NIST SP 800-53 Rev 5 (Azure Government) 法規合規性內建方案的詳細資料
下列文章詳細說明 Azure 原則法規合規性內建方案定義如何對應至 NIST SP 800-53 Rev 5 (Azure Government) 中的合規性領域與控制項。 如需此合規性標準的詳細資訊，請參閱 NIST SP 800-53 Rev. 5。 若要了解所有權，請檢閱原則類型與雲端中共同承擔的責任。
以下是與 NIST SP 800-53 Rev. 5 控制項的對應。 許多控制措施都是以 Azure 原則方案定義實作的。 若要檢閱完整方案定義，請在 Azure 入口網站中開啟 [原則]，然後選取 [定義] 頁面。 然後，尋找並選取 NIST SP 800-53 Rev. 5 法規合規性內建方案的定義。
重要
下列每個控制措施都與一或多個 Azure 原則定義相關聯。 這些原則可協助您使用工具存取合規性；不過，控制措施和一或多個原則之間，通常不是一對一或完整對應。 因此，Azure 原則中的符合規範只是指原則定義本身，這不保證您完全符合所有控制措施需求的規範。 此外，合規性標準包含目前未由任何 Azure 原則定義解決的控制措施。 因此，Azure 原則中的合規性只是整體合規性狀態的部分觀點。 此合規性標準的合規性領域、控制措施與 Azure 原則定義之間的關聯，可能會隨著時間而改變。 若要檢視變更歷程記錄，請參閱 GitHub 認可歷程記錄 \(英文\)。
存取控制
原則和程序
識別碼：NIST SP 800-53 Rev. 5 AC-1 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1000 - 存取控制原則和程序需求 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1001 - 存取控制原則和程序需求 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
帳戶管理
識別碼：NIST SP 800-53 Rev. 5 AC-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對您的訂用帳戶指定最多 3 位擁有者 | 建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| 稽核自訂 RBAC 角色的使用方式 | 稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化 | Audit, Disabled | 1.0.1 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| 具有 Azure 資源擁有者權限的已封鎖帳戶應移除 | 具有擁有者權限的已取代帳戶應該從您的訂用帳戶中移除。 已取代帳戶是已封鎖而無法登入的帳戶。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源讀取和寫入權限的已封鎖帳戶應移除 | 已取代帳戶應該從您的訂用帳戶中移除。 已取代帳戶是已封鎖而無法登入的帳戶。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| 應移除對 Azure 資源具有擁有者權限的來賓帳戶 | 具有擁有者權限的外部帳戶應從您訂用帳戶移除，以避免未受監視的存取。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源讀取權限的來賓帳戶應移除 | 請移除您訂用帳戶中，具有讀取權限的外部帳戶，以避免出現未受監視的存取。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源寫入權限的來賓帳戶應移除 | 請移除您訂用帳戶中，具有寫入權限的外部帳戶，以避免出現未受監視的存取。 | AuditIfNotExists, Disabled | 1.0.0 |
| Microsoft 管理控制項 1002 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1003 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1004 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1005 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1006 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1007 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1008 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1009 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1010 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1011 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1012 - 帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1022 - 帳戶管理 | 共用/群組帳戶認證終止 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
自動化系統帳戶管理
識別碼：NIST SP 800-53 Rev. 5 AC-2 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| Microsoft 管理控制項 1013 - 帳戶管理 | 自動化系統帳戶管理 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
自動化暫時和緊急帳戶管理
識別碼：NIST SP 800-53 Rev. 5 AC-2 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1014 - 帳戶管理 | 移除暫時/緊急帳戶 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
停用帳戶
識別碼：NIST SP 800-53 Rev. 5 AC-2 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1015 - 帳戶管理 | 停用非作用中帳戶 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
自動化稽核動作
識別碼：NIST SP 800-53 Rev. 5 AC-2 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1016 - 帳戶管理 | 自動化稽核動作 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
非使用狀態登出
識別碼：NIST SP 800-53 Rev. 5 AC-2 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1017 - 帳戶管理 | 非使用中登出 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
具有特殊權限的使用者帳戶
識別碼：NIST SP 800-53 Rev. 5 AC-2 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| 稽核自訂 RBAC 角色的使用方式 | 稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化 | Audit, Disabled | 1.0.1 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| Microsoft 管理控制項 1018 - 帳戶管理 | 角色型配置 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1019 - 帳戶管理 | 角色型配置 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1020 - 帳戶管理 | 角色型配置 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
共用及群組帳戶的使用限制
識別碼：NIST SP 800-53 Rev. 5 AC-2 (9) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1021 - 帳戶管理 | 共用/群組帳戶的使用限制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
使用狀況
識別碼：NIST SP 800-53 Rev. 5 AC-2 (11) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1023 - 帳戶管理 | 使用狀況 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
非典型使用方式的帳戶監視
識別碼：NIST SP 800-53 Rev. 5 AC-2 (12) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠 | Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取 | AuditIfNotExists, Disabled | 3.0.0 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1024 - 帳戶管理 | 帳戶監視/非典型使用方式 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1025 - 帳戶管理 | 帳戶監視/非典型使用方式 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
停用高風險個人的帳戶
識別碼：NIST SP 800-53 Rev. 5 AC-2 (13) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1026 - 帳戶管理 | 停用高風險個人版的帳戶 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
強制存取
識別碼：NIST SP 800-53 Rev. 5 AC-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 具有 Azure 資源擁有者權限的帳戶應啟用 MFA | 具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 對 Azure 資源具有讀取權限的帳戶應啟用 MFA | 具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源寫入權限的帳戶應啟用 MFA | 具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| 稽核有不需要密碼之帳戶的 Linux 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Linux 電腦有不需要密碼的帳戶，則電腦不相容 | AuditIfNotExists, Disabled | 1.4.0 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| 部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派 | 此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.4.0 |
| 函數應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1027 - 強制存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應移轉至新的 Azure Resource Manager 資源 | 在您的儲存體帳戶使用新的 Azure Resource Manager 以加強安全性，除了增強存取控制 (RBAC)、改善稽核、提供以 Azure Resource Manager 為基礎的部署及治理、受控身分識別的存取、金鑰保存庫的祕密存取、以 Azure AD 為基礎的驗證，還支援標記和資源群組，讓安全性管理更加輕鬆 | Audit, Deny, Disabled | 1.0.0 |
| 虛擬機器應遷移到新的 Azure Resource Manager 資源 | 在您的虛擬機器使用新 Azure Resource Manager 以加強安全性，除了增強存取控制 (RBAC)、改善稽核、提供以 Azure Resource Manager 為基礎的部署及治理、受控身分識別的存取、金鑰保存庫的祕密存取、以 Azure AD 為基礎的驗證，還支援標記和資源群組，讓安全性管理更加輕鬆。 | Audit, Deny, Disabled | 1.0.0 |
角色型存取控制
識別碼：NIST SP 800-53 Rev. 5 AC-3 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應在 Kubernetes 服務上使用角色型存取控制 (RBAC) | 若要提供使用者可執行之動作的精細篩選，請使用角色型存取控制 (RBAC) 來管理 Kubernetes Service 叢集中的權限，並設定相關的授權原則。 | Audit, Disabled | 1.0.4 |
資訊流程強制
識別碼：NIST SP 800-53 Rev. 5 AC-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已被取代]: Azure 認知搜尋服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Disabled | 1.0.1-deprecated |
| [已被取代]：認知服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。 | Audit, Disabled | 3.0.1-deprecated |
| 所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組 | Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。 | AuditIfNotExists, Disabled | 3.0.0 |
| API 管理服務應使用虛擬網路 | Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。 | Audit, Deny, Disabled | 1.0.2 |
| 應用程式設定應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。 | AuditIfNotExists, Disabled | 1.0.2 |
| App Service 應用程式不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。 | AuditIfNotExists, Disabled | 2.0.0 |
| Kubernetes Services 上應定義授權 IP 範圍 | 僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。 | Audit, Disabled | 2.0.0 |
| Azure AI 服務資源應限制網路存取 | 藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。 | Audit, Deny, Disabled | 3.2.0 |
| Azure Cache for Redis 應使用私人連結 | 私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 認知搜尋服務應使用支援私人連結的 SKU | 使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 認知搜尋服務應停用公用網路存取 | 停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Cosmos DB 帳戶應具有防火牆規則 | 應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。 | Audit, Deny, Disabled | 2.1.0 |
| Azure Data Factory 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 事件方格網域應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 事件方格主題應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 檔案同步應使用私人連結 | 為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Key Vault 應該啟用防火牆 | 啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security | Audit, Deny, Disabled | 1.4.1 |
| Azure Machine Learning 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | Audit, Disabled | 1.0.0 |
| Azure 服務匯流排命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。 | Audit, Disabled | 1.0.0 |
| Azure Synapse 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。 | Audit, Disabled | 1.0.1 |
| 不應允許不受限制的網路存取 | 根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。 | Audit, Deny, Disabled | 2.0.0 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| CosmosDB 帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | Audit, Disabled | 1.0.0 |
| 磁碟存取資源應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。 | AuditIfNotExists, Disabled | 1.0.0 |
| 事件中樞命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應使用網路安全性群組保護網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| IoT 中樞裝置佈建服務執行個體應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。 | Audit, Disabled | 1.0.0 |
| 應停用虛擬機器上的 IP 轉送 | 在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠 | Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取 | AuditIfNotExists, Disabled | 3.0.0 |
| 應關閉虛擬機器上的管理連接埠 | 開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1028 - 資訊流程強制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| 應使用網路安全性群組保護非網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| 應對 Azure SQL Database 啟用私人端點連線 | 私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。 | Audit, Disabled | 1.1.0 |
| 應對 Azure SQL Database 停用公用網路存取 | 停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應限制網路存取 | 應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍 | Audit, Deny, Disabled | 1.1.1 |
| 儲存體帳戶應使用虛擬網路規則來限制網路存取 | 使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。 | Audit, Deny, Disabled | 1.0.1 |
| 儲存體帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview | AuditIfNotExists, Disabled | 2.0.0 |
| 子網路應該與網路安全性群組建立關聯 | 使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。 | AuditIfNotExists, Disabled | 3.0.0 |
動態資訊流量控制
識別碼：NIST SP 800-53 Rev. 5 AC-4 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠 | Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取 | AuditIfNotExists, Disabled | 3.0.0 |
安全性與隱私權原則篩選器
識別碼：NIST SP 800-53 Rev. 5 AC-4 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1029 - 資訊流程強制 | 安全性原則篩選器 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
資訊流程實體或邏輯區隔
識別碼：NIST SP 800-53 Rev. 5 AC-4 (21) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1030 - 資訊流程強制 | 資訊流程的實體/邏輯區分 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
職責區分
識別碼：NIST SP 800-53 Rev. 5 AC-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1031 - 職責分離 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1032 - 職責分離 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1033 - 職責分離 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| 應將一個以上的擁有者指派給您的訂用帳戶 | 建議指定多位訂用帳戶擁有者，如此才能設定系統管理員存取備援。 | AuditIfNotExists, Disabled | 3.0.0 |
最小特殊權限
識別碼：NIST SP 800-53 Rev. 5 AC-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對您的訂用帳戶指定最多 3 位擁有者 | 建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。 | AuditIfNotExists, Disabled | 3.0.0 |
| 稽核自訂 RBAC 角色的使用方式 | 稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化 | Audit, Disabled | 1.0.1 |
| Microsoft 管理控制項 1034 - 最低權限 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
授權存取安全性功能
識別碼：NIST SP 800-53 Rev. 5 AC-6 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1035 - 最低權限 | 授權存取安全性函式 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
對非安全性功能進行不具特殊權限的存取
識別碼：NIST SP 800-53 Rev. 5 AC-6 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1036 - 最低權限 | 非安全性功能的不具特殊權限存取權 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
對具特殊權限的命令進行網路存取
識別碼：NIST SP 800-53 Rev. 5 AC-6 (3) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1037 - 最低權限 | 網路存取具有特殊權限的命令 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
具特殊權限的帳戶
識別碼：NIST SP 800-53 Rev. 5 AC-6 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1038 - 最低權限 | 具有特殊權限的帳戶 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
對於使用者權限的檢閱
識別碼：NIST SP 800-53 Rev. 5 AC-6 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對您的訂用帳戶指定最多 3 位擁有者 | 建議您最多指定 3 位訂用帳戶擁有者，以降低遭入侵擁有者導致資料外洩的可能。 | AuditIfNotExists, Disabled | 3.0.0 |
| 稽核自訂 RBAC 角色的使用方式 | 稽核內建角色，例如「擁有者、參與者、讀取者」，而不是自訂的 RBAC 角色，這些角色容易發生錯誤。 使用自訂角色會視為例外狀況，而且需要嚴格審查和威脅模型化 | Audit, Disabled | 1.0.1 |
| Microsoft 管理控制項 1040 - 最低權限 | 檢閱使用者權限 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1040 - 最低權限 | 檢閱使用者權限 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
適用於程式碼執行的權限層級
識別碼：NIST SP 800-53 Rev. 5 AC-6 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1041 - 最低權限 | 程式碼執行的權限層級 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
記錄特殊權限函式的使用
識別碼：NIST SP 800-53 Rev. 5 AC-6 (9) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1042 - 最低權限 | 稽核具有特殊權限的函式使用 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
禁止不具特殊權限的使用者執行具特殊權限的函式
識別碼：NIST SP 800-53 Rev. 5 AC-6 (10) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1043 - 最低權限 | 禁止不具特殊權限使用者執行具有特殊權限的函式 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
不成功的登入嘗試
識別碼：NIST SP 800-53 Rev. 5 AC-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1044 - 不成功的登入嘗試 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1045 - 不成功的登入嘗試 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
清除或抹去行動裝置
識別碼：NIST SP 800-53 Rev. 5 AC-7 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1046 - 登入嘗試失敗| 清除/抹除行動裝置 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
系統使用通知
識別碼：NIST SP 800-53 Rev. 5 AC-8 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1047 - 系統使用通知 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1048 - 系統使用通知 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1049 - 系統使用通知 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
並行工作階段控制項
識別碼：NIST SP 800-53 Rev. 5 AC-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1050 - 並行工作階段控制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
裝置鎖定
識別碼：NIST SP 800-53 Rev. 5 AC-11 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1051 - 工作階段鎖定 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1052 - 工作階段鎖定 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
隱藏模式顯示
識別碼：NIST SP 800-53 Rev. 5 AC-11 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1053 - 工作階段鎖定 | 模式隱藏顯示 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
工作階段終止
識別碼：NIST SP 800-53 Rev. 5 AC-12 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1054 - 工作階段終止 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
使用者起始的登出
識別碼：NIST SP 800-53 Rev. 5 AC-12 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1055 - 工作階段終止 | 使用者起始登出/訊息顯示 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1056 - 工作階段終止 | 使用者起始登出/訊息顯示 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
已允許動作，而不需要識別或驗證
識別碼：NIST SP 800-53 Rev. 5 AC-14 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1057 - 已允許動作，而不需要識別或驗證 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1058 - 已允許動作，而不需要識別或驗證 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
安全性和隱私權屬性
識別碼：NIST SP 800-53 Rev. 5 AC-16 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
遠端存取
識別碼：NIST SP 800-53 Rev. 5 AC-17 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已被取代]: Azure 認知搜尋服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Disabled | 1.0.1-deprecated |
| [已被取代]：認知服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。 | Audit, Disabled | 3.0.1-deprecated |
| 在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 應用程式設定應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。 | AuditIfNotExists, Disabled | 1.0.2 |
| App Service 應用程式應關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| 稽核允許不使用密碼從帳戶遠端連線的 Linux 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果允許不使用密碼從帳戶遠端連線的 Linux 電腦，則電腦不相容 | AuditIfNotExists, Disabled | 1.4.0 |
