discos geridos utilizam chaves de encriptação geridas pela plataforma. Todos os discos geridos, instantâneos, imagens e dados gravados em discos geridos já existentes são automaticamente encriptados em modo de repouso com chaves geridas pela plataforma.

Diretrizes de configuração: Nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Criptografia do lado do servidor do Armazenamento em Disco do Azure - Chaves gerenciadas pela plataforma

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

DP-5: Use a opção de chave gerenciada pelo cliente na criptografia de dados em repouso quando necessário

Caraterísticas

Criptografia de dados em repouso usando CMK

Descrição: A criptografia de dados em repouso usando chaves gerenciadas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Notas de funcionalidade: Pode optar por gerir a encriptação ao nível de cada disco gerido, com as suas próprias chaves. Quando você especifica uma chave gerenciada pelo cliente, essa chave é usada para proteger e controlar o acesso à chave que criptografa seus dados. As chaves gerenciadas pelo cliente oferecem maior flexibilidade para gerenciar controles de acesso.

Diretrizes de configuração: Se necessário para conformidade regulamentar, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Os discos virtuais em máquinas virtuais (VM) são criptografados em repouso usando criptografia do lado do servidor ou criptografia de disco do Azure (ADE). O Azure Disk Encryption aproveita o recurso BitLocker do Windows para criptografar discos gerenciados com chaves gerenciadas pelo cliente na VM convidada. A criptografia do lado do servidor com chaves gerenciadas pelo cliente melhora o ADE permitindo que você use quaisquer tipos de sistema operacional e imagens para suas VMs criptografando dados no serviço de armazenamento.

Referência: Criptografia do lado do servidor do Armazenamento em Disco do Azure

DP-6: Use um processo seguro de gerenciamento de chaves

Caraterísticas

Gerenciamento de chaves no Cofre de Chaves do Azure

Descrição: O serviço suporta a integração do Cofre de Chaves do Azure para quaisquer chaves, segredos ou certificados de clientes. Saiba mais.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Cofre de Chaves do Azure e seu serviço com base em um cronograma definido ou quando houver uma desativação de chave ou comprometimento. Quando houver necessidade de usar a chave gerenciada pelo cliente (CMK) na carga de trabalho, serviço ou nível de aplicativo, certifique-se de seguir as práticas recomendadas para gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma chave de criptografia de dados (DEK) separada com sua chave de criptografia de chave (KEK) no cofre de chaves. Certifique-se de que as chaves estão registadas no Azure Key Vault e referenciadas através de IDs de chave do serviço ou aplicação. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Cofre de Chaves do Azure), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: Criar e configurar um cofre de chaves para o Azure Disk Encryption em uma VM do Windows

DP-7: Use um processo seguro de gerenciamento de certificados

Caraterísticas

Gerenciamento de certificados no Azure Key Vault

Descrição: O serviço dá suporte à integração do Azure Key Vault para qualquer certificado de cliente. Saiba mais.

Diretrizes de configuração: Este recurso não é suportado para proteger este serviço.

Gestão de ativos

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Gerenciamento de ativos.

AM-2: Use apenas serviços aprovados

Caraterísticas

Suporte de Política do Azure

Descrição: As configurações de serviço podem ser monitoradas e aplicadas por meio da Política do Azure. Saiba mais.

Diretrizes de configuração: a Política do Azure pode ser usada para definir o comportamento desejado para as VMs Windows e Linux da sua organização. Usando políticas, uma organização pode impor várias convenções e regras em toda a empresa e definir e implementar configurações de segurança padrão para Máquinas Virtuais do Azure. A aplicação do comportamento desejado pode ajudar a mitigar riscos, contribuindo para o sucesso da organização.

Referência: Definições internas da Política do Azure para Máquinas Virtuais do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

AM-5: Use apenas aplicativos aprovados na máquina virtual

Caraterísticas

Microsoft Defender for Cloud - Controles de aplicativos adaptáveis

Descrição: O serviço pode limitar quais aplicativos do cliente são executados na máquina virtual usando os Controles de Aplicativo Adaptáveis no Microsoft Defender for Cloud. Saiba mais.

Diretrizes de configuração: use os controles de aplicativos adaptáveis do Microsoft Defender for Cloud para descobrir aplicativos em execução em máquinas virtuais (VMs) e gerar uma lista de permissões de aplicativos para determinar quais aplicativos aprovados podem ser executados no ambiente VM.

Referência: use controles de aplicativos adaptáveis para reduzir as superfícies de ataque de suas máquinas

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

Registo e deteção de ameaças

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: registro em log e deteção de ameaças.

LT-1: Habilite os recursos de deteção de ameaças

Caraterísticas

Microsoft Defender para Oferta de Serviços / Produtos

Descrição: O serviço tem uma solução Microsoft Defender específica para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de configuração: o Defender for Servers estende a proteção às suas máquinas Windows e Linux em execução no Azure. O Defender for Servers integra-se ao Microsoft Defender for Endpoint para fornecer EDR (endpoint detection and response) e também fornece uma série de recursos adicionais de proteção contra ameaças, como linhas de base de segurança e avaliações no nível do sistema operacional, verificação de avaliação de vulnerabilidade, controles adaptáveis de aplicativos (AAC), monitoramento de integridade de arquivos (FIM) e muito mais.

