Linha de base de segurança do Azure para o Azure Monitor

Esta linha de base de segurança aplica orientações do benchmark de segurança na nuvem da Microsoft versão 1.0 ao Azure Monitor. A referência de segurança da cloud da Microsoft fornece recomendações sobre como pode proteger as suas soluções na cloud no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo benchmark de segurança na nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Monitor.

Pode monitorizar esta linha de base de segurança e as respetivas recomendações com Microsoft Defender para a Cloud. Azure Policy definições serão listadas na secção Conformidade Regulamentar da página Microsoft Defender do portal da Cloud.

Quando uma funcionalidade tem definições de Azure Policy relevantes, estas são listadas nesta linha de base para o ajudar a medir a conformidade com os controlos e recomendações de referência de segurança da cloud da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para ativar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Monitor, o que pode resultar em maiores considerações de segurança.

Atributo comportamento do serviço	Value
Categoria do Produto	DevOps, Segurança
O cliente pode aceder ao HOST/SO	Sem Acesso
O serviço pode ser implementado na rede virtual do cliente	False
Armazena o conteúdo do cliente inativo	True

Segurança da rede

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Segurança de rede.

NS-1: Estabelecer limites de segmentação de rede

Funcionalidades

Integração da Rede Virtual

Descrição: o serviço suporta a implementação na Rede Virtual privada (VNet) do cliente. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Diretrizes de configuração: implante o serviço em uma rede virtual. Atribua IPs privados ao recurso (quando aplicável), a menos que haja um motivo forte para atribuir IPs públicos diretamente ao recurso.

Referência: Usar o Azure Private Link para conectar redes ao Azure Monitor

Suporte ao Grupo de Segurança de Rede

Descrição: O tráfego de rede de serviço respeita a atribuição de regras de Grupos de Segurança de Rede em suas sub-redes. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Diretrizes de configuração: use grupos de segurança de rede (NSG) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras NSG para restringir as portas abertas do seu serviço (como impedir que as portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e dos Balanceadores de Carga do Azure.

Referência: endereços IP usados pelo Azure Monitor

NS-2: Proteger serviços cloud com controlos de rede

Funcionalidades

Azure Private Link

Descrição: Capacidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou Azure Firewall). Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Diretrizes de configuração: com o Azure Private Link, você pode vincular com segurança recursos de PaaS (plataforma como serviço) do Azure à sua rede virtual usando pontos de extremidade privados. O Azure Monitor é uma constelação de diferentes serviços interconectados que trabalham juntos para monitorar suas cargas de trabalho. Um Link Privado do Azure Monitor conecta um ponto de extremidade privado a um conjunto de recursos do Azure Monitor, definindo os limites da sua rede de monitoramento. Esse conjunto é chamado de Escopo de Link Privado do Azure Monitor (AMPLS).

Referência: Usar o Azure Private Link para conectar redes ao Azure Monitor

Desativar o Acesso à Rede Pública

Descrição: o serviço suporta a desativação do acesso à rede pública através da utilização da regra de filtragem da ACL IP ao nível do serviço (não do NSG ou Azure Firewall) ou através de um botão de alternar "Desativar Acesso à Rede Pública". Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço ou um comutador de alternância para acesso à rede pública. Consulte informações adicionais aqui: Usar o Escopo de Link Privado do Azure Monitor (AMPLS)

Referência: Usar o Azure Private Link para conectar redes ao Azure Monitor

Gestão de identidades

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Gestão de identidades.

IM-1: utilizar o sistema de autenticação e identidade centralizado

Funcionalidades

Autenticação Azure AD Necessária para o Acesso ao Plano de Dados

Descrição: o serviço suporta a utilização de autenticação Azure AD para acesso ao plano de dados. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	True	Microsoft

Notas de recurso: O Agente do Azure Monitor usa MSI\AAD por padrão e está documentado aqui: Configuração do Agente do Azure Log Analytics

O Application Insights precisa ser configurado para impor o AAD e está documentado aqui Autenticação do AAD do Application Insights

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: autenticação do Azure AD para Application Insights