| Azure Cache for Redis 應使用私人連結 | 私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 認知搜尋服務應使用支援私人連結的 SKU | 使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Data Factory 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 事件方格網域應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 事件方格主題應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 檔案同步應使用私人連結 | 為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Machine Learning 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | Audit, Disabled | 1.0.0 |
| Azure 服務匯流排命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。 | Audit, Disabled | 1.0.0 |
| Azure Synapse 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。 | Audit, Disabled | 1.0.1 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| CosmosDB 帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | Audit, Disabled | 1.0.0 |
| 部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派 | 此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.4.0 |
| 在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派 | 此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.2.0 |
| 磁碟存取資源應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。 | AuditIfNotExists, Disabled | 1.0.0 |
| 事件中樞命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式應關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| IoT 中樞裝置佈建服務執行個體應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。 | Audit, Disabled | 1.0.0 |
| Microsoft 管理控制項 1059 - 遠端存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1060 - 遠端存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| 應對 Azure SQL Database 啟用私人端點連線 | 私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。 | Audit, Disabled | 1.1.0 |
| 儲存體帳戶應限制網路存取 | 應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍 | Audit, Deny, Disabled | 1.1.1 |
| 儲存體帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview | AuditIfNotExists, Disabled | 2.0.0 |
監視與控制
識別碼：NIST SP 800-53 Rev. 5 AC-17 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已被取代]: Azure 認知搜尋服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Disabled | 1.0.1-deprecated |
| [已被取代]：認知服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。 | Audit, Disabled | 3.0.1-deprecated |
| 在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 應用程式設定應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。 | AuditIfNotExists, Disabled | 1.0.2 |
| App Service 應用程式應關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| 稽核允許不使用密碼從帳戶遠端連線的 Linux 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果允許不使用密碼從帳戶遠端連線的 Linux 電腦，則電腦不相容 | AuditIfNotExists, Disabled | 1.4.0 |
| Azure Cache for Redis 應使用私人連結 | 私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 認知搜尋服務應使用支援私人連結的 SKU | 使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Data Factory 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 事件方格網域應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 事件方格主題應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 檔案同步應使用私人連結 | 為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Machine Learning 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | Audit, Disabled | 1.0.0 |
| Azure 服務匯流排命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。 | Audit, Disabled | 1.0.0 |
| Azure Synapse 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。 | Audit, Disabled | 1.0.1 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| CosmosDB 帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | Audit, Disabled | 1.0.0 |
| 部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派 | 此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.4.0 |
| 在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派 | 此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.2.0 |
| 磁碟存取資源應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。 | AuditIfNotExists, Disabled | 1.0.0 |
| 事件中樞命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式應關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| IoT 中樞裝置佈建服務執行個體應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。 | Audit, Disabled | 1.0.0 |
| Microsoft 管理控制項 1061 - 遠端存取 | 自動化監視/控制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| 應對 Azure SQL Database 啟用私人端點連線 | 私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。 | Audit, Disabled | 1.1.0 |
| 儲存體帳戶應限制網路存取 | 應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍 | Audit, Deny, Disabled | 1.1.1 |
| 儲存體帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview | AuditIfNotExists, Disabled | 2.0.0 |
使用加密保護機密性及完整性
識別碼：NIST SP 800-53 Rev. 5 AC-17 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1062 - 遠端存取 | 使用加密保護機密性/完整性 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
受控存取控制點
識別碼：NIST SP 800-53 Rev. 5 AC-17 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1063 - 遠端存取 | 受控存取控制點 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
特殊權限命令及存取
識別碼：NIST SP 800-53 Rev. 5 AC-17 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1065 - 遠端存取 | 具有特殊權限的命令/存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1065 - 遠端存取 | 具有特殊權限的命令/存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
中斷連線或停用存取
識別碼：NIST SP 800-53 Rev. 5 AC-17 (9) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1066 - 遠端存取 | 中斷連線/停用存取 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
無線存取
識別碼：NIST SP 800-53 Rev. 5 AC-18 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1067 - 無線存取限制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1068 - 無線存取限制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
驗證和加密
識別碼：NIST SP 800-53 Rev. 5 AC-18 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1069 - 無線存取限制 | 驗證和加密 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
停用無線網路
識別碼：NIST SP 800-53 Rev. 5 AC-18 (3) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1070 - 無線存取限制 | 停用無線網路 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
依使用者限制設定
識別碼：NIST SP 800-53 Rev. 5 AC-18 (4) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1071 - 無線存取限制 | 依使用者限制設定 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
天線及傳輸電源層級
識別碼：NIST SP 800-53 Rev. 5 AC-18 (5) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1072 - 無線存取限制 | 天線/傳輸功率層級 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
適用於行動裝置的存取控制措施
識別碼：NIST SP 800-53 Rev. 5 AC-19 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1073 - 適用於可攜式和行動系統的存取控制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1074 - 適用於可攜式和行動系統的存取控制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
完整裝置或容器型加密
識別碼：NIST SP 800-53 Rev. 5 AC-19 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1075 - 可攜式和行動系統的存取控制 | 完整裝置/容器型加密 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
外部系統的使用
識別碼：NIST SP 800-53 Rev. 5 AC-20 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1076 - 使用外部資訊系統 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1077 - 使用外部資訊系統 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
授權使用的限制
識別碼：NIST SP 800-53 Rev. 5 AC-20 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1078 - 使用外部資訊系統 | 授權使用的限制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1079 - 使用外部資訊系統 | 授權使用的限制 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
可攜式儲存裝置 限制的使用
識別碼：NIST SP 800-53 Rev. 5 AC-20 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1080 - 使用外部資訊系統 | 可攜式儲存裝置 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
資訊共用
識別碼：NIST SP 800-53 Rev. 5 AC-21 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1081 - 資訊共用 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1082 - 資訊共用 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
可公開存取的內容
識別碼：NIST SP 800-53 Rev. 5 AC-22 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1083 - 可公開存取的內容 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1084 - 可公開存取的內容 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1085 - 可公開存取的內容 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1086 - 可公開存取的內容 | Microsoft 會實作此存取控制控制項 | 稽核 | 1.0.0 |
認知和訓練
原則和程序
識別碼：NIST SP 800-53 Rev. 5 AT-1 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1087 - 安全性意識與訓練原則和程序 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1088 - 安全性意識與訓練原則和程序 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
讀寫訓練與認知
識別碼：NIST SP 800-53 Rev. 5 AT-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1089 - 安全性意識 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1090 - 安全性意識 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1091 - 安全性意識 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
內部威脅
識別碼：NIST SP 800-53 Rev. 5 AT-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1092 - 安全性意識 | 內部威脅 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
角色訓練
識別碼：NIST SP 800-53 Rev. 5 AT-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1093 - 角色型安全性訓練 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1094 - 角色型安全性訓練 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1095 - 角色型安全性訓練 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
實務練習
識別碼：NIST SP 800-53 Rev. 5 AT-3 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1096 - 角色型安全性訓練 | 實務練習 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
訓練記錄
識別碼：NIST SP 800-53 Rev. 5 AT-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1098 - 安全性訓練記錄 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1099 - 安全性訓練記錄 | Microsoft 會實作此認知和訓練控制項 | 稽核 | 1.0.0 |
稽核和責任
原則和程序
識別碼：NIST SP 800-53 Rev. 5 AU-1 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1100 - 稽核和權責原則與程序 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1101 - 稽核和權責原則與程序 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
事件記錄
識別碼：NIST SP 800-53 Rev. 5 AU-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1102 - 稽核事件 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1103 - 稽核事件 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1104 - 稽核事件 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1105 - 稽核事件 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1106 - 稽核事件 | 檢閱和更新 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
稽核記錄的內容
識別碼：NIST SP 800-53 Rev. 5 AU-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1107 - 稽核記錄的內容 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
其他稽核資訊
識別碼：NIST SP 800-53 Rev. 5 AU-3 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1108 - 稽核記錄的內容 | 其他稽核資訊 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
稽核記錄儲存容量
識別碼：NIST SP 800-53 Rev. 5 AU-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1110 - 稽核儲存體容量 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
回應稽核記錄程式失敗
識別碼：NIST SP 800-53 Rev. 5 AU-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1111 - 回應稽核處理失敗 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1112 - 回應稽核處理失敗 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
儲存容量警告
識別碼：NIST SP 800-53 Rev. 5 AU-5 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1113 - 回應稽核處理失敗 | 稽核儲存體容量 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
即時警示
識別碼：NIST SP 800-53 Rev. 5 AU-5 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1114 - 回應稽核處理失敗 | 即時警示 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
稽核記錄檢閱、分析及報告
識別碼：NIST SP 800-53 Rev. 5 AU-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1115 - 稽核檢閱、分析和報告 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1116 - 稽核檢閱、分析和報告 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1123 - 稽核檢閱、分析和報告 | 稽核層級調整 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
自動化程式整合
識別碼：NIST SP 800-53 Rev. 5 AU-6 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1117 - 稽核檢閱、分析和報告 | 程序整合 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
關聯稽核記錄存放庫
識別碼：NIST SP 800-53 Rev. 5 AU-6 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1118 - 稽核檢閱、分析和報告 | 將稽核存放庫相互關聯 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
集中式檢閱與分析
識別碼：NIST SP 800-53 Rev. 5 AU-6 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| App Service 應用程式應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 2.0.1 |
| 應啟用 SQL 伺服器上的稽核 | 應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應在您的電腦上安裝來賓設定延伸模組 | 若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1119 - 稽核檢閱、分析和報告 | 集中檢閱與分析 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應啟用 Azure Data Lake Store 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Azure 串流分析中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Batch 帳戶中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Data Lake Analytics 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用事件中樞內的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Key Vault 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Logic Apps 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.1.0 |
| 應啟用搜尋服務中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用服務匯流排中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組 | 來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol | AuditIfNotExists, Disabled | 1.0.1 |
稽核記錄的整合式分析
識別碼：NIST SP 800-53 Rev. 5 AU-6 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| App Service 應用程式應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 2.0.1 |
| 應啟用 SQL 伺服器上的稽核 | 應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應在您的電腦上安裝來賓設定延伸模組 | 若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1120 - 稽核檢閱、分析和報告 | 整合/掃描和監視功能 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應啟用 Azure Data Lake Store 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Azure 串流分析中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Batch 帳戶中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Data Lake Analytics 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用事件中樞內的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Key Vault 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Logic Apps 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.1.0 |
| 應啟用搜尋服務中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用服務匯流排中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組 | 來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol | AuditIfNotExists, Disabled | 1.0.1 |
與實體監視相互關聯
識別碼：NIST SP 800-53 Rev. 5 AU-6 (6) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1121 - 稽核檢閱、分析和報告 | 與實體監視相互關聯 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
允許的動作
識別碼：NIST SP 800-53 Rev. 5 AU-6 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1122 - 稽核檢閱、分析和報告 | 允許的動作 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
稽核記錄減少與報告產生
識別碼：NIST SP 800-53 Rev. 5 AU-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1124 - 縮減稽核與產生報告 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1125 - 縮減稽核與產生報告 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
自動化處理
識別碼：NIST SP 800-53 Rev. 5 AU-7 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1126 - 縮減稽核與產生報告 | 自動化程序 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
時間戳記
識別碼：NIST SP 800-53 Rev. 5 AU-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1127 - 時間戳記 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1128 - 時間戳記 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
保護稽核資訊
識別碼：NIST SP 800-53 Rev. 5 AU-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1131 - 保護稽核資訊 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
儲存在個別實體系統或元件上
識別碼：NIST SP 800-53 Rev. 5 AU-9 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1132 - 保護稽核資訊 | 在不同的實體系統/元件上稽核備份 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
密碼編譯保護
識別碼：NIST SP 800-53 Rev. 5 AU-9 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1133 - 保護稽核資訊 | 密碼編譯保護 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
以特殊權限使用者子集存取
識別碼：NIST SP 800-53 Rev. 5 AU-9 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1134 - 保護稽核資訊 | 由具特殊權限的使用者子集存取 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
不可否認性
識別碼：NIST SP 800-53 Rev. 5 AU-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1135 - 不可否認性 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
保留稽核記錄
識別碼：NIST SP 800-53 Rev. 5 AU-11 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1136 - 稽核記錄保留 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 對儲存體帳戶目的地進行稽核的 SQL 伺服器保留期應設定為 90 天 (含) 以上 | 為了進行事件調查，建議您將 SQL Server 稽核儲存體帳戶目的地的資料保留設定為至少 90 天。 確認您符合您正在操作區域所需的保留規則。 有時候必須如此才能符合法規標準。 | AuditIfNotExists, Disabled | 3.0.0 |
稽核記錄產生
識別碼：NIST SP 800-53 Rev. 5 AU-12 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| App Service 應用程式應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 2.0.1 |