Referência: Planejar a implantação do Defender for Servers

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Compute:

LT-4: Habilitar o registo para investigação de segurança

Caraterísticas

Logs de Recursos do Azure

Descrição: O serviço produz registos de recursos que podem fornecer métricas aperfeiçoadas e registos específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio destino de dados, como uma conta de armazenamento ou um espaço de trabalho do Log Analytics. Saiba mais.

Diretrizes de configuração: o Azure Monitor começa a coletar automaticamente dados métricos para seu host de máquina virtual quando você cria a VM. No entanto, para coletar logs e dados de desempenho do sistema operacional convidado da máquina virtual, você deve instalar o agente do Azure Monitor. Você pode instalar o agente e configurar a recolha usando VM Insights ou criando uma regra de recolha de dados.

Referência: Visão geral do agente do Log Analytics

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Compute:

Gestão da postura e da vulnerabilidade

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Postura e gerenciamento de vulnerabilidades.

PV-3: Definir e estabelecer configurações seguras para recursos de computação

Caraterísticas

Configuração do Estado de Automação do Azure

Descrição: A Configuração do Estado de Automação do Azure pode ser usada para manter a configuração de segurança do sistema operacional. Saiba mais.

Diretrizes de configuração: use a Configuração do Estado de Automação do Azure para manter a configuração de segurança do sistema operacional.

Referência: Configurar uma VM com configuração de estado desejado

Agente de Configuração de Hóspede da Política do Azure

Descrição: O agente de configuração de utilizador convidado do Azure Policy pode ser instalado ou implantado como uma extensão para recursos de computação. Saiba mais.

Notas de funcionalidade: A Configuração de Convidado da Política do Azure é agora denominada Configuração de Máquina de Gestão Automática do Azure.

Diretrizes de configuração: use o Microsoft Defender for Cloud e o agente de configuração convidado do Azure Policy para avaliar e corrigir regularmente desvios de configuração em seus recursos de computação do Azure, incluindo VMs, contêineres e outros.

Referência: Compreender o recurso de configuração de máquina do Azure Automanage

Imagens de VM personalizadas

Descrição: o serviço suporta o uso de imagens de VM fornecidas pelo usuário ou imagens pré-criadas do mercado com determinadas configurações de linha de base pré-aplicadas. Saiba mais.

Diretrizes de configuração: use uma imagem protegida pré-configurada de um fornecedor confiável, como a Microsoft, ou crie uma linha de base de configuração segura desejada no modelo de imagem de VM

Referência: Tutorial: Criar imagens de VM do Windows com o Azure PowerShell

PV-4: Auditar e impor configurações seguras para recursos de computação

Caraterísticas

Máquina virtual de inicialização confiável

Descrição: O Trusted Launch protege contra técnicas de ataque avançadas e persistentes combinando tecnologias de infraestrutura como inicialização segura, vTPM e monitoramento de integridade. Cada tecnologia fornece outra camada de defesa contra ameaças sofisticadas. A inicialização confiável permite a implantação segura de máquinas virtuais com carregadores de inicialização verificados, kernels de sistema operacional e drivers, além de proteger com segurança chaves, certificados e segredos nas máquinas virtuais. O início seguro também fornece informações e confiança sobre a integridade de toda a cadeia de inicialização e garante que as cargas de trabalho sejam confiáveis e passíveis de verificação. A inicialização confiável é integrada ao Microsoft Defender for Cloud para garantir que as VMs sejam configuradas corretamente, atestando remotamente que a VM foi inicializada de forma íntegra. Saiba mais.

Nota de funcionalidade: O arranque de confiança está disponível para máquinas virtuais (VMs) de 2ª geração. A inicialização confiável requer a criação de novas máquinas virtuais. Não é possível habilitar a inicialização confiável em máquinas virtuais existentes que foram criadas inicialmente sem ela.

Diretrizes de configuração: a inicialização confiável pode ser habilitada durante a implantação da VM. Habilite todos os três - Inicialização Segura, vTPM e monitoramento de inicialização de integridade para garantir a melhor postura de segurança para a máquina virtual. Observe que há alguns pré-requisitos, incluindo a integração de sua assinatura no Microsoft Defender for Cloud, a atribuição de determinadas iniciativas de Política do Azure e a configuração de políticas de firewall.

Referência: Implantar uma VM com a inicialização confiável habilitada

PV-5: Realizar avaliações de vulnerabilidade

Caraterísticas

Avaliação de vulnerabilidade usando o Microsoft Defender

Descrição: O serviço pode ser verificado quanto à verificação de vulnerabilidades usando o Microsoft Defender for Cloud ou outros recursos de avaliação de vulnerabilidade incorporados dos serviços Microsoft Defender (incluindo o Microsoft Defender para servidor, registro de contêiner, Serviço de Aplicativo, SQL e DNS). Saiba mais.

Diretrizes de configuração: siga as recomendações do Microsoft Defender for Cloud para executar avaliações de vulnerabilidade em suas máquinas virtuais do Azure.