Métodos de Autenticação Local para Acesso ao Plano de Dados

Descrição: métodos de autenticação locais suportados para o acesso ao plano de dados, como um nome de utilizador local e uma palavra-passe. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

IM-3: Gerir identidades de aplicações de forma segura e automática

Funcionalidades

Identidades Geridas

Descrição: as ações do plano de dados suportam a autenticação com identidades geridas. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Notas de recurso: a identidade gerenciada deve ser habilitada em máquinas virtuais do Azure antes de instalar o Azure Monitor Agent. Pré-requisitos do Azure Monitor Agent

Orientação de Configuração: utilize identidades geridas do Azure em vez de principais de serviço sempre que possível, o que pode autenticar-se nos serviços e recursos do Azure que suportam a autenticação do Azure Active Directory (Azure AD). As credenciais de identidade gerida são totalmente geridas, rodadas e protegidas pela plataforma, evitando credenciais codificadas em código fonte ou ficheiros de configuração.

Referência: autenticação do Azure AD para Application Insights

Principais de Serviço

Descrição: o plano de dados suporta a autenticação através de principais de serviço. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Notas de funcionalidade: Isto aplica-se apenas a Secure WebHooks.

Diretrizes de configuração: não há nenhuma orientação atual da Microsoft para essa configuração de recurso. Reveja e determine se a sua organização pretende configurar esta funcionalidade de segurança.

Referência: Criar e gerenciar grupos de ação no portal do Azure

IM-7: Restringir o acesso a recursos com base nas condições

Funcionalidades

Acesso Condicional para Plano de Dados

Descrição: o acesso ao plano de dados pode ser controlado com Azure AD Políticas de Acesso Condicional. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Orientação de Configuração: defina as condições e critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de utilização comuns, como bloquear ou conceder acesso a partir de localizações específicas, bloquear o comportamento de início de sessão de risco ou exigir dispositivos geridos pela organização para aplicações específicas.

Referência: Visão geral da API do Azure Monitor Log Analytics

Acesso privilegiado

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Acesso privilegiado.

PA-7: Siga o princípio da administração (mínimo privilégio) suficiente

Funcionalidades

RBAC do Azure para Plano de Dados

Descrição: o Azure Role-Based Controlo de Acesso (RBAC do Azure) pode ser utilizado para gerir o acesso às ações do plano de dados do serviço. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	True	Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Funções, permissões e segurança no Azure Monitor

PA-8: Determinar o processo de acesso para o suporte do fornecedor de cloud

Funcionalidades

Sistema de Proteção de Dados do Cliente

Descrição: o Customer Lockbox pode ser utilizado para o acesso ao suporte da Microsoft. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Notas de funcionalidade: só está disponível quando o Azure Monitor Log Analytics está configurado com um cluster dedicado.

Orientação de Configuração: em cenários de suporte em que a Microsoft precisa de aceder aos seus dados, utilize o Customer Lockbox para rever e, em seguida, aprove ou rejeite cada um dos pedidos de acesso a dados da Microsoft. Isso só se aplica a dados de log em clusters dedicados.

Referência: Customer Lockbox (visualização)

Proteção de dados

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Proteção de dados.

DP-1: Detetar, classificar e etiquetar dados confidenciais

Funcionalidades

Deteção e Classificação de Dados Confidenciais

Descrição: as ferramentas (como o Azure Purview ou o Azure Information Protection) podem ser utilizadas para a deteção e classificação de dados no serviço. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

DP-2: Monitorizar anomalias e ameaças que visam dados confidenciais

Funcionalidades

Fuga de Dados/Prevenção de Perda

Descrição: o serviço suporta a solução DLP para monitorizar o movimento de dados confidenciais (no conteúdo do cliente). Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

DP-3: Encriptar dados confidenciais em trânsito

Funcionalidades

Dados na Encriptação de Trânsito

Descrição: o serviço suporta a encriptação de dados em trânsito para o plano de dados. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Notas de recursos: Todas configuradas por padrão, exceto a ingestão de dados.
Para o Log Analytics