| 應啟用 SQL 伺服器上的稽核 | 應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應在您的電腦上安裝來賓設定延伸模組 | 若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1137 - 稽核產生 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1138 - 稽核產生 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1139 - 稽核產生 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應啟用 Azure Data Lake Store 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Azure 串流分析中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Batch 帳戶中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Data Lake Analytics 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用事件中樞內的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Key Vault 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Logic Apps 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.1.0 |
| 應啟用搜尋服務中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用服務匯流排中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組 | 來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol | AuditIfNotExists, Disabled | 1.0.1 |
全系統及時間相互關聯的稽核線索
識別碼：NIST SP 800-53 Rev. 5 AU-12 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| App Service 應用程式應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 2.0.1 |
| 應啟用 SQL 伺服器上的稽核 | 應在 SQL Server 上啟用稽核，以追蹤伺服器上所有資料庫的活動，並儲存在稽核記錄中。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應在您的電腦上安裝來賓設定延伸模組 | 若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理的控制措施 1140 - 稽核產生 | 全系統/時間相互關聯的稽核線索 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應啟用 Azure Data Lake Store 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Azure 串流分析中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Batch 帳戶中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Data Lake Analytics 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用事件中樞內的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Key Vault 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用 Logic Apps 中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.1.0 |
| 應啟用搜尋服務中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應啟用服務匯流排中的資源記錄 | 稽核資源記錄的啟用。 這可讓您在發生安全性事件或網路遭到損害時，重新建立活動線索以供調查之用 | AuditIfNotExists, Disabled | 5.0.0 |
| 應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組 | 來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol | AuditIfNotExists, Disabled | 1.0.1 |
已授權的個人所做的變更
識別碼：NIST SP 800-53 Rev. 5 AU-12 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1141 - 稽核產生 | 已獲授權的人員所做的變更 | Microsoft 會實作此稽核和責任控制項 | 稽核 | 1.0.0 |
評定、授權及監視
原則和程序
識別碼：NIST SP 800-53 Rev. 5 CA-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1142 - 認證、授權、安全性評定原則和序 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1143 - 認證、授權、安全性評定原則和序 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
控制評定
識別碼：NIST SP 800-53 Rev. 5 CA-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1144 - 安全性評定 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1145 - 安全性評定 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1146 - 安全性評定 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1147 - 安全性評定 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
獨立評估者
識別碼：NIST SP 800-53 Rev. 5 CA-2 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1148 - 安全性評定 | 獨立評定者 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
專業評定
識別碼：NIST SP 800-53 Rev. 5 CA-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1149 - 安全性評定 | 特製化評定 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
利用外部組織的結果
識別碼：NIST SP 800-53 Rev. 5 CA-2 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1150 - 安全性評定 | 外部組織 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
資訊交換
識別碼：NIST SP 800-53 Rev. 5 CA-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1151 - 系統相互連線 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1152 - 系統相互連線 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1153 - 系統相互連線 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
動作計畫和里程碑
識別碼：NIST SP 800-53 Rev. 5 CA-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1156 - 動作計劃和里程碑 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1157 - 動作計劃和里程碑 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
授權
識別碼：NIST SP 800-53 Rev. 5 CA-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1158 - 安全性授權 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1159 - 安全性授權 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1160 - 安全性授權 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
持續監視
識別碼：NIST SP 800-53 Rev. 5 CA-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1161 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1162 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1163 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1164 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1165 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1166 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1167 - 連續監視 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
獨立評量
識別碼：NIST SP 800-53 Rev. 5 CA-7 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1168 - 連續監視 | 獨立評量 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
趨勢分析
識別碼：NIST SP 800-53 Rev. 5 CA-7 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1169 - 連續監視 | 趨勢分析 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
滲透測試
識別碼：NIST SP 800-53 Rev. 5 CA-8 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1170 - 滲透測試 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
獨立滲透測試代理程式或小組
識別碼：NIST SP 800-53 Rev. 5 CA-8 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1171 - 滲透測試 | 獨立滲透代理人或小組 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
內部系統連線
識別碼：NIST SP 800-53 Rev. 5 CA-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1172 - 內部系統連線 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1173 - 內部系統連線 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
組態管理
原則和程序
識別碼：NIST SP 800-53 Rev. 5 CM-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1174 - 組態管理原則和程序 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1175 - 組態管理原則和程序 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
基準組態
識別碼：NIST SP 800-53 Rev. 5 CM-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1176 - 基準組態 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1177 - 基準組態 | 檢閱和更新 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1178 - 基準組態 | 檢閱和更新 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1179 - 基準組態 | 檢閱和更新 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
自動化精確度及貨幣的支援
識別碼：NIST SP 800-53 Rev. 5 CM-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1180 - 基準組態 | 正確性/流通性的自動化支援 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
保留先前設定
識別碼：NIST SP 800-53 Rev. 5 CM-2 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1181 - 基準組態 | 先前組態的保留 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
設定高風險領域的系統和元件
識別碼：NIST SP 800-53 Rev. 5 CM-2 (7) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1182 - 基準組態 | 設定高風險區域的系統、元件或裝置 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1183 - 基準組態 | 設定高風險區域的系統、元件或裝置 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
組態變更控制措施
識別碼：NIST SP 800-53 Rev. 5 CM-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1184 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1185 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1186 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1187 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1188 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1189 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1190 - 組態變更控制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
自動化文件、通知和變更的修訂
識別碼：NIST SP 800-53 Rev. 5 CM-3 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1191 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1192 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1193 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1194 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1195 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1196 - 組態變更控制 | 自動化記載/通知/禁止變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
變更的測試、驗證及文件
識別碼：NIST SP 800-53 Rev. 5 CM-3 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1197 - 組態變更控制 | 測試/驗證/文件變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
安全性與隱私權代表
識別碼：NIST SP 800-53 Rev. 5 CM-3 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1198 - 組態變更控制 | 安全性代表 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
加密管理
識別碼：NIST SP 800-53 Rev. 5 CM-3 (6) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1199 - 組態變更控制 | 密碼編譯管理 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
影響分析
識別碼：NIST SP 800-53 Rev. 5 CM-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1200 - 安全性影響分析 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
個別測試環境
識別碼：NIST SP 800-53 Rev. 5 CM-4 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1201 - 安全性影響分析 | 個別的測試環境 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
變更的存取限制
識別碼：NIST SP 800-53 Rev. 5 CM-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1202 - 變更的存取限制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
自動化存取強制執行和稽核記錄
識別碼：NIST SP 800-53 Rev. 5 CM-5 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1203 - 變更的存取限制 | 自動化存取強制執行/稽核 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
實際執行環境與作業的權限限制
識別碼：NIST SP 800-53 Rev. 5 CM-5 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1206 - 變更的存取限制 | 限制生產環境/操作權限 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1207 - 變更的存取限制 | 限制生產環境/操作權限 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
組態設定
識別碼：NIST SP 800-53 Rev. 5 CM-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已取代]：函式應用程式應啟用「用戶端憑證 (傳入用戶端憑證)」 | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則已由相同名稱的新原則取代，因為 HTTP 2.0 不支援用戶端憑證。 | Audit, Disabled | 3.1.0-deprecated |
| App Service 應用程式應啟用「用戶端憑證 (傳入用戶端憑證)」 | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 HTTP 版本設定為 1.1 的應用程式。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| App Service 應用程式不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。 | AuditIfNotExists, Disabled | 2.0.0 |
| 您的叢集應安裝及啟用適用於 Kubernetes Service (AKS) 的 Azure 原則附加元件 | 適用於 Kubernetes Service (AKS) 的 Azure 原則附加元件是 Gatekeeper v3 (Gatekeeper v3 是開放原則代理程式 (OPA) 的許可控制器 Webhook) 的延伸，可以統一集中的方式，大規模地對您的叢集實施及施行保護。 | Audit, Disabled | 1.0.2 |
| 函數應用程式應關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| 函數應用程式不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取函式應用程式。 請只允許必要網域與您的函式應用程式互動。 | AuditIfNotExists, Disabled | 2.0.0 |
| 容器 CPU 及記憶體資源限制不應超過 Kubernetes 叢集內指定的限制 | 強制執行容器 CPU 和記憶體資源限制，以防止 Kubernetes 叢集內的資源耗盡攻擊。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | |
| Kubernetes 叢集中的容器不得共用主機處理序識別碼或主機 IPC 命名空間 | 禁止 Kubernetes 叢集內的 Pod 容器，共用主機處理序識別碼命名空間與主機 IPC 命名空間。 這項建議是 CIS 5.2.2 和 CIS 5.2.3 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 6.1.0 |
| Kubernetes 叢集中的容器只能使用允許的 AppArmor 設定檔 | Kubernetes 叢集內的容器應該只使用允許的 AppArmor 設定檔。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.1 |
| Kubernetes 叢集中的容器只能使用允許的功能 | 限制功能以減少 Kubernetes 叢集內容器的受攻擊面。 這項建議是 CIS 5.2.8 和 CIS 5.2.9 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.0 |
| Kubernetes 叢集容器應該只使用允許的映像檔 | 使用來自受信任登錄的映像，以減少 Kubernetes 叢集暴露在未知弱點、安全性問題和惡意映像的風險。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | |
| Kubernetes 叢集中的容器應使用唯讀的根檔案系統執行 | 使用唯讀根檔案系統執行容器，以防止在執行階段發生變更，讓惡意二進位檔新增至 Kubernetes 叢集的 PATH 中。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.0 |
| Kubernetes 叢集中的 Pod hostPath 磁碟區只能使用允許的主機路徑 | 限制 Pod HostPath 磁碟區裝載到 Kubernetes 叢集內允許的主機路徑。 這個原則通常適合 Kubernetes 服務 (AKS)，以及啟用 Azure Arc 的 Kubernetes。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.1 |
| Kubernetes 叢集中的 Pod 及容器只能使用核准的使用者與群組識別碼執行 | 控制 Pod 及容器可用來在 Kubernetes 叢集內執行的使用者、主要群組、增補群組與檔案系統群組識別碼。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.1 |
| Kubernetes 叢集中的 Pod 只能使用核准的主機網路及連接埠範圍 | 限制 Pod 存取 Kubernetes 叢集中的主機網路與允許的主機連接埠範圍。 這項建議是 CIS 5.2.4 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 7.1.0 |
| 確保服務只會接聽 Kubernetes 叢集內允許的連接埠 | 限制服務只會接聽允許的連接埠，以保護 Kubernetes 叢集的存取權。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 9.1.0 |
| 在 Kubernetes 叢集內不應允許具有特殊權限的容器 | 請勿允許在 Kubernetes 叢集內建立具有特殊權限的容器。 這項建議是 CIS 5.2.1 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 10.1.0 |
| Kubernetes 叢集不應允許容器提升權限 | 請勿允許容器在 Kubernetes 叢集內以提升的根權限來執行。 這項建議是 CIS 5.2.5 的一部分，旨在改善 Kubernetes 環境的安全性。 這個原則通常適合已啟用 Azure Arc 的 Kubernetes 服務 (AKS) 和預覽版。 如需詳細資訊，請參閱https://aka.ms/kubepolicydoc。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 8.1.0 |
| Linux 機器應符合 Azure 計算安全性基準的需求 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果電腦未針對 Azure 計算安全性基準中的其中一項建議正確設定，則電腦不符合規範。 | AuditIfNotExists, Disabled | 1.5.0 |
| Microsoft 管理控制項 1208 - 組態設定 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1209 - 組態設定 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1210 - 組態設定 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1211 - 組態設定 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Windows 機器應符合 Azure 計算安全性基準的需求 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果電腦未針對 Azure 計算安全性基準中的其中一項建議正確設定，則電腦不符合規範。 | AuditIfNotExists, Disabled | 1.0.0 |
自動化管理、應用程式和驗證
識別碼：NIST SP 800-53 Rev. 5 CM-6 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1212 - 組態設定 | 自動化中央管理/應用程式/驗證 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
回應未經授權的變更
識別碼：NIST SP 800-53 Rev. 5 CM-6 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1213 - 組態設定 | 回應未經授權的變更 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
最少的功能
識別碼：NIST SP 800-53 Rev. 5 CM-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| Microsoft 管理控制項 1214 - 最少的功能 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1215 - 最少的功能 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
定期檢閱
識別碼：NIST SP 800-53 Rev. 5 CM-7 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1216 - 最少的功能 | 定期檢閱 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1217 - 最少的功能 | 定期檢閱 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
防止程式執行
識別碼：NIST SP 800-53 Rev. 5 CM-7 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1218 - 最少的功能 | 防止程式執行 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
授權的軟體 ？？？ 例外狀況時允許
識別碼：NIST SP 800-53 Rev. 5 CM-7 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1219 - 最少的功能 | 已授權的軟體/加入允許名單 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1220 - 最少的功能 | 已授權的軟體/加入允許名單 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1221 - 最少的功能 | 已授權的軟體/加入允許名單 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
系統元件清查
識別碼：NIST SP 800-53 Rev. 5 CM-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1222 - 資訊系統元件詳細目錄 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1223 - 資訊系統元件詳細目錄 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1229 - 資訊系統元件詳細目錄 | 無重複的元件記述 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
安裝與移除期間的更新
識別碼：NIST SP 800-53 Rev. 5 CM-8 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1224 - 資訊系統元件詳細目錄 | 安裝/移除時的更新 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
自動化維護
識別碼：NIST SP 800-53 Rev. 5 CM-8 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1225 - 資訊系統元件詳細目錄 | 自動化維護 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
自動化未經授權元件偵測
識別碼：NIST SP 800-53 Rev. 5 CM-8 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1226 - 資訊系統元件詳細目錄 | 自動化的未經授權元件偵測 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1227 - 資訊系統元件詳細目錄 | 自動化的未經授權元件偵測 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1241 - 使用者安裝的軟體 | 未經授權安裝的警示 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
責任資訊
識別碼：NIST SP 800-53 Rev. 5 CM-8 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1228 - 資訊系統元件詳細目錄 | 責任資訊 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
組態管理計畫
識別碼：NIST SP 800-53 Rev. 5 CM-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1230 - 組態管理計劃 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1231 - 組態管理計劃 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1232 - 組態管理計劃 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1233 - 組態管理計劃 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
軟體使用限制
識別碼：NIST SP 800-53 Rev. 5 CM-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1234 - 軟體使用限制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1235 - 軟體使用限制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1236 - 軟體使用限制 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