Referência: Planejar a implantação do Defender for Servers

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

PV-6: Corrige vulnerabilidades de forma rápida e automática

Caraterísticas

Azure Update Manager

Descrição: O serviço pode usar o Azure Update Manager para implantar patches e atualizações automaticamente. Saiba mais.

Diretrizes de configuração: use o Azure Update Manager para garantir que as atualizações de segurança mais recentes sejam instaladas em suas VMs do Windows. Para VMs do Windows, verifique se o Windows Update foi habilitado e definido para atualização automática.

Referência: gerenciar atualizações e patches para suas VMs

Serviço de Patching de Convidado do Azure

Descrição: O serviço pode usar o Azure Guest Patching para implantar patches e atualizações automaticamente. Saiba mais.

Orientação de Configuração: Os serviços podem aproveitar diferentes mecanismos de atualização, como atualizações automáticas de imagem do SO e correção automática de ambiente convidado. Recomenda-se que as funcionalidades apliquem as atualizações críticas e de segurança mais recentes ao sistema operativo convidado da sua máquina virtual, de acordo com os Princípios de Implementação Segura.

O Auto Guest Patching permite que você avalie e atualize automaticamente suas máquinas virtuais do Azure para manter a conformidade de segurança com as atualizações críticas e de segurança lançadas todos os meses. As atualizações são aplicadas durante as horas de menor tráfego, incluindo as VMs num conjunto de disponibilidade. Esse recurso está disponível para VMSS Flexible Orchestration, com suporte futuro no roteiro para Uniform Orchestration.

Se você executar uma carga de trabalho sem monitoração de estado, as Atualizações Automáticas de Imagem do SO são ideais para aplicar a atualização mais recente para o seu VMSS Uniform. Com a capacidade de reversão, essas atualizações são compatíveis com o Marketplace ou imagens personalizadas. Suporte de atualização contínua futura no roteiro para orquestração flexível.

Referência: Atualização automática do sistema operativo de convidado para VMs do Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

Segurança do endpoint

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Segurança de ponto final.

ES-1: Usar EDR (Endpoint Detection and Response)

Caraterísticas

Solução EDR

Descrição: o recurso EDR (Endpoint Detection and Response), como o Azure Defender for servers, pode ser implantado no ponto de extremidade. Saiba mais.

Diretrizes de configuração: o Azure Defender para servidores (com o Microsoft Defender for Endpoint integrado) fornece capacidade EDR para prevenir, detetar, investigar e responder a ameaças avançadas. Utilize o Microsoft Defender for Cloud para implantar o Azure Defender para servidores nos seus endpoints e integrar os alertas à sua solução SIEM, como o Azure Sentinel, por exemplo.

Referência: Planejar a implantação do Defender for Servers

ES-2: Use software moderno anti-malware

Caraterísticas

Solução Anti-Malware

Descrição: O recurso antimalware, como o Microsoft Defender Antivirus e o Microsoft Defender for Endpoint, pode ser implantado no ponto de extremidade. Saiba mais.

Diretrizes de configuração: Para o Windows Server 2016 e superior, o Microsoft Defender for Antivirus é instalado por padrão. Para o Windows Server 2012 R2 e superior, os clientes podem instalar o SCEP (System Center Endpoint Protection). Como alternativa, os clientes também têm a opção de instalar produtos antimalware de terceiros.

Referência: Defender for Endpoint onboarding Windows Server

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

ES-3: Garantir que o software antimalware e as assinaturas estejam atualizados

Caraterísticas

Monitorização da saúde da solução antimalware

Descrição: A solução antimalware fornece monitoramento de status de integridade para atualizações automáticas de plataforma, mecanismo e assinatura. Saiba mais.

Notas de recursos: A inteligência de segurança e as atualizações de produtos se aplicam ao Defender for Endpoint, que pode ser instalado nas VMs do Windows.

Orientação de configuração: configure sua solução antimalware para garantir que a plataforma, o mecanismo e as assinaturas sejam atualizados de forma rápida e consistente e que seu status possa ser monitorado.

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.ClassicCompute:

Definições internas da Política do Azure - Microsoft.Compute:

Backup e recuperação

Para obter mais informações, consulte o benchmark de segurança na nuvem da Microsoft: Backup e recuperação.

BR-1: Garanta backups automatizados regulares

Caraterísticas

Azure Backup

Descrição: é possível fazer backup do serviço pelo serviço de Backup do Azure. Saiba mais.

Diretrizes de configuração: habilite o Backup do Azure e configure a fonte de backup (como Máquinas Virtuais do Azure, SQL Server, bancos de dados HANA ou Compartilhamentos de Arquivos) na frequência desejada e com um período de retenção desejado. Para Máquinas Virtuais do Azure, você pode usar a Política do Azure para habilitar backups automáticos.

Referência: Opções de backup e restauração para máquinas virtuais no Azure

Monitoramento do Microsoft Defender for Cloud

Definições internas da Política do Azure - Microsoft.Compute:

Próximos passos

• Consulte a visão geral do benchmark de segurança na nuvem da Microsoft
• Saiba mais sobre as linhas de base de segurança do Azure