Para o Application Insights

Orientação de configuração: habilite a transferência segura em serviços onde há um recurso nativo de criptografia de dados em trânsito integrado. Imponha HTTPS em quaisquer aplicativos e serviços da Web e certifique-se de que o TLS v1.2 ou posterior seja usado. As versões herdadas, como SSL 3.0, TLS v1.0, devem ser desativadas. Para gerenciamento remoto de máquinas virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

DP-4: Ativar a encriptação de dados inativos por predefinição

Funcionalidades

Encriptação de Dados Inativos Utilizando Chaves de Plataforma

Descrição: a encriptação inativa de dados através de chaves de plataforma é suportada, qualquer conteúdo de cliente inativo é encriptado com estas chaves geridas pela Microsoft. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	True	Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

DP-5: Utilize a opção chave gerida pelo cliente na encriptação de dados inativos quando necessário

Funcionalidades

Encriptação de Dados Inativos com CMK

Descrição: a encriptação de dados inativos com chaves geridas pelo cliente é suportada para o conteúdo do cliente armazenado pelo serviço. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Notas de funcionalidade: os dados do Azure Monitor são dados sobre o estado de funcionamento dos serviços e não estão protegidos pelo Customer Lockbox por predefinição. Somente os logs podem ser protegidos pelo Lockbox e somente para clusters dedicados.

Orientações de Configuração: os dados do Azure Monitor destinam-se apenas a dados de estado de funcionamento do serviço e apenas os Dados de Registo armazenados em clusters dedicados permitem a utilização de Chaves Geridas pelo Cliente para Encriptação de Dados em Repouso. Se necessário para conformidade regulamentar, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente para esses serviços.

Referência: Chave gerenciada pelo cliente do Azure Monitor

Gestão de ativos

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Gestão de ativos.

AM-2: Utilizar apenas serviços aprovados

Funcionalidades

Suporte do Azure Policy

Descrição: as configurações do serviço podem ser monitorizadas e impostas através de Azure Policy. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	False	Cliente

Diretrizes de configuração: use o Microsoft Defender for Cloud para configurar a Política do Azure para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio de configuração detetado nos recursos. Use os efeitos da Política do Azure [negar] e [implantar se não existir] para impor a configuração segura nos recursos do Azure.

Referência: Criar configurações de diagnóstico em escala usando a Política do Azure

Deteção de registo e de ameaça

Para obter mais informações, veja Referência de segurança na cloud da Microsoft: Registo e deteção de ameaças.

LT-1: Ativar as capacidades de deteção de ameaças

Funcionalidades

Microsoft Defender de Serviço/Oferta de Produtos

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorizar e alertar sobre problemas de segurança. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

LT-4: Ativar o registo para investigação de segurança

Funcionalidades

Registos de Recursos do Azure

Descrição: o Serviço produz registos de recursos que podem fornecer métricas e registos específicos do serviço melhorados. O cliente pode configurar estes registos de recursos e enviá-los para o seu próprio sink de dados, como uma conta de armazenamento ou uma área de trabalho do Log Analytics. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
True	True	Microsoft

Orientação de Configuração: não são necessárias configurações adicionais, uma vez que esta opção está ativada numa implementação predefinida.

Referência: Configurações de diagnóstico no Azure Monitor

Cópia de segurança e recuperação

Para obter mais informações, veja Referência de segurança da cloud da Microsoft: Cópia de segurança e recuperação.

BR-1: Garantir cópias de segurança automatizadas regulares

Funcionalidades

Azure Backup

Descrição: o serviço pode ser efetuado uma cópia de segurança pelo serviço Azure Backup. Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Capacidade de Cópia de Segurança Nativa do Serviço

Descrição: o serviço suporta a sua própria capacidade de cópia de segurança nativa (se não estiver a utilizar Azure Backup). Mais informações.

Suportado	Ativado Por Predefinição	Responsabilidade de Configuração
False	Não Aplicável	Não Aplicável

Orientação de Configuração: esta funcionalidade não é suportada para proteger este serviço.

Próximos passos

• Veja a descrição geral da referência de segurança da cloud da Microsoft
• Saiba mais sobre as linhas de base de segurança do Azure