開放原始碼軟體
識別碼：NIST SP 800-53 Rev. 5 CM-10 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1237 - 軟體使用限制 | 開放原始碼軟體 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
使用者安裝的軟體
識別碼：NIST SP 800-53 Rev. 5 CM-11 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1238 - 使用者安裝的軟體 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1239 - 使用者安裝的軟體 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1240 - 使用者安裝的軟體 | Microsoft 會實作此組態管理控制項 | 稽核 | 1.0.0 |
應變計劃
原則和程序
識別碼：NIST SP 800-53 Rev. 5 CP-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1242 - 應變計劃原則和程序 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1243 - 應變計劃原則和程序 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
應變計劃
識別碼：NIST SP 800-53 Rev. 5 CP-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1244 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1245 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1246 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1247 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1248 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1249 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1250 - 應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
協調相關計劃
識別碼：NIST SP 800-53 Rev. 5 CP-2 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1251 - 應變計劃 | 協調相關計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
容量規劃
識別碼：NIST SP 800-53 Rev. 5 CP-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1252 - 應變計劃 | 容量計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
繼續任務和商務功能
識別碼：NIST SP 800-53 Rev. 5 CP-2 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1253 - 應變計劃 | 恢復基本任務/企業功能 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1254 - 應變計劃 | 恢復所有任務/企業功能 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
繼續任務和商務功能
識別碼：NIST SP 800-53 Rev. 5 CP-2 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1255 - 應變計劃 | 繼續基本任務/企業功能 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
識別關鍵資產
識別碼：NIST SP 800-53 Rev. 5 CP-2 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1256 - 應變計劃 | 識別重要資產 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
應變訓練
識別碼：NIST SP 800-53 Rev. 5 CP-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1257 - 應變訓練 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1258 - 應變訓練 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1259 - 應變訓練 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
模擬的事件
識別碼：NIST SP 800-53 Rev. 5 CP-3 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1260 - 應變訓練 | 模擬的事件 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
應變計劃測試
識別碼：NIST SP 800-53 Rev. 5 CP-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1261 - 應變計劃測試 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1262 - 應變計劃測試 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1263 - 應變計劃測試 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
協調相關計劃
識別碼：NIST SP 800-53 Rev. 5 CP-4 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1264 - 應變計劃測試 | 協調相關計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
替代處理地點
識別碼：NIST SP 800-53 Rev. 5 CP-4 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1265 - 應變計劃測試 | 替代處理地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1266 - 應變計劃測試 | 替代處理地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
替代儲存地點
識別碼：NIST SP 800-53 Rev. 5 CP-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份 | 適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份 | 適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份 | 適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為儲存體帳戶啟用異地備援儲存體 | 使用異地備援、建立高可用性的應用程式 | Audit, Disabled | 1.0.0 |
| 應為 Azure SQL Database 啟用長期異地備援備份 | 此原則會稽核所有未啟用長期異地備援備份的 Azure SQL Database。 | AuditIfNotExists, Disabled | 2.0.0 |
| Microsoft 管理控制項 1267 - 替代儲存地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1268 - 替代儲存地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
與主要站台的區隔
識別碼：NIST SP 800-53 Rev. 5 CP-6 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份 | 適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份 | 適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份 | 適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為儲存體帳戶啟用異地備援儲存體 | 使用異地備援、建立高可用性的應用程式 | Audit, Disabled | 1.0.0 |
| 應為 Azure SQL Database 啟用長期異地備援備份 | 此原則會稽核所有未啟用長期異地備援備份的 Azure SQL Database。 | AuditIfNotExists, Disabled | 2.0.0 |
| Microsoft 管理控制項 1269 - 替代儲存地點 | 與主要地點隔離 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
復原時間和復原點目標
識別碼：NIST SP 800-53 Rev. 5 CP-6 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1270 - 替代儲存地點 | 復原時間/點目標 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
協助工具選項
識別碼：NIST SP 800-53 Rev. 5 CP-6 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1271 - 替代儲存地點 | 協助工具 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
替代處理地點
識別碼：NIST SP 800-53 Rev. 5 CP-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 稽核未設定災害復原的虛擬機器 | 稽核未設定災害復原的虛擬機器。 若要深入了解災害復原，請造訪 https://aka.ms/asr-doc。 | auditIfNotExists | 1.0.0 |
| Microsoft 管理控制項 1272 - 替代處理地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1273 - 替代處理地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1274 - 替代處理地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
與主要站台的區隔
識別碼：NIST SP 800-53 Rev. 5 CP-7 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1275 - 替代處理地點 | 與主要站台的區隔 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
協助工具選項
識別碼：NIST SP 800-53 Rev. 5 CP-7 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1276 - 替代處理地點 | 協助工具 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
服務優先順序
識別碼：NIST SP 800-53 Rev. 5 CP-7 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1277 - 替代處理地點 | 服務優先順序 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
準備使用
識別碼：NIST SP 800-53 Rev. 5 CP-7 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1278 - 替代處理地點 | 準備使用 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
電信服務
識別碼：NIST SP 800-53 Rev. 5 CP-8 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1279 - 電信服務 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
服務佈建優先順序
識別碼：NIST SP 800-53 Rev. 5 CP-8 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1280 - 電信服務 | 服務佈建優先順序 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1281 - 電信服務 | 服務佈建優先順序 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
單一失敗點
識別碼：NIST SP 800-53 Rev. 5 CP-8 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1282 - 電信服務 | 單一失敗點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
主要及替代提供者的隔離
識別碼：NIST SP 800-53 Rev. 5 CP-8 (3) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1283 - 電信服務 | 隔離主要/替代提供者 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
提供者應變計劃
識別碼：NIST SP 800-53 Rev. 5 CP-8 (4) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1284 - 電信服務 | 提供者應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1285 - 電信服務 | 提供者應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1286 - 電信服務 | 提供者應變計劃 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
系統備份
識別碼：NIST SP 800-53 Rev. 5 CP-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應該為虛擬機器啟用 Azure 備份 | 藉由啟用 Azure 備份，確保您的 Azure 虛擬機器受到保護。 Azure 備份是適用於 Azure 安全且符合成本效益的資料保護解決方案。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應為適用於 MariaDB 的 Azure 資料庫啟用異地備援備份 | 適用於 MariaDB 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 MySQL 的 Azure 資料庫啟用異地備援備份 | 適用於 MySQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 應為適用於 PostgreSQL 的 Azure 資料庫啟用異地備援備份 | 適用於 PostgreSQL 的 Azure 資料庫可讓您為資料庫伺服器選擇備援選項。 可以設定為異地備援備份儲存體，其中的資料不只會儲存在裝載您伺服器的區域內，也會複寫至配對的區域，以在發生區域失敗時提供復原選項。 您只可在伺服器建立期間，為備份設定異地備援儲存體。 | Audit, Disabled | 1.0.1 |
| 金鑰保存庫應啟用刪除保護 | 惡意刪除金鑰保存庫可能會導致永久的資料遺失。 您可以啟用清除保護和虛刪除來防止永久遺失資料。 清除保護可對虛刪除的金鑰保存庫強制執行必要的保留期間，以保護您免於遭受內部攻擊。 您的組織內部人員或 Microsoft 在虛刪除保留期間內都無法清除您的金鑰保存庫。 請記住，在 2019 年 9 月 1 日之後建立的金鑰保存庫依預設會啟用虛刪除。 | Audit, Deny, Disabled | 2.1.0 |
| 金鑰保存庫應已啟用虛刪除 | 刪除未啟用虛刪除的金鑰保存庫時，將會永久刪除儲存在金鑰保存庫中的所有秘密、金鑰和憑證。 意外刪除金鑰保存庫可能會導致永久的資料遺失。 虛刪除可讓您在可設定的保留期間內復原意外刪除的金鑰保存庫。 | Audit, Deny, Disabled | 3.0.0 |
| Microsoft 管理控制項 1287 - 資訊系統備份 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1288 - 資訊系統備份 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1289 - 資訊系統備份 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1290 - 資訊系統備份 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
測試可靠性及完整性
識別碼：NIST SP 800-53 Rev. 5 CP-9 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1291 - 資訊系統備份 | 測試可靠性/完整性 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
使用取樣測試還原
識別碼：NIST SP 800-53 Rev. 5 CP-9 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1292 - 資訊系統備份 | 使用取樣來測試還原 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
分隔關鍵資訊的儲存體
識別碼：NIST SP 800-53 Rev. 5 CP-9 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1293 - 資訊系統備份 | 隔離重要資訊的儲存體 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
傳輸至替代儲存地點
識別碼：NIST SP 800-53 Rev. 5 CP-9 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1294 - 資訊系統備份 | 移轉至替代儲存地點 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
系統復原與重新確認
識別碼：NIST SP 800-53 Rev. 5 CP-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1295 - 資訊系統復原和重建 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
交易復原
識別碼：NIST SP 800-53 Rev. 5 CP-10 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1296 - 資訊系統復原和重建 | 交易復原 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
在時間週期內還原
識別碼：NIST SP 800-53 Rev. 5 CP-10 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1297 - 資訊系統復原和重建 | 在時間週期內還原 | Microsoft 會實作此應變計劃控制項 | 稽核 | 1.0.0 |
驗證與授權
原則和程序
識別碼：NIST SP 800-53 Rev. 5 IA-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1298 - 識別與驗證原則和程序 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1299 - 識別與驗證原則和程序 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
識別與驗證 (組織使用者)
識別碼：NIST SP 800-53 Rev. 5 IA-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 具有 Azure 資源擁有者權限的帳戶應啟用 MFA | 具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 對 Azure 資源具有讀取權限的帳戶應啟用 MFA | 具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源寫入權限的帳戶應啟用 MFA | 具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| 函數應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1300 - 使用者識別與驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
授權帳戶的多重要素驗證
識別碼：NIST SP 800-53 Rev. 5 IA-2 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 具有 Azure 資源擁有者權限的帳戶應啟用 MFA | 具備擁有者權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| 具有 Azure 資源寫入權限的帳戶應啟用 MFA | 具備寫入權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| Microsoft 管理的控制措施 1301 - 使用者識別與驗證 | 對具特殊權限的帳戶進行網路存取 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1303 - 使用者識別與驗證 | 對具特殊權限的帳戶進行本機存取 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
非特殊權限帳戶的多重要素驗證
識別碼：NIST SP 800-53 Rev. 5 IA-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 具有 Azure 資源讀取權限的帳戶應啟用 MFA | 具備讀取權限的所有訂用帳戶，均應啟用多重要素驗證 (MFA)，以避免發生帳戶或資源資料外洩。 | AuditIfNotExists, Disabled | 1.0.0 |
| Microsoft 管理的控制措施 1302 - 使用者識別與驗證 | 對具非特殊權限的帳戶進行網路存取 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1304 - 使用者識別與驗證 | 對具非特殊權限的帳戶進行本機存取 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
使用群組驗證的個別驗證
識別碼：NIST SP 800-53 Rev. 5 IA-2 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1305 - 使用者識別與驗證 | 群組驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
帳戶的存取權 重新執行抵禦
識別碼：NIST SP 800-53 Rev. 5 IA-2 (8) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1306 - 使用者識別與驗證 | 對具特殊權限的帳戶進行網路存取 - 重新執行... | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1307 - 使用者識別與驗證 | 對具非特殊權限的帳戶進行網路存取 - 重新執行... | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
接受 PIV 認證
識別碼：NIST SP 800-53 Rev. 5 IA-2 (12) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1309 - 使用者識別與驗證 | 接受具有特殊權限的認證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
裝置識別與驗證
識別碼：NIST SP 800-53 Rev. 5 IA-3 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1310 - 裝置識別與驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
識別碼管理
識別碼：NIST SP 800-53 Rev. 5 IA-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對 SQL 伺服器佈建 Azure Active Directory 管理員 | 為 SQL Server 稽核 Azure Active Directory 系統管理員的佈建情況，以啟用 Azure AD 驗證。 Azure AD 驗證可針對資料庫使用者及其他 Microsoft 服務，簡化權限管理及集中管理身分識別 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| Azure AI 服務資源應停用金鑰存取 (停用本機驗證) | 建議停用金鑰存取 (本機驗證) 以確保安全性。 通常用於開發/測試的 Azure OpenAI 工作室需要金鑰存取，如果金鑰存取已停用，將無法運作。 停用之後，Microsoft Entra ID 會成為唯一的存取方法，允許維護最低權限準則和細微控制。 深入了解：https://aka.ms/AI/auth | Audit, Deny, Disabled | 1.1.0 |
| 函數應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1311 - 識別碼管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1312 - 識別碼管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1313 - 識別碼管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1314 - 識別碼管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1315 - 識別碼管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應只能使用 Azure Active Directory 進行用戶端驗證 | 稽核 Service Fabric 中僅透過 Azure Active Directory 的用戶端驗證使用方式 | Audit, Deny, Disabled | 1.1.0 |
識別使用者狀態
識別碼：NIST SP 800-53 Rev. 5 IA-4 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1316 - 識別碼管理 | 識別使用者狀態 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
驗證器管理
識別碼：NIST SP 800-53 Rev. 5 IA-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 稽核密碼檔權限未設為 0644 的 Linux 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果密碼檔案權限未設為 0644 的 Linux 電腦，則電腦不相容 | AuditIfNotExists, Disabled | 1.4.0 |
| 稽核未使用可逆加密來儲存密碼的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未使用可逆加密來儲存密碼，則電腦不相容 | AuditIfNotExists, Disabled | 1.0.0 |
| 部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派 | 此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.4.0 |
| 在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派 | 此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.2.0 |
| Microsoft 管理控制項 1317 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1318 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1319 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1320 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1321 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1322 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1323 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1324 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1325 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1326 - 驗證器管理 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
密碼式驗證
識別碼：NIST SP 800-53 Rev. 5 IA-5 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 在沒有任何身分識別的虛擬機器上新增系統指派的受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，但是沒有任何受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 在具有使用者指派身分識別的 VM 上新增系統指派受控識別，以啟用客體設定指派 | 此原則會將系統指派的受控識別新增至 Azure 中裝載的虛擬機器 (受客體設定支援)，而且至少有一個使用者指派的身分識別，但是沒有系統指派的受控識別。 系統指派的受控識別是所有客體設定指派的必要條件，必須先新增到電腦，才能使用任何客體設定原則定義。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | 修改 | 1.3.0 |
| 稽核密碼檔權限未設為 0644 的 Linux 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果密碼檔案權限未設為 0644 的 Linux 電腦，則電腦不相容 | AuditIfNotExists, Disabled | 1.4.0 |
| 稽核允許在指定的唯一密碼數目之後重複使用密碼的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器允許在指定的唯一密碼數目之後重複使用密碼，則機器不符合規範。 唯一密碼的預設值為 24 | AuditIfNotExists, Disabled | 1.1.0 |
| 稽核未將密碼最長有效期設定為指定天數的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼最長有效期設定為指定天數，則機器不符合規範。 密碼最長有效期的預設值為 70 天 | AuditIfNotExists, Disabled | 1.1.0 |
| 稽核未將密碼最短有效期設定為指定天數的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼最短有效期設定為指定天數，則機器不符合規範。 密碼最短有效期的預設值為 1 天 | AuditIfNotExists, Disabled | 1.1.0 |
| 稽核未啟用密碼複雜度設定的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未啟用密碼複雜度設定，則電腦不相容 | AuditIfNotExists, Disabled | 1.0.0 |
| 稽核未將密碼長度下限限制為指定字元數的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 機器未將密碼長度下限限制為指定的字元數，機器就不符合規範。 密碼長度下限的預設值為 14 個字元 | AuditIfNotExists, Disabled | 1.1.0 |
| 稽核未使用可逆加密來儲存密碼的 Windows 電腦 | 需要將必要條件部署至原則指派範圍。 如需詳細資料，請前往 https://aka.ms/gcpol 。 如果 Windows 電腦未使用可逆加密來儲存密碼，則電腦不相容 | AuditIfNotExists, Disabled | 1.0.0 |
| 部署 Linux 來賓設定延伸模組，以在 Linux 虛擬機器上啟用來賓設定指派 | 此原則會將受客體設定支援的 Linux 客體設定延伸模組部署至裝載於 Azure 的 Linux 虛擬機器主機。 Linux 客體設定延伸模組是所有 Linux 客體設定指派的必要條件，要使用任何 Linux 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.4.0 |
