有关Microsoft云安全基准项目的简介，包括关键概念、实施指南和术语，请参阅 Microsoft云安全基准简介。
Microsoft云安全基准 v2（预览版）提供了以 Azure 为中心的增强指南，其中包含扩展的安全域和全面的技术实现详细信息。 此版本基于Microsoft云安全基准的基础，并进行了优化的安全控制、AI 安全指南和扩展的 Azure Policy 映射。
主要功能
注释
Microsoft云安全基准 v2（预览版）现已推出。 浏览此版本并提供反馈来帮助我们改进它。 如有任何问题或评论，请向我们 benchmarkfeedback@microsoft.com发送电子邮件。
有关早期版本的信息，请参阅 Microsoft云安全基准 v1 概述。
Microsoft云安全基准 v2（预览版）包括：
人工智能安全 - 一个新的安全域，其中包含七项建议，包括 AI 平台安全性、AI 应用程序安全和 AI 安全监视，以解决人工智能部署中的威胁和风险。
全面的 Azure Policy 映射 - 超过 420 个 Azure Policy 内置定义，可帮助你使用 Azure Policy 和 Defender for Cloud 测量和监视 Azure 中的安全状况。
基于风险和基于威胁 的指导 - 包含精细技术实现示例和详细参考的综合指南，可帮助你了解每个安全控制缓解的安全风险和威胁，以及如何在 Azure 环境中实施安全控制。
安全域
| 安全域 | DESCRIPTION |
|---|---|
| 网络安全 （NS） | 网络安全涵盖保护网络的控制措施，包括保护虚拟网络、建立专用连接、防止和缓解外部攻击以及保护 DNS。 |
| 标识管理（IM） | 标识管理涵盖使用标识和访问管理系统建立安全标识和访问控制的控制措施，包括使用单一登录、强身份验证、托管标识（和服务主体）进行应用程序、条件访问和帐户异常监视。 |
| 特权访问 （PA） | 特权访问包括用于保护对你的租户和资源的特权访问的控制措施，其中包括一系列用于避免管理模型、管理帐户和特权访问工作站面临有意和无意的风险的控制措施。 |
| 数据保护 （DP） | 数据保护涵盖对静态数据保护、传输中和授权访问机制的控制，包括使用访问控制、加密、密钥管理和证书管理发现、分类、保护和监视敏感数据资产。 |
| 资产管理（AM） | 资产管理涵盖确保资源的安全可见性和治理的控制措施，包括有关安全人员权限的建议、对资产清单的安全访问以及管理对服务和资源的审批（清单、跟踪和更正）。 |
| 日志记录和威胁检测 （LT） | 日志记录和威胁检测包括用于检测云威胁的控制措施，以及启用、收集和存储云服务的审核日志，包括启用检测、调查和修正流程，并控制在云服务中使用本机威胁检测生成高质量警报。 它还包括使用云监视服务收集日志、使用 SIEM 集中安全分析、时间同步和日志保留。 |
| 事件响应（IR） | 事件响应涵盖事件响应生命周期的控制 - 准备、检测和分析、遏制和事件后活动，包括使用 Azure 服务（如 Microsoft Defender for Cloud 和 Sentinel）和其他云服务自动执行事件响应过程。 |
| 态势和漏洞管理 （PV） | 状况和漏洞管理侧重于用于评估和改进云安全状况的控制措施，包括漏洞扫描、渗透测试和修正，以及云资源中的安全配置跟踪、报告和更正。 |
| 终结点安全性 （ES） | 终结点安全性涵盖对终结点检测和响应的控制措施，包括在云环境中对终结点使用终结点检测和响应 (EDR) 和反恶意软件服务。 |
| 备份和恢复 （BR） | 备份和恢复涵盖确保执行、验证和保护不同服务层级的数据和配置备份的控制措施。 |
| DevOps Security （DS） | DevOps Security 涵盖与 DevOps 流程中安全工程和作相关的控制措施，包括部署阶段前的关键安全检查（例如静态应用程序安全测试、漏洞管理），以确保整个 DevOps 流程的安全性。 它还包括威胁建模和软件供应安全性等常见主题。 |
| 人工智能安全（AI） | 人工智能安全涵盖确保 AI 模型和服务（包括 AI 平台安全性、AI 应用程序安全和 AI 安全监视）的安全开发、部署和作的控制。 |
Microsoft云安全基准 v2 中的安全控制结构（预览版）
基准中的每个安全控制包括以下部分：
- ID：每个安全控制的唯一标识符，包括域缩写和数字（例如，用于人工智能安全控制 1 的 AI-1、用于数据保护控制 1 的 DP-1、用于网络安全控制 2 的 NS-2）。 本文档中使用此 ID 来引用特定的安全控制措施。
- Azure Policy：链接到可用于度量和强制实施安全控制的 Azure 内置策略定义。 请注意，并非所有安全控制都包含一个 Azure Policy 链接，因为某些安全控制为 Azure Policy 自动化无法强制实施的方案或配置提供指导。
- 安全原则：技术不可知级别的安全控制的高级描述，解释了安全控制“内容”和“原因”。
- 缓解风险：安全控制旨在解决的特定安全风险和威胁。
- MITRE ATT&CK：与安全风险相关的 MITRE ATT&CK 策略、技术和过程（TTP）。 更多信息请访问 https://attack.mitre.org/。
- 实施指南：按编号子部分（例如 NS-1.1、NS-1.2）组织的详细特定于 Azure 的技术指南，介绍如何使用 Azure 功能和服务实现安全控制。
- 实现示例：实际方案演示了如何实现安全控制，包括挑战、解决方案方法和结果。
- 严重性级别：指示安全控制对安全状况的相对重要性。 可能的值为“必须具有”（对于基线安全性至关重要）、“应具有”（对增强安全性非常重要）或“最好拥有”（对高级安全方案有利）。
-
控制关联：映射到行业安全标准和框架，包括：
- NIST SP 800-53 Rev.5：NIST SP 800-53 r5 安全控制标识符
- PCI-DSS v4：PCI-DSS v4 要求 ID
- CIS 控制措施 v8.1：CIS 控制措施 v8.1 ID
- NIST CSF v2.0：NIST 网络安全框架 v2.0 功能和类别标识符
- ISO/IEC 27001:2022 安全控制 ID
- SOC 2: SOC 2 信任服务标准
MCSB 与行业基准（如 CIS、NIST、PCI、ISO 等）之间的安全控制映射仅表示可以使用特定的 Azure 功能来完全或部分解决这些行业基准中定义的安全控制要求。 此类实现不一定转化为这些行业基准中相应安全控制的完整合规性。
欢迎你提供详细的反馈和积极参与Microsoft云安全基准 v2（预览版）工作。 如果要提供直接反馈，请通过 benchmarkfeedback@microsoft.com发送电子邮件给我们。
后续步骤
- 查看 Microsoft云安全基准简介 ，了解一般 MCSB 概念和实施指南
- 了解从网络安全开始的安全域
- 了解 Azure 安全基础知识