| 在 Windows VM 上部署 Windows 客體設定擴充功能，以啟用客體設定指派 | 此原則會將受客體設定支援的 Windows 客體設定延伸模組部署至裝載於 Azure 的 Windows 虛擬機器主機。 Windows 客體設定延伸模組是所有 Windows 客體設定指派的必要條件，要使用任何 Windows 客體設定原則定義前，都必須先將此延伸模組部署到電腦上。 如需有關客體設定的詳細資訊，請造訪 https://aka.ms/gcpol。 | deployIfNotExists | 1.2.0 |
| Microsoft 管理控制項 1327 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1328 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1329 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1330 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1331 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1332 - 驗證器管理 | 密碼型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1338 - 驗證器管理 | 密碼強度判斷的自動化支援 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
公開金鑰型驗證
識別碼：NIST SP 800-53 Rev. 5 IA-5 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1333 - 驗證器管理 | PKI 型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1334 - 驗證器管理 | PKI 型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1335 - 驗證器管理 | PKI 型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1336 - 驗證器管理 | PKI 型驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
保護驗證器
識別碼：NIST SP 800-53 Rev. 5 IA-5 (6) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1339 - 驗證器管理 | 保護驗證器 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
沒有內嵌的未加密靜態驗證器
識別碼：NIST SP 800-53 Rev. 5 IA-5 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1340 - 驗證器管理 | 沒有內嵌的未加密靜態驗證器 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
多個系統帳戶
識別碼：NIST SP 800-53 Rev. 5 IA-5 (8) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1341 - 驗證器管理 | 多個資訊系統帳戶 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
快取的驗證器到期
識別碼：NIST SP 800-53 Rev. 5 IA-5 (13) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1343 - 驗證器管理 | 快取的驗證器到期 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
驗證意見反應
識別碼：NIST SP 800-53 Rev. 5 IA-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1344 - 驗證器意見回應 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
密碼編譯模組驗證
識別碼：NIST SP 800-53 Rev. 5 IA-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1345 - 密碼編譯模組驗證 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
識別與驗證 (非組織使用者)
識別碼：NIST SP 800-53 Rev. 5 IA-8 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1346 - 識別與驗證 (非組織使用者) | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
接受來自其他機構的 PIV 認證
識別碼：NIST SP 800-53 Rev. 5 IA-8 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1347 - 識別與驗證 (非組織使用者) | 接受具有特殊權限的認證... | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
接受外部驗證器
識別碼：NIST SP 800-53 Rev. 5 IA-8 (2) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1348 - 識別與驗證 (非組織使用者) | 接受協力廠商... | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1349 - 識別與驗證 (非組織使用者) | 使用 FICAM 核准的產品 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
使用已定義設定檔
識別碼：NIST SP 800-53 Rev. 5 IA-8 (4) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1350 - 識別與驗證 (非組織使用者) | 使用 FICAM 發行的設定檔 | Microsoft 會實作此識別與驗證控制項 | 稽核 | 1.0.0 |
事件回應
原則和程序
識別碼：NIST SP 800-53 Rev. 5 IR-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1351 - 事件回應原則和程序 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1352 - 事件回應原則和程序 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件回應訓練
識別碼：NIST SP 800-53 Rev. 5 IR-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1353 - 事件回應訓練 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1354 - 事件回應訓練 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1355 - 事件回應訓練 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
模擬的事件
識別碼：NIST SP 800-53 Rev. 5 IR-2 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制項 1356 - 事件回應訓練 | 模擬的事件 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
自動化訓練環境
識別碼：NIST SP 800-53 Rev. 5 IR-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1357 - 事件回應訓練 | 自動化訓練環境 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件回應測試
識別碼：NIST SP 800-53 Rev. 5 IR-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1358 - 事件回應測試 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
協調相關計劃
識別碼：NIST SP 800-53 Rev. 5 IR-3 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1359 - 事件回應測試 | 協調相關計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件處理
識別碼：NIST SP 800-53 Rev. 5 IR-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應針對高嚴重性警示啟用電子郵件通知 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。 | AuditIfNotExists, Disabled | 1.0.1 |
| 應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知 | 為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1360 - 事件處理 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1361 - 事件處理 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1362 - 事件處理 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| 訂用帳戶應具有連絡人電子郵件地址以處理安全性問題 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。 | AuditIfNotExists, Disabled | 1.0.1 |
自動化事件處理流程
識別碼：NIST SP 800-53 Rev. 5 IR-4 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1363 - 事件處理 | 自動化事件處理流程 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
動態重新組態
識別碼：NIST SP 800-53 Rev. 5 IR-4 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1364 - 事件處理 | 動態重新設定 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
作業持續性
識別碼：NIST SP 800-53 Rev. 5 IR-4 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1365 - 事件處理 | 作業持續性 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
資訊相互關聯
識別碼：NIST SP 800-53 Rev. 5 IR-4 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1366 - 事件處理 | 資訊相互關聯 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
內部威脅
識別碼：NIST SP 800-53 Rev. 5 IR-4 (6) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1367 - 事件處理 | 內部威脅 - 特定功能 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
與外部組織相互關聯
識別碼：NIST SP 800-53 Rev. 5 IR-4 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1368 - 事件處理 | 與外部組織相互關聯 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件監視
識別碼：NIST SP 800-53 Rev. 5 IR-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應針對高嚴重性警示啟用電子郵件通知 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。 | AuditIfNotExists, Disabled | 1.0.1 |
| 應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知 | 為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1369 - 事件監視 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| 訂用帳戶應具有連絡人電子郵件地址以處理安全性問題 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。 | AuditIfNotExists, Disabled | 1.0.1 |
自動化追蹤、資料收集和分析
識別碼：NIST SP 800-53 Rev. 5 IR-5 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1370 - 事件監視 | 自動化追蹤/資料收集/分析 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件報告
識別碼：NIST SP 800-53 Rev. 5 IR-6 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1371 - 事件報告 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1372 - 事件報告 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
自動化報告
識別碼：NIST SP 800-53 Rev. 5 IR-6 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1373 - 事件報告 | 自動化報告 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
與事件相關的弱點
識別碼：NIST SP 800-53 Rev. 5 IR-6 (2) 擁有權：客戶
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對高嚴重性警示啟用電子郵件通知 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。 | AuditIfNotExists, Disabled | 1.0.1 |
| 應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知 | 為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。 | AuditIfNotExists, Disabled | 2.0.0 |
| 訂用帳戶應具有連絡人電子郵件地址以處理安全性問題 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。 | AuditIfNotExists, Disabled | 1.0.1 |
事件回應協助
識別碼：NIST SP 800-53 Rev. 5 IR-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1374 - 事件回應協助 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
資訊可用性的自動化支援及支援
識別碼：NIST SP 800-53 Rev. 5 IR-7 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1375 - 事件回應協助 | 資訊/支援可用性的自動化支援 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
與外部提供者協調
識別碼：NIST SP 800-53 Rev. 5 IR-7 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1376 - 事件回應協助 | 與外部提供者的協調合作 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1377 - 事件回應協助 | 與外部提供者的協調合作 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
事件回應計劃
識別碼：NIST SP 800-53 Rev. 5 IR-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1378 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1379 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1380 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1381 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1382 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1383 - 事件回應計劃 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
資訊洩漏應對
識別碼：NIST SP 800-53 Rev. 5 IR-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1384 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1385 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1386 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1387 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1388 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1389 - 資訊洩漏應對 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1390 - 資訊洩漏應對 | 應對負責人員 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
訓練
識別碼：NIST SP 800-53 Rev. 5 IR-9 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1391 - 資訊洩漏應對 | 訓練 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
外洩後的作業
識別碼：NIST SP 800-53 Rev. 5 IR-9 (3) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1392 - 資訊洩漏應對 | 外洩後作業 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
向未經授權的人員公開
識別碼：NIST SP 800-53 Rev. 5 IR-9 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1393 - 資訊洩漏應對 | 向未經授權的人員公開 | Microsoft 會實作此事件回應控制項 | 稽核 | 1.0.0 |
維護
原則和程序
識別碼：NIST SP 800-53 Rev. 5 MA-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1394 - 系統維護原則和程序 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1395 - 系統維護原則和程序 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
受控制維護
識別碼：NIST SP 800-53 Rev. 5 MA-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1396 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1397 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1398 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1399 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1400 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1401 - 受控制維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
自動化維護活動
識別碼：NIST SP 800-53 Rev. 5 MA-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1402 - 受控制維護 | 自動化維護活動 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1403 - 受控制維護 | 自動化維護活動 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
維護工具
識別碼：NIST SP 800-53 Rev. 5 MA-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1404 - 維護工具 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
檢查工具
識別碼：NIST SP 800-53 Rev. 5 MA-3 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1405 - 維護工具 | 檢查工具 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
檢查媒體
識別碼：NIST SP 800-53 Rev. 5 MA-3 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1406 - 維護工具 | 檢查媒體 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
防止未經授權的移除
識別碼：NIST SP 800-53 Rev. 5 MA-3 (3) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1407 - 維護工具 | 防止未經授權的移除 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1408 - 維護工具 | 防止未經授權的移除 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1409 - 維護工具 | 防止未經授權的移除 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1410 - 維護工具 | 防止未經授權的移除 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
非本機維護
識別碼：NIST SP 800-53 Rev. 5 MA-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1411 - 遠端維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1412 - 遠端維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1413 - 遠端維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1414 - 遠端維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1415 - 遠端維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
同等級的安全性及清理
識別碼：NIST SP 800-53 Rev. 5 MA-4 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1417 - 遠端維護 | 同等級安全性/清理 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1418 - 遠端維護 | 同等級安全性/清理 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
密碼編譯保護
識別碼：NIST SP 800-53 Rev. 5 MA-4 (6) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1419 - 遠端維護 | 密碼編譯保護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
維護人員
識別碼：NIST SP 800-53 Rev. 5 MA-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1420 - 維護人員 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1421 - 維護人員 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1422 - 維護人員 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
不具適當存取權的個人
識別碼：NIST SP 800-53 Rev. 5 MA-5 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1423 - 維護人員 | 不具適當存取權的個人 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1424 - 維護人員 | 不具適當存取權的個人 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
及時維護
識別碼：NIST SP 800-53 Rev. 5 MA-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1425 - 及時維護 | Microsoft 會實作此維護控制項 | 稽核 | 1.0.0 |
媒體保護
原則和程序
識別碼：NIST SP 800-53 Rev. 5 MP-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1426 - 媒體保護原則和程序 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1427 - 媒體保護原則和程序 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體存取
識別碼：NIST SP 800-53 Rev. 5 MP-2 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1428 - 媒體存取 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體標記
識別碼：NIST SP 800-53 Rev. 5 MP-3 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1429 - 媒體標記 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1430 - 媒體標記 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體儲存
識別碼：NIST SP 800-53 Rev. 5 MP-4 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1431 - 媒體儲存 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1432 - 媒體儲存 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體傳輸
識別碼：NIST SP 800-53 Rev. 5 MP-5 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1433 - 媒體傳輸 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1434 - 媒體傳輸 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1435 - 媒體傳輸 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1436 - 媒體傳輸 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體清理
識別碼：NIST SP 800-53 Rev. 5 MP-6 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1438 - 媒體清理和處理 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1439 - 媒體清理和處理 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
檢閱、核准、追蹤、紀錄及驗證
識別碼：NIST SP 800-53 Rev. 5 MP-6 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1440 - 媒體清理和處理 | 檢閱/核准/追蹤/記載/驗證 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
設備測試
識別碼：NIST SP 800-53 Rev. 5 MP-6 (2) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1441 - 媒體清理和處理 | 設備測試 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
非破壞性技術
識別碼：NIST SP 800-53 Rev. 5 MP-6 (3) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1442 - 媒體清理和處理 | 非破壞性技術 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
媒體使用
識別碼：NIST SP 800-53 Rev. 5 MP-7 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1443 - 媒體使用 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1444 - 媒體使用 | 禁止在沒有擁有者的情況下使用 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
實體和環境保護
原則和程序
識別碼：NIST SP 800-53 Rev. 5 PE-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1445 - 實際與環境保護原則和程序 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1446 -實際與環境保護原則和程序 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
實際存取授權
識別碼：NIST SP 800-53 Rev. 5 PE-2 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1447 - 實際存取授權 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1448 - 實際存取授權 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1449 - 實際存取授權 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1450 - 實際存取授權 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
實際存取控制措施
識別碼：NIST SP 800-53 Rev. 5 PE-3 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1451 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1452 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1453 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1454 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1455 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1456 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1457 - 實際存取控制 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
系統存取
識別碼：NIST SP 800-53 Rev. 5 PE-3 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1458 - 實體存取控制 | 資訊系統存取 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
傳輸的存取控制
識別碼：NIST SP 800-53 Rev. 5 PE-4 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1459 - 適用於傳輸媒體的存取控制項 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
適用於輸出裝置的存取控制措施
識別碼：NIST SP 800-53 Rev. 5 PE-5 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1460 - 適用於輸出裝置的存取控制項 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
監視實際存取
識別碼：NIST SP 800-53 Rev. 5 PE-6 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1461 - 監視實際存取 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1462 - 監視實際存取 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1463 - 監視實際存取 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
入侵警報及監視設備
識別碼：NIST SP 800-53 Rev. 5 PE-6 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1464 - 監視實體存取 | 入侵警報/監視設備 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
監視系統實體存取
識別碼：NIST SP 800-53 Rev. 5 PE-6 (4) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1465 - 監視實體存取 | 監視對資訊系統的實體存取 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
訪客存取記錄
識別碼：NIST SP 800-53 Rev. 5 PE-8 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1466 - 訪客存取記錄 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1467 - 訪客存取記錄 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
自動化記錄維護及檢閱
識別碼：NIST SP 800-53 Rev. 5 PE-8 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1468 - 訪客存取記錄 | 自動化記錄維護/檢閱 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
電源設備及連接纜線
識別碼：NIST SP 800-53 Rev. 5 PE-9 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1469 - 電源設備及連接纜線 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
緊急關閉
識別碼：NIST SP 800-53 Rev. 5 PE-10 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1470 - 緊急關閉 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1471 - 緊急關閉 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1472 - 緊急關閉 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
緊急電源
識別碼：NIST SP 800-53 Rev. 5 PE-11 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1473 - 緊急電源 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
替代電源供應器 最低運作能力
識別碼：NIST SP 800-53 Rev. 5 PE-11 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1474 - 緊急電源 | 長期備用電源供應 - 基本運作能力 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
緊急照明
識別碼：NIST SP 800-53 Rev. 5 PE-12 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1475 - 緊急照明 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
消防措施
識別碼：NIST SP 800-53 Rev. 5 PE-13 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1476 - 消防措施 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
偵測系統 自動啟用和通知
識別碼：NIST SP 800-53 Rev. 5 PE-13 (1) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1477 - 消防措施 | 偵測裝置/系統 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
滅火系統 自動啟用和通知
識別碼：NIST SP 800-53 Rev. 5 PE-13 (2) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1478 - 消防措施 | 滅火裝置/系統 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1479 - 消防措施 | 自動滅火 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
環境控制措施
識別碼：NIST SP 800-53 Rev. 5 PE-14 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1480 - 溫度和溼度的控制措施 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1481 - 溫度和溼度的控制措施 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
使用警示及通知進行監視
識別碼：NIST SP 800-53 Rev. 5 PE-14 (2) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1482 - 溫度和溼度的控制措施 | 使用警報/通知進行監視 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
因水損毀的防護
識別碼：NIST SP 800-53 Rev. 5 PE-15 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1483 - 因水損毀的防護 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
自動化支援
識別碼：NIST SP 800-53 Rev. 5 PE-15 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1484 - 水漬損失的防護 | 自動支援 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
傳遞和移除
識別碼：NIST SP 800-53 Rev. 5 PE-16 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1485 - 傳遞和移除 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
備用工作場所
識別碼：NIST SP 800-53 Rev. 5 PE-17 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1486 - 備用工作場所 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1487 - 備用工作場所 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1488 - 備用工作場所 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
系統元件的位置
識別碼：NIST SP 800-53 Rev. 5 PE-18 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1489 - 資訊系統元件的位置 | Microsoft 會實作此實體和環境保護控制 | 稽核 | 1.0.0 |
規劃
原則和程序
識別碼：NIST SP 800-53 Rev. 5 PL-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1490 - 安全性規劃原則和程序 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1491 - 安全性規劃原則和程序 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
系統安全性和隱私權計畫
識別碼：NIST SP 800-53 Rev. 5 PL-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1492 - 系統安全性規劃 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1493 - 系統安全性規劃 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1494 - 系統安全性規劃 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1495 - 系統安全性規劃 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1496 - 系統安全性規劃 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1497 - 系統安全性計劃 | 與其他組織實體一起規劃/協調合作 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
行為規則
識別碼：NIST SP 800-53 Rev. 5 PL-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1498 - 行為規則 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1499 - 行為規則 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1500 - 行為規則 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1501 - 行為規則 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
社交媒體和外部網站/應用程式使用限制
識別碼：NIST SP 800-53 Rev. 5 PL-4 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1502 - 行為規則 | 社交媒體和網路限制 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
安全性和隱私權架構
識別碼：NIST SP 800-53 Rev. 5 PL-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1503 - 資訊安全性架構 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1504 - 資訊安全性架構 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1505 - 資訊安全性架構 | Microsoft 會實作此規劃控制項 | 稽核 | 1.0.0 |
人員安全性
原則和程序
識別碼：NIST SP 800-53 Rev. 5 PS-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1506 - 人員安全性原則和程序 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1507 - 人員安全性原則和程序 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
職位風險指定
識別碼：NIST SP 800-53 Rev. 5 PS-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1508 - 職位分類 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1509 - 職位分類 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1510 - 職位分類 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
人員篩選
識別碼：NIST SP 800-53 Rev. 5 PS-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1511 - 人員篩選 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1512 - 人員篩選 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
需要特殊保護措施的資訊
識別碼：NIST SP 800-53 Rev. 5 PS-3 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1513 - 人員篩選 | 具備特殊保護措施的資訊 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1514 - 人員篩選 | 具備特殊保護措施的資訊 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
人員終止
識別碼：NIST SP 800-53 Rev. 5 PS-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1515 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1516 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1517 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1518 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1519 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1520 - 人員終止 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
自動化動作
識別碼：NIST SP 800-53 Rev. 5 PS-4 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1521 - 人員終止 | 自動化通知 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
人員轉移
識別碼：NIST SP 800-53 Rev. 5 PS-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1522 - 人員轉移 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1523 - 人員轉移 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1524 - 人員轉移 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1525 - 人員轉移 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
存取協議
識別碼：NIST SP 800-53 Rev. 5 PS-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1526 - 存取協議 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1527 - 存取協議 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1528 - 存取協議 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
外部人員安全性
識別碼：NIST SP 800-53 Rev. 5 PS-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1529 - 協力廠商的人員安全性 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1530 - 協力廠商的人員安全性 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1531 - 協力廠商的人員安全性 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1532 - 協力廠商的人員安全性 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1533 - 協力廠商的人員安全性 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
人員獎懲
識別碼：NIST SP 800-53 Rev. 5 PS-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1534 - 人員獎懲 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1535 - 人員獎懲 | Microsoft 會實作此人員安全性控制項 | 稽核 | 1.0.0 |
風險評估
原則和程序
識別碼：NIST SP 800-53 Rev. 5 RA-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1536 - 風險評量原則和程序 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1537 - 風險評量原則和程序 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
安全性分類
識別碼：NIST SP 800-53 Rev. 5 RA-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1538 - 安全性分類 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1539 - 安全性分類 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1540 - 安全性分類 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
風險評估
識別碼：NIST SP 800-53 Rev. 5 RA-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1541 - 風險評量 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1542 - 風險評量 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1543 - 風險評量 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1544 - 風險評量 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1545 - 風險評量 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
弱點監視和掃描
識別碼：NIST SP 800-53 Rev. 5 RA-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1546 - 弱點掃描 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1547 - 弱點掃描 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1548 - 弱點掃描 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1549 - 弱點掃描 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1550 - 弱點掃描 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1551 - 弱點掃描 | 更新工具功能 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
| SQL 資料庫應已解決發現的弱點 | 監視弱點評量掃描結果及如何補救資料庫弱點的建議。 | AuditIfNotExists, Disabled | 4.1.0 |
| 機器上的 SQL Server 應已解決發現的弱點 | SQL 弱點評估會掃描您的資料庫以尋找安全性弱點，並顯示與最佳做法不符的偏差動作，例如設定錯誤、過度授權或未保護敏感性資料。 解決找到的弱點可以大幅改進資料庫的安全性態勢。 | AuditIfNotExists, Disabled | 1.0.0 |
| 您應在機器上修復安全性組態的弱點 | Azure 資訊安全中心會依建議監視不符合設定基準的伺服器 | AuditIfNotExists, Disabled | 3.1.0 |
| 應在 SQL 受控執行個體上啟用弱點評定 | 稽核每個未啟用週期性弱點評估掃描的 SQL 受控執行個體。 弱點評估可發現、追蹤並協助您補救資料庫的潛在弱點。 | AuditIfNotExists, Disabled | 1.0.1 |
| 弱點評估應於您的 SQL 伺服器上啟用 | 稽核未正確設定弱點評量的 Azure SQL 伺服器。 弱點評估可發現、追蹤並協助您補救資料庫的潛在弱點。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應在您的 Synapse 工作區上啟用弱點評量 | 在您的 Synapse 工作區上設定週期性 SQL 弱點評量掃描，以探索、追蹤及補救潛在弱點。 | AuditIfNotExists, Disabled | 1.0.0 |
更新要掃描的弱點
識別碼：NIST SP 800-53 Rev. 5 RA-5 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1552 - 弱點掃描 | 依頻率/進行新掃描之前/在識別時進行更新 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
涵蓋範圍和深度
識別碼：NIST SP 800-53 Rev. 5 RA-5 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1553 - 弱點掃描 | 涵蓋範圍的廣度/深度 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
可探索的資訊
識別碼：NIST SP 800-53 Rev. 5 RA-5 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1554 - 弱點掃描 | 可探索的資訊 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
特殊權限存取
識別碼：NIST SP 800-53 Rev. 5 RA-5 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1555 - 弱點掃描 | 具特殊權限的存取 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
自動化趨勢分析
識別碼：NIST SP 800-53 Rev. 5 RA-5 (6) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1556 - 弱點掃描 | 自動化趨勢分析 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
檢閱歷史稽核記錄
識別碼：NIST SP 800-53 Rev. 5 RA-5 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1557 - 弱點掃描 | 檢閱歷史稽核記錄 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
將掃描資訊相互關聯
識別碼：NIST SP 800-53 Rev. 5 RA-5 (10) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1558 - 弱點掃描 | 將掃描資訊相互關聯 | Microsoft 會實作此風險評估控制項 | 稽核 | 1.0.0 |
系統和服務擷取
原則和程序
識別碼：NIST SP 800-53 Rev. 5 SA-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1559 - 系統和服務擷取原則和程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1560 - 系統和服務擷取原則和程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
資源配置
識別碼：NIST SP 800-53 Rev. 5 SA-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1561 - 資源配置 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1562 - 資源配置 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1563 - 資源配置 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
系統開發生命週期
識別碼：NIST SP 800-53 Rev. 5 SA-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1564 - 系統開發生命週期 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1565 - 系統開發生命週期 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1566 - 系統開發生命週期 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1567 - 系統開發生命週期 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
擷取程序
識別碼：NIST SP 800-53 Rev. 5 SA-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1568 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1569 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1570 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1571 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1572 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1573 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1574 - 擷取程序 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
控制項的功能屬性
識別碼：NIST SP 800-53 Rev. 5 SA-4 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1575 - 擷取流程 | 安全性控制的功能屬性 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
控制項的設計與實作資訊
識別碼：NIST SP 800-53 Rev. 5 SA-4 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1576 - 擷取流程 | 安全性控制的設計/實作資訊 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
控制項的連續監視計畫
識別碼：NIST SP 800-53 Rev. 5 SA-4 (8) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1577 - 擷取流程 | 持續監視方案 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
使用中的功能、連接埠、通訊協定及服務
識別碼：NIST SP 800-53 Rev. 5 SA-4 (9) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1578 - 擷取流程 | 使用中的功能/連接埠/通訊協定/服務 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
使用核准的 PIV 產品
識別碼：NIST SP 800-53 Rev. 5 SA-4 (10) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1579 - 擷取流程 | 使用核准的 PIV 產品 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
系統文件
識別碼：NIST SP 800-53 Rev. 5 SA-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1580 - 資訊系統文件 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1581 - 資訊系統文件 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1582 - 資訊系統文件 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1583 - 資訊系統文件 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1584 - 資訊系統文件 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
安全性與隱私權工程原則
識別碼：NIST SP 800-53 Rev. 5 SA-8 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1585 - 安全性工程準則 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
外部系統服務
識別碼：NIST SP 800-53 Rev. 5 SA-9 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1586 - 外部資訊系統服務 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1587 - 外部資訊系統服務 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1588 - 外部資訊系統服務 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
風險評估及組織核准
識別碼：NIST SP 800-53 Rev. 5 SA-9 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1589 - 外部資訊系統服務 | 風險評量/組織核准 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1590 - 外部資訊系統服務 | 風險評量/組織核准 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
功能、連接埠、通訊協定及服務的識別
識別碼：NIST SP 800-53 Rev. 5 SA-9 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1591 - 外部資訊系統服務 | 函式/連接埠/通訊協定的識別... | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
取用者和提供者的利益一致
識別碼：NIST SP 800-53 Rev. 5 SA-9 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1592 - 外部資訊系統服務 | 取用者和提供者的利益一致 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
處理、儲存及服務位置
識別碼：NIST SP 800-53 Rev. 5 SA-9 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1593 - 外部資訊系統服務 | 處理、儲存和服務位置 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
開發人員組態管理
識別碼：NIST SP 800-53 Rev. 5 SA-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1594 - 開發人員組態管理 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1595 - 開發人員組態管理 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1596 - 開發人員組態管理 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1597 - 開發人員組態管理 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1598 - 開發人員組態管理 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
軟體及韌體完整性驗證
識別碼：NIST SP 800-53 Rev. 5 SA-10 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1599 - 開發人員組態管理 | 軟體/韌體完整性驗證 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
開發人員測試與評估
識別碼：NIST SP 800-53 Rev. 5 SA-11 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1600 - 開發人員安全性測試和評估 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1601 - 開發人員安全性測試和評估 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1602 - 開發人員安全性測試和評估 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1603 - 開發人員安全性測試和評估 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1604 - 開發人員安全性測試和評估 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
靜態程式碼分析
識別碼：NIST SP 800-53 Rev. 5 SA-11 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1605 - 開發人員安全性測試和評估 | 靜態程式碼分析 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
威脅模型和弱點分析
識別碼：NIST SP 800-53 Rev. 5 SA-11 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1606 - 開發人員安全性測試和評估 | 威脅和弱點分析 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
動態程式碼分析
識別碼：NIST SP 800-53 Rev. 5 SA-11 (8) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1607 - 開發人員安全性測試和評估 | 動態程式碼分析 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
開發程序、標準和工具
識別碼：NIST SP 800-53 Rev. 5 SA-15 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1609 - 開發程序、標準和工具 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1610 - 開發程序、標準和工具 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
開發人員提供的定型
識別碼：NIST SP 800-53 Rev. 5 SA-16 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1611 - 開發人員提供的訓練 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
開發人員安全性與隱私權架構與設計
識別碼：NIST SP 800-53 Rev. 5 SA-17 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1612 - 開發人員安全性架構和設計 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1613 - 開發人員安全性架構和設計 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1614 - 開發人員安全性架構和設計 | Microsoft 會實作此系統和服務擷取控制項 | 稽核 | 1.0.0 |
系統與通訊保護
原則和程序
識別碼：NIST SP 800-53 Rev. 5 SC-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1615 - 系統與通訊保護原則和程序 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1616 - 系統與通訊保護原則和程序 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
系統與使用者功能的區隔
識別碼：NIST SP 800-53 Rev. 5 SC-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1617 - 應用程式分割 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
安全性功能隔離
識別碼：NIST SP 800-53 Rev. 5 SC-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| Microsoft 管理控制項 1618 - 安全性功能隔離 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 應在您的機器上啟用 Windows Defender 惡意探索防護 | Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。 | AuditIfNotExists, Disabled | 1.1.1 |
共用系統資源的資訊
識別碼：NIST SP 800-53 Rev. 5 SC-4 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1619 - 共用資源中的資訊 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
阻斷服務保護
識別碼：NIST SP 800-53 Rev. 5 SC-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應該啟用 Azure DDoS 保護 | 所有虛擬網路只要其子網路屬於使用公用 IP 的應用程式閘道，就應啟用 DDoS 保護。 | AuditIfNotExists, Disabled | 3.0.1 |
| Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆 | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 1.0.2 |
| 應停用虛擬機器上的 IP 轉送 | 在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1620 - 阻斷服務保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 應為應用程式閘道啟用 Web 應用程式防火牆 (WAF) | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 2.0.0 |
資源可用性
識別碼：NIST SP 800-53 Rev. 5 SC-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1621 - 資源可用性 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
界限保護
識別碼：NIST SP 800-53 Rev. 5 SC-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已被取代]: Azure 認知搜尋服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Disabled | 1.0.1-deprecated |
| [已被取代]：認知服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。 | Audit, Disabled | 3.0.1-deprecated |
| 所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組 | Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。 | AuditIfNotExists, Disabled | 3.0.0 |
| API 管理服務應使用虛擬網路 | Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。 | Audit, Deny, Disabled | 1.0.2 |
| 應用程式設定應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。 | AuditIfNotExists, Disabled | 1.0.2 |
| Kubernetes Services 上應定義授權 IP 範圍 | 僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。 | Audit, Disabled | 2.0.0 |
| Azure AI 服務資源應限制網路存取 | 藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。 | Audit, Deny, Disabled | 3.2.0 |
| Azure Cache for Redis 應使用私人連結 | 私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 認知搜尋服務應使用支援私人連結的 SKU | 使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 認知搜尋服務應停用公用網路存取 | 停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Cosmos DB 帳戶應具有防火牆規則 | 應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。 | Audit, Deny, Disabled | 2.1.0 |
| Azure Data Factory 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 事件方格網域應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 事件方格主題應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 檔案同步應使用私人連結 | 為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Key Vault 應該啟用防火牆 | 啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security | Audit, Deny, Disabled | 1.4.1 |
| Azure Machine Learning 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | Audit, Disabled | 1.0.0 |
| Azure 服務匯流排命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。 | Audit, Disabled | 1.0.0 |
| Azure Synapse 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。 | Audit, Disabled | 1.0.1 |
| Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆 | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 1.0.2 |
| 不應允許不受限制的網路存取 | 根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。 | Audit, Deny, Disabled | 2.0.0 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| CosmosDB 帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | Audit, Disabled | 1.0.0 |
| 磁碟存取資源應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。 | AuditIfNotExists, Disabled | 1.0.0 |
| 事件中樞命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應使用網路安全性群組保護網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| IoT 中樞裝置佈建服務執行個體應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。 | Audit, Disabled | 1.0.0 |
| 應停用虛擬機器上的 IP 轉送 | 在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠 | Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取 | AuditIfNotExists, Disabled | 3.0.0 |
| 應關閉虛擬機器上的管理連接埠 | 開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理控制項 1622 - 界限保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1623 - 界限保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1624 - 界限保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 應使用網路安全性群組保護非網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| 應對 Azure SQL Database 啟用私人端點連線 | 私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。 | Audit, Disabled | 1.1.0 |
| 應對 Azure SQL Database 停用公用網路存取 | 停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應限制網路存取 | 應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍 | Audit, Deny, Disabled | 1.1.1 |
| 儲存體帳戶應使用虛擬網路規則來限制網路存取 | 使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。 | Audit, Deny, Disabled | 1.0.1 |
| 儲存體帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview | AuditIfNotExists, Disabled | 2.0.0 |
| 子網路應該與網路安全性群組建立關聯 | 使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應為應用程式閘道啟用 Web 應用程式防火牆 (WAF) | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 2.0.0 |
存取點
識別碼：NIST SP 800-53 Rev. 5 SC-7 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [已被取代]: Azure 認知搜尋服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure 認知搜尋，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Disabled | 1.0.1-deprecated |
| [已被取代]：認知服務應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 透過將私人端點對應至認知服務，您可以降低資料洩漏的可能性。 深入了解私人連結：https://go.microsoft.com/fwlink/?linkid=2129800。 | Audit, Disabled | 3.0.1-deprecated |
| 所有網路連接埠均應限制在與虛擬機器建立關聯的網路安全性群組 | Azure 資訊安全中心發現您某些網路安全性群組的輸入規則過於寬鬆。 輸入規則不應允許來自「任何」或「網際網路」範圍的存取。 這可能會讓攻擊者鎖定您的資源。 | AuditIfNotExists, Disabled | 3.0.0 |
| API 管理服務應使用虛擬網路 | Azure 虛擬網路部署提供增強的安全性、隔離，並可讓您將 API 管理服務放在可控制存取權的非網際網路可路由網路中。 這些網路接著可以使用各種 VPN 技術連線到您的內部部署網路，以存取網路和/或內部部署內的後端服務。 開發人員入口網站與 API 閘道，可設定為從網際網路存取或只從虛擬網路內存取。 | Audit, Deny, Disabled | 1.0.2 |
| 應用程式設定應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式組態而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/appconfig/private-endpoint。 | AuditIfNotExists, Disabled | 1.0.2 |
| Kubernetes Services 上應定義授權 IP 範圍 | 僅將 API 存取權授與特定範圍內的 IP 位址，以限制對 Kubernetes Service 管理 API 的存取。 建議僅限存取授權 IP 範圍，以確保只有來自允許網路的應用程式可以存取叢集。 | Audit, Disabled | 2.0.0 |
| Azure AI 服務資源應限制網路存取 | 藉由限制網路存取，您可以確保只有允許的網路可以存取服務。 可以藉由設定網路規則，只有來自允許網路的應用程式才能存取 Azure AI 服務來達成這項操作。 | Audit, Deny, Disabled | 3.2.0 |
| Azure Cache for Redis 應使用私人連結 | 私人端點可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 只要將私人端點對應到您的 Azure Cache for Redis 執行個體，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 認知搜尋服務應使用支援私人連結的 SKU | 使用支援 Azure 認知搜尋的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到您的搜尋服務，就能降低資料外洩的風險。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 認知搜尋服務應停用公用網路存取 | 停用公用網路存取可確保 Azure 認知搜尋服務不會在公用網際網路上公開，進而改善安全性。 建立私人端點可限制您搜尋服務的曝光。 深入了解：https://aka.ms/azure-cognitive-search/inbound-private-endpoints。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Cosmos DB 帳戶應具有防火牆規則 | 應在您的 Azure Cosmos DB 帳戶上定義防火牆規則，以防止來自未經授權來源的流量。 若帳戶至少有一個已啟用虛擬網路篩選器定義之 IP 規則，系統會將其視為符合規範。 停用公用存取的帳戶也會視為符合規範。 | Audit, Deny, Disabled | 2.1.0 |
| Azure Data Factory 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 Azure Data Factory，就能降低資料外洩的風險。 深入了解私人連結：https://docs.microsoft.com/azure/data-factory/data-factory-private-link。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure 事件方格網域應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 網域而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 事件方格主題應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Event Grid 主題而非整個服務，您也會受到保護，而免於遭受資料外洩風險。 深入了解：https://aka.ms/privateendpoints。 | Audit, Disabled | 1.0.2 |
| Azure 檔案同步應使用私人連結 | 為指定的儲存體同步服務資源建立私人端點，可讓您從組織網路的私人 IP 位址空間中定址儲存體同步服務資源，而非透過網際網路存取的公用端點。 建立私人端點並不會停用公用端點。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure Key Vault 應該啟用防火牆 | 啟用金鑰保存庫防火牆，以便金鑰保存庫根據預設無法藉由任何公用 IP 進行存取。 (選擇性) 您可以設定特定的 IP 範圍以限制對這些網路的存取。 深入了解：https://docs.microsoft.com/azure/key-vault/general/network-security | Audit, Deny, Disabled | 1.4.1 |
| Azure Machine Learning 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 Azure Machine Learning 工作區，可降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | Audit, Disabled | 1.0.0 |
| Azure 服務匯流排命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到服務匯流排命名空間，就能降低資料外洩的風險。 深入了解：https://docs.microsoft.com/azure/service-bus-messaging/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| Azure SignalR Service 應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至您的 Azure SignalR Service 資源而非整個服務，您可以降低資料外洩風險。 深入了解私人連結：https://aka.ms/asrs/privatelink。 | Audit, Disabled | 1.0.0 |
| Azure Synapse 工作區應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至 Azure Synapse 工作區，藉此降低資料洩漏風險。 深入了解私人連結：https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links。 | Audit, Disabled | 1.0.1 |
| Azure Front Door 進入點應啟用 Azure Web 應用程式防火牆 | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 1.0.2 |
| 不應允許不受限制的網路存取 | 根據預設，Azure 容器登錄會接受任何網路上的主機透過網際網路的連線。 為了保護登錄不受潛在威脅的影響，請只允許來自特定私人端點、公用 IP 位址或位址範圍的存取。 如果登錄沒有已設定的網路規則，則會出現在狀況不良的資源中。 在這裡深入了解 Azure Container Registry 網路規則：https://aka.ms/acr/privatelink、 https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。 | Audit, Deny, Disabled | 2.0.0 |
| 容器登錄應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。藉由將私人端點對應至容器登錄而非整個服務，您也會受到保護，而免於遭受資料洩漏風險。 深入了解：https://aka.ms/acr/private-link。 | Audit, Disabled | 1.0.1 |
| CosmosDB 帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的 CosmosDB 帳戶，資料外洩風險就會降低。 深入了解私人連結：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | Audit, Disabled | 1.0.0 |
| 磁碟存取資源應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 diskAccesses，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/disksprivatelinksdoc。 | AuditIfNotExists, Disabled | 1.0.0 |
| 事件中樞命名空間應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 將私人端點對應至事件中樞命名空間，可降低資料洩漏風險。 深入了解：https://docs.microsoft.com/azure/event-hubs/private-link-service。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應使用網路安全性群組保護網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制對虛擬機器的存取，以保護您的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| IoT 中樞裝置佈建服務執行個體應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應到 IoT 中樞裝置佈建服務，就能降低資料外洩的風險。 深入了解私人連結：https://aka.ms/iotdpsvnet。 | Audit, Disabled | 1.0.0 |
| 應停用虛擬機器上的 IP 轉送 | 在虛擬機器的 NIC 上啟用 IP 轉送可讓機器接收傳送到其他目的地的流量。 IP 轉送是極少需要的功能 (例如，當將 VM 作為網路虛擬設備使用時)，因此，這應經過網路安全性小組檢閱。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠 | Azure 資訊安全中心會依建議監視可能的網路 Just-In-Time (JIT) 存取 | AuditIfNotExists, Disabled | 3.0.0 |
| 應關閉虛擬機器上的管理連接埠 | 開放的遠端管理連接埠會使您的 VM 暴露在網際網路攻擊的高風險之下。 這些攻擊會嘗試對認證發動暴力密碼破解攻擊，來取得機器的系統管理員存取權。 | AuditIfNotExists, Disabled | 3.0.0 |
| Microsoft 管理的控制措施 1625 - 界限保護 | 存取點 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 應使用網路安全性群組保護非網際網路對應的虛擬機器 | 使用網路安全性群組 (NSG) 限制存取，以保護您非網際網路對應的虛擬機器遠離潛在威脅。 若要深入了解如何使用 NSG 控制流量，請造訪 https://aka.ms/nsg-doc | AuditIfNotExists, Disabled | 3.0.0 |
| 應對 Azure SQL Database 啟用私人端點連線 | 私人端點連線透過啟用與 Azure SQL Database 的私人連線，可強制執行安全通訊。 | Audit, Disabled | 1.1.0 |
| 應對 Azure SQL Database 停用公用網路存取 | 停用公用網路存取屬性可確保您的 Azure SQL Database 只能從私人端點存取，藉此改善安全性。 此設定會拒絕所有符合 IP 或虛擬網路型防火牆規則的登入。 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應限制網路存取 | 應限制對儲存體帳戶的網路存取。 請設定網路規則，只允許來自認可之網路的應用程式存取儲存體帳戶。 若要允許來自特定網際網路或內部部署用戶端的連線，可將存取權授與來自特定 Azure 虛擬網路的流量，或授與公用網際網路 IP 位址範圍 | Audit, Deny, Disabled | 1.1.1 |
| 儲存體帳戶應使用虛擬網路規則來限制網路存取 | 使用虛擬網路規則作為慣用方法而非 IP 型篩選，可為您的儲存體帳戶抵禦潛在威脅。 停用 IP 型篩選可防止公用 IP 存取您的儲存體帳戶。 | Audit, Deny, Disabled | 1.0.1 |
| 儲存體帳戶應使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 只要將私人端點對應至您的儲存體帳戶，資料外洩風險就會降低。 深入了解私人連結，請造訪 https://aka.ms/azureprivatelinkoverview | AuditIfNotExists, Disabled | 2.0.0 |
| 子網路應該與網路安全性群組建立關聯 | 使用網路安全性群組 (NSG) 限制 VM 的存取，保護您的子網路遠離潛在威脅。 NSG 包含存取控制清單 (ACL) 規則的清單，可允許或拒絕子網路的網路流量。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應為應用程式閘道啟用 Web 應用程式防火牆 (WAF) | 在公開的 Web 應用程式前方部署 Azure Web 應用程式防火牆 (WAF)，以另外檢查傳入的流量。 Web 應用程式防火牆 (WAF) 可集中保護 Web 應用程式，使其免於遭受常見惡意探索和弱點的攻擊，例如 SQL 插入式攻擊、跨網站指令碼攻擊、本機和遠端檔案執行。 您也可以透過自訂規則，來依國家/地區、IP 位址範圍和其他 http(s) 參數限制對 Web 應用程式的存取。 | Audit, Deny, Disabled | 2.0.0 |
外部電信服務
識別碼：NIST SP 800-53 Rev. 5 SC-7 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1626 - 界限保護 | 外部電信服務 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1627 - 界限保護 | 外部電信服務 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1628 - 界限保護 | 外部電信服務 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1629 - 界限保護 | 外部電信服務 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1630 - 界限保護 | 外部電信服務 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
預設為拒絕 例外狀況時允許
識別碼：NIST SP 800-53 Rev. 5 SC-7 (5) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1155 - 系統互相連線 | 對外部系統連線的限制 | Microsoft 會實作此安全性評估和授權控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1631 - 界限保護 | 預設拒絕/依例外允許 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
遠端裝置的分割通道
識別碼：NIST SP 800-53 Rev. 5 SC-7 (7) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1632 - 界限保護 | 防止遠端裝置分割通道 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
將流量路由傳送到已驗證的 Proxy 伺服器
識別碼：NIST SP 800-53 Rev. 5 SC-7 (8) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1633 - 界限保護 | 將流量路由傳送到已驗證的 Proxy 伺服器 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
防止外流
識別碼：NIST SP 800-53 Rev. 5 SC-7 (10) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1634 - 界限保護 | 防止未經授權的外流 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
主機型保護
識別碼：NIST SP 800-53 Rev. 5 SC-7 (12) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1635 - 界限保護 | 主機型保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
隔離安全性工具、機制和支援元件
識別碼：NIST SP 800-53 Rev. 5 SC-7 (13) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1636 - 界限保護 | 隔離安全性工具/機制/支援元件 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
保護失敗
識別碼：NIST SP 800-53 Rev. 5 SC-7 (18) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1637 - 界限保護 | 保護失敗 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
動態隔離和隔離
識別碼：NIST SP 800-53 Rev. 5 SC-7 (20) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1638 - 界限保護 | 動態隔離/分隔 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
系統元件的隔離
識別碼：NIST SP 800-53 Rev. 5 SC-7 (21) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1639 - 界限保護 | 隔離資訊系統元件 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
傳輸機密性和完整性
識別碼：NIST SP 800-53 Rev. 5 SC-8 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應該僅限透過 HTTPS 來存取 App Service 應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 4.0.0 |
| App Service 應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| App Service 應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.1.0 |
| Azure HDInsight 叢集在傳輸時應使用加密，對 Azure HDInsight 叢集節點之間的通訊進行加密 | 在 Azure HDInsight 叢集節點之間傳輸期間，資料可能會遭到竄改。 啟用傳輸中加密可解決在此傳輸期間誤用和竄改的問題。 | Audit, Deny, Disabled | 1.0.0 |
| 應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線] | 適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。 | Audit, Disabled | 1.0.1 |
| 應為 PostgreSQL 資料庫伺服器啟用 [強制執行 SSL 連線] | 適用於 PostgreSQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 PostgreSQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。 | Audit, Disabled | 1.0.1 |
| 應只能透過 HTTPS 存取函數應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 5.0.0 |
| 函數應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| 函數應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.1.0 |
| Kubernetes 叢集應只能經由 HTTPS 存取 | 使用 HTTPS 可確保驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 這個功能目前正常適合 Kubernetes 服務 (AKS)，以及已啟用 Azure Arc 的 Kubernetes 的預覽版。 如需詳細資訊，請造訪 https://aka.ms/kubepolicydoc | 稽核、稽核、拒絕、拒絕、停用、停用 | 9.1.0 |
| Microsoft 管理控制項 1640 - 傳輸機密性和完整性 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 只允許對您 Azure Cache for Redis 的安全連線 | 稽核只允許透過 SSL 對 Azure Cache for Redis 進行連線。 使用安全連線可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持 | Audit, Deny, Disabled | 1.0.0 |
| 應啟用儲存體帳戶的安全傳輸 | 稽核儲存體帳戶中安全傳輸的需求。 安全傳輸這個選項會強制您的儲存體帳戶僅接受來自安全連線 (HTTPS) 的要求。 使用 HTTPS 可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持 | Audit, Deny, Disabled | 2.0.0 |
| Windows 機器應設定為使用安全通訊協定 | 若要保護透過網際網路通訊的資訊隱私權，您的機器應使用最新版的業界標準密碼編譯通訊協定，即傳輸層安全性 (TLS)。 TLS 會藉由加密機器之間的連線來保護透過網路的通訊。 | AuditIfNotExists, Disabled | 3.0.1 |
密碼編譯保護
識別碼：NIST SP 800-53 Rev. 5 SC-8 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應該僅限透過 HTTPS 來存取 App Service 應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 4.0.0 |
| App Service 應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| App Service 應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.1.0 |
| Azure HDInsight 叢集在傳輸時應使用加密，對 Azure HDInsight 叢集節點之間的通訊進行加密 | 在 Azure HDInsight 叢集節點之間傳輸期間，資料可能會遭到竄改。 啟用傳輸中加密可解決在此傳輸期間誤用和竄改的問題。 | Audit, Deny, Disabled | 1.0.0 |
| 應為 MySQL 資料庫伺服器啟用 [強制執行 SSL 連線] | 適用於 MySQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 MySQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。 | Audit, Disabled | 1.0.1 |
| 應為 PostgreSQL 資料庫伺服器啟用 [強制執行 SSL 連線] | 適用於 PostgreSQL 的 Azure 資料庫支援使用安全通訊端層 (SSL)，將適用於 PostgreSQL 的 Azure 資料庫伺服器連線至用戶端應用程式。 在您的資料庫伺服器和用戶端應用程式之間強制使用 SSL 連線，可將兩者之間的資料流加密，有助於抵禦「中間人」攻擊。 此設定會強制一律啟用 SSL，以存取您的資料庫伺服器。 | Audit, Disabled | 1.0.1 |
| 應只能透過 HTTPS 存取函數應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 5.0.0 |
| 函數應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| 函數應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.1.0 |
| Kubernetes 叢集應只能經由 HTTPS 存取 | 使用 HTTPS 可確保驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 這個功能目前正常適合 Kubernetes 服務 (AKS)，以及已啟用 Azure Arc 的 Kubernetes 的預覽版。 如需詳細資訊，請造訪 https://aka.ms/kubepolicydoc | 稽核、稽核、拒絕、拒絕、停用、停用 | 9.1.0 |
| Microsoft 管理的控制措施 1641 - 傳輸機密性和完整性 | 密碼編譯或替代實體保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| 只允許對您 Azure Cache for Redis 的安全連線 | 稽核只允許透過 SSL 對 Azure Cache for Redis 進行連線。 使用安全連線可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持 | Audit, Deny, Disabled | 1.0.0 |
| 應啟用儲存體帳戶的安全傳輸 | 稽核儲存體帳戶中安全傳輸的需求。 安全傳輸這個選項會強制您的儲存體帳戶僅接受來自安全連線 (HTTPS) 的要求。 使用 HTTPS 可確保伺服器與服務之間的驗證，避免傳輸中的資料遭受網路層的攻擊，例如中間人攻擊、竊聽及工作階段劫持 | Audit, Deny, Disabled | 2.0.0 |
| Windows 機器應設定為使用安全通訊協定 | 若要保護透過網際網路通訊的資訊隱私權，您的機器應使用最新版的業界標準密碼編譯通訊協定，即傳輸層安全性 (TLS)。 TLS 會藉由加密機器之間的連線來保護透過網路的通訊。 | AuditIfNotExists, Disabled | 3.0.1 |
網路中斷連線
識別碼：NIST SP 800-53 Rev. 5 SC-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1642 - 網路中斷連線 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
密碼編譯金鑰的建立和管理
識別碼：NIST SP 800-53 Rev. 5 SC-12 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽版]：Azure 復原服務保存庫應使用客戶自控金鑰來加密備份資料 | 使用客戶自控金鑰來管理備份資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/AB-CmkEncryption。 | Audit, Deny, Disabled | 1.0.0-preview |
| [預覽版]：IoT 中樞裝置佈建服務資料應使用客戶自控金鑰 (CMK) 進行加密 | 使用客戶自控金鑰來管理 IoT 中樞裝置佈建服務的待用加密。 會使用服務代控金鑰進行待用加密，但若要遵循法規標準，通常需要有客戶自控金鑰 (CMK)。 CMK 可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 在 https://aka.ms/dps/CMK 深入了解 CMK 加密。 | Audit, Deny, Disabled | 1.0.0-preview |
| Azure AI 服務資源應使用客戶管理的金鑰加密待用資料 (CMK) | 使用客戶管理的金鑰來加密待用資料，可提供對金鑰生命週期的更多控制，包括輪替和管理。 這與具有相關合規性需求的組織特別相關。 根據預設，這不會進行評估，而且只有在合規性或限制性原則需求需要時才應套用。 如果未啟用，則會使用平台管理的金鑰來加密資料。 若要實作此作業，請在適用範圍的安全原則中更新 'Effect' 參數。 | Audit, Deny, Disabled | 2.2.0 |
| Azure 自動化帳戶應使用客戶自控金鑰加密待用資料 | 使用客戶自控金鑰來管理 Azure 自動化帳戶的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/automation-cmk。 | Audit, Deny, Disabled | 1.0.0 |
| Azure Batch 帳戶應使用客戶自控金鑰加密資料 | 使用客戶自控金鑰來管理 Batch 帳戶資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/Batch-CMK。 | Audit, Deny, Disabled | 1.0.1 |
| Azure 容器執行個體容器群組應使用客戶自控金鑰進行加密 | 使用客戶自控金鑰，以更具彈性的方式保護您的容器。 當您指定客戶自控金鑰時，該金鑰會用來保護及控制加密資料所需金鑰的存取權。 客戶自控金鑰提供額外的功能，可用於控制金鑰輪替，或以密碼編譯的方式清除資料。 | 稽核、停用、拒絕 | 1.0.0 |
| Azure Cosmos DB 帳戶應使用客戶自控金鑰加密待用資料 | 使用客戶自控金鑰來管理 Azure Cosmos DB 的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/cosmosdb-cmk。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure 資料箱作業應使用客戶自控金鑰加密裝置解除鎖定密碼 | 使用客戶自控金鑰控制 Azure 資料箱的裝置解除鎖定密碼加密。 客戶自控金鑰也有助於管理資料箱服務對裝置解除鎖定密碼的存取權，以便準備裝置並自動複製資料。 裝置本身上的資料已使用進階加密標準 256 位加密進行待用加密，而裝置解除鎖定密碼預設會使用 Microsoft 受控金鑰加密。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 資料總管待用加密應使用客戶自控金鑰 | 在 Azure 資料總管叢集上使用客戶自控金鑰來啟用待用加密，可讓您進一步控制待用加密所使用的金鑰。 這項功能通常適用於具有特殊合規性需求的客戶，而且需要 Key Vault 來管理金鑰。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 資料處理站應使用客戶自控金鑰進行加密 | 使用客戶自控金鑰來管理 Azure Data Factory 的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/adf-cmk。 | Audit, Deny, Disabled | 1.0.1 |
| Azure HDInsight 叢集應使用客戶自控金鑰加密待用資料 | 使用客戶自控金鑰來管理 Azure HDInsight 叢集的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/hdi.cmk。 | Audit, Deny, Disabled | 1.0.1 |
| Azure HDInsight 叢集應使用主機加密來加密待用資料 | 啟用主機上的加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 當您啟用主機上的加密時，儲存在 VM 主機上的資料會在待用時加密，並將流量加密至儲存體服務。 | Audit, Deny, Disabled | 1.0.0 |
| 應該使用客戶自控金鑰來加密 Azure Machine Learning 工作區 | 使用客戶自控金鑰來管理 Azure Machine Learning 工作區資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/azureml-workspaces-cmk。 | Audit, Deny, Disabled | 1.1.0 |
| Azure 監視器記錄叢集應使用客戶自控金鑰進行加密 | 使用客戶自控金鑰加密建立 Azure 監視器記錄叢集。 依預設，記錄資料會使用服務代控金鑰進行加密，但若要遵循法規，通常需要有客戶自控金鑰。 Azure 監視器中的客戶自控金鑰可讓您更充分掌控資料的存取權，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure 串流分析作業應使用客戶自控金鑰來加密資料 | 要將串流分析作業的任何中繼資料和私人資料資產安全地儲存在儲存體帳戶中時，請使用客戶自控金鑰。 這可讓您完全控管串流分析資料的加密方式。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure Synapse 工作區應使用客戶自控金鑰來加密待用資料 | 使用客戶自控金鑰來控制 Azure Synapse 工作區中所儲存資料的待用加密。 客戶管理的金鑰會在使用服務管理的金鑰完成的預設加密以外新增第二層加密，來提供雙重加密。 | Audit, Deny, Disabled | 1.0.0 |
| Bot Service 應使用客戶自控金鑰進行加密 | Azure Bot Service 會自動加密您的資源，以保護您的資料，並符合組織安全性和合規性承諾。 依預設，系統會使用 Microsoft 代控加密金鑰。 若要在管理金鑰或控制訂用帳戶存取權方面有更大的彈性，請選取客戶自控金鑰，也稱為攜帶您自己的金鑰 (BYOK)。 深入了解 Azure Bot Service 加密：https://docs.microsoft.com/azure/bot-service/bot-service-encryption。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure Kubernetes Service 叢集中的作業系統和資料磁碟都應該使用客戶自控金鑰加密 | 使用客戶自控金鑰加密 OS 和資料磁碟，可在金鑰管理方面提供更大的控制能力和彈性。 這是許多法規和業界合規性標準的常見需求。 | Audit, Deny, Disabled | 1.0.1 |
| 容器登錄應使用客戶自控金鑰加密 | 使用客戶自控金鑰來管理登錄內容的待用加密。 根據預設，資料會使用服務管理的金鑰進行待用加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/acr/CMK。 | Audit, Deny, Disabled | 1.1.2 |
| 事件中樞命名空間應使用客戶自控金鑰進行加密 | Azure 事件中樞支援使用 Microsoft 代控金鑰 (預設) 或客戶自控金鑰來加密待用資料的選項。 選擇使用客戶自控金鑰來加密資料，可讓您指派、輪替、停用及撤銷事件中樞將用來加密命名空間中資料的金鑰存取權。 請注意，事件中樞僅支援使用客戶自控金鑰來加密專用叢集中的命名空間。 | Audit, Disabled | 1.0.0 |
| Logic Apps 整合服務環境應使用客戶自控金鑰進行加密 | 部署至整合服務環境，以使用客戶自控金鑰來管理 Logic Apps 資料的待用加密。 根據預設，客戶資料會使用服務管理的金鑰進行加密，但通常需要有客戶自控金鑰才能符合法規合規性標準。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 | Audit, Deny, Disabled | 1.0.0 |
| 受控磁碟應同時使用平台管理的金鑰和客戶自控金鑰進行雙重加密 | 要求高安全性，且擔憂與任何特定加密演算法、實作或金鑰遭盜用相關風險的客戶，可以選擇使用平台代控加密金鑰，在基礎結構層使用不同的加密演算法/模式，多一層加密的保障。 需要有磁碟加密集，才能使用雙重加密。 深入了解：https://aka.ms/disks-doubleEncryption。 | Audit, Deny, Disabled | 1.0.0 |
| Microsoft 管理控制項 1643 - 密碼編譯金鑰的建立和管理 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| OS 和資料磁碟應使用客戶自控金鑰進行加密 | 使用客戶自控金鑰來管理受控磁碟內容的待用加密。 依預設，資料會使用平台代控金鑰進行待用加密，但若要遵循法規，通常需要有客戶自控金鑰。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 深入了解：https://aka.ms/disks-cmk。 | Audit, Deny, Disabled | 3.0.0 |
| Azure 監視器中儲存的查詢，應儲存在客戶儲存體帳戶中，以進行記錄加密 | 將儲存體帳戶連結至 Log Analytics 工作區，以使用儲存體帳戶加密來保護已儲存的查詢。 客戶自控金鑰通常需要符合法規合規性，並進一步控制 Azure 監視器中已儲存查詢的存取權。 如需上述項目的詳細資料，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| 服務匯流排進階命名空間應使用客戶自控金鑰進行加密 | Azure 服務匯流排支援使用 Microsoft 代控金鑰 (預設) 或客戶自控金鑰來加密待用資料的選項。 選擇使用客戶自控金鑰來加密資料，可讓您指派、輪替、停用及撤銷服務匯流排將用來加密命名空間中資料的金鑰存取權。 請注意，服務匯流排僅支援使用客戶自控金鑰來加密進階命名空間。 | Audit, Disabled | 1.0.0 |
| SQL 受控執行個體應使用客戶自控金鑰來加密待用資料 | 實作具有自備金鑰的透明資料加密 (TDE)，能夠增加 TDE 保護裝置的透明度及控制權、透過 HSM 支援的外部服務提高安全性，以及提升職權劃分。 這項建議適用於具有相關合規性需求的組織。 | Audit, Deny, Disabled | 2.0.0 |
| SQL 伺服器應使用客戶自控金鑰來加密待用資料 | 實作具有自備金鑰的透明資料加密 (TDE)，能夠增加 TDE 保護裝置的透明度及控制權、透過 HSM 支援的外部服務提高安全性，以及提升職權劃分。 這項建議適用於具有相關合規性需求的組織。 | Audit, Deny, Disabled | 2.0.1 |
| 儲存體帳戶加密範圍應使用客戶自控金鑰來加密待用資料 | 使用客戶自控金鑰來管理儲存體帳戶加密範圍的待用加密。 客戶自控金鑰可讓您使用由您建立及擁有的 Azure Key Vault 金鑰來加密資料。 您對金鑰生命週期擁有完全的控制權和責任，包括輪替和管理。 若要深入了解儲存體帳戶加密範圍，請參閱https://aka.ms/encryption-scopes-overview。 | Audit, Deny, Disabled | 1.0.0 |
| 儲存體帳戶應使用客戶自控金鑰進行加密 | 使用客戶自控金鑰，以更具彈性的方式保護您的 blob 和檔案儲存體帳戶。 當您指定客戶自控金鑰時，該金鑰會用來保護及控制加密資料所需金鑰的存取權。 客戶自控金鑰提供額外的功能，可用於控制金鑰輪替，或以密碼編譯的方式清除資料。 | Audit, Disabled | 1.0.3 |
可用性
識別碼：NIST SP 800-53 Rev. 5 SC-12 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1644 - 密碼編譯金鑰的建立和管理 | 可用性 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
對稱金鑰
識別碼：NIST SP 800-53 Rev. 5 SC-12 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1645 - 密碼編譯金鑰的建立和管理 | 對稱金鑰 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
非對稱金鑰
識別碼：NIST SP 800-53 Rev. 5 SC-12 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1646 - 密碼編譯金鑰的建立和管理 | 非對稱金鑰 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
密碼編譯保護
識別碼：NIST SP 800-53 Rev. 5 SC-13 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1647 - 密碼編譯的使用 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
共同運算裝置和應用程式
識別碼：NIST SP 800-53 Rev. 5 SC-15 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1648 - 共同作業計算裝置 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1649 - 共同作業計算裝置 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
公開金鑰基礎結構憑證
識別碼：NIST SP 800-53 Rev. 5 SC-17 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1650 - 公開金鑰基礎結構憑證 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
行動程式碼
識別碼：NIST SP 800-53 Rev. 5 SC-18 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1651 - 行動程式碼 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1652 - 行動程式碼 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1653 - 行動程式碼 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
安全的名稱/位址解析服務 (權威來源)
識別碼：NIST SP 800-53 Rev. 5 SC-20 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1656 - 安全的名稱/位址解析服務 (權威來源) | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1657 - 安全的名稱/位址解析服務 (權威來源) | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
安全的名稱/位址解析服務 (遞迴或快取解析程式)
識別碼：NIST SP 800-53 Rev. 5 SC-21 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1658 - 安全的名稱/位址解析服務 (遞迴或快取解析程式) | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
名稱/位址解析服務的架構和佈建
識別碼：NIST SP 800-53 Rev. 5 SC-22 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1659 - 名稱/位址解析服務的架構和佈建 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
工作階段真確性
識別碼：NIST SP 800-53 Rev. 5 SC-23 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1660 - 工作階段真確性 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
登出時使工作階段識別碼失效
識別碼：NIST SP 800-53 Rev. 5 SC-23 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1661 - 工作階段真確性 | 登出時使工作階段識別碼失效 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
在已知狀態失敗
識別碼：NIST SP 800-53 Rev. 5 SC-24 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1662 - 在已知狀態失敗 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
待用資訊的保護
識別碼：NIST SP 800-53 Rev. 5 SC-28 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| App Service 環境應啟用內部加密 | 將 InternalEncryption 設定為 True，會讓 App Service 環境中前端與背景工作角色之間的分頁檔、背景工作角色磁碟和內部網路流量加密。 若要深入了解，請參閱 https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption。 | Audit, Disabled | 1.0.1 |
| 應加密自動化帳戶變數 | 儲存敏感性資料時，請務必為自動化帳戶變數資產啟用加密 | Audit, Deny, Disabled | 1.1.0 |
| Azure 資料箱作業應針對裝置上的待用資料啟用雙重加密 | 針對裝置上的待用資料啟用軟體型的第二層加密。 裝置已透過進階加密標準的 256 位加密來保護待用資料。 此選項會新增第二層資料加密。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 監視器記錄叢集應在啟用基礎結構加密的情況下建立 (雙重加密) | 為了確保使用兩個不同的加密演算法和兩個不同的金鑰，在服務層級和基礎結構層級啟用安全資料加密，請使用 Azure 監視器專用叢集。 在區域支援時，預設會啟用此選項，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure Stack Edge 裝置應該使用雙重加密 | 若要保護裝置上待用的資料，請確定其已雙重加密並已控制對資料的存取，以及在裝置停用之後，會安全地從資料磁碟清除資料。 雙重加密是使用兩個層級的加密：資料磁碟區上的 BitLocker XTS-AES 256 位元加密，以及硬碟的內建加密。 若要深入了解，請參閱特定Stack Edge 裝置的安全性概觀文件。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| 應該在 Azure 資料總管上啟用磁碟加密 | 啟用磁碟加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 | Audit, Deny, Disabled | 2.0.0 |
| 應該在 Azure 資料總管上啟用雙重加密 | 啟用雙重加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 啟用雙重加密時，儲存體帳戶中的資料會加密兩次；一次在服務層級，一次在基礎結構層級，且會使用兩個不同的加密演算法和兩個不同的金鑰。 | Audit, Deny, Disabled | 2.0.0 |
| Microsoft 管理控制項 1663 - 待用資訊的保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應將 ClusterProtectionLevel 屬性設定為 EncryptAndSign | Service Fabric 使用主要叢集憑證，可為節點對節點的通訊提供三層保護 (None、Sign 及 EncryptAndSign)。 設定保護層級可確保所有節點對節點的訊息皆經過加密及數位簽署 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應具有基礎結構加密 | 啟用基礎結構加密，以取得資料安全的更高層級保證。 啟用基礎結構加密時，儲存體帳戶中的資料會加密兩次。 | Audit, Deny, Disabled | 1.0.0 |
| 在 Azure Kubernetes Service 叢集內，代理程式節點集區的暫存磁碟及快取應在主機上加密 | 為了增強資料安全性，儲存在 Azure Kubernetes Service 節點 VM 的虛擬機器 (VM) 主機上的資料，應該進行待用加密。 這是許多法規和業界合規性標準的常見需求。 | Audit, Deny, Disabled | 1.0.1 |
| 應在 SQL 資料庫上啟用透明資料加密 | 應啟用透明資料加密，以保護待用資料，並滿足合規性需求 | AuditIfNotExists, Disabled | 2.0.0 |
| 虛擬機器和虛擬機器擴展集應啟用主機上的加密 | 使用主機上的加密可進行虛擬機器和虛擬機器擴展集資料的端對端加密。 主機上的加密可讓您對暫存磁碟和 OS/資料磁碟快取進行待用加密。 啟用主機上的加密時，暫存和暫時性 OS 磁碟會使用平台代控金鑰進行加密。 視磁碟上選取的加密類型而定，OS/資料磁碟快取會使用客戶自控金鑰或平台代控金鑰進行待用加密。 深入了解：https://aka.ms/vm-hbe。 | Audit, Deny, Disabled | 1.0.0 |
密碼編譯保護
識別碼：NIST SP 800-53 Rev. 5 SC-28 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| App Service 環境應啟用內部加密 | 將 InternalEncryption 設定為 True，會讓 App Service 環境中前端與背景工作角色之間的分頁檔、背景工作角色磁碟和內部網路流量加密。 若要深入了解，請參閱 https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption。 | Audit, Disabled | 1.0.1 |
| 應加密自動化帳戶變數 | 儲存敏感性資料時，請務必為自動化帳戶變數資產啟用加密 | Audit, Deny, Disabled | 1.1.0 |
| Azure 資料箱作業應針對裝置上的待用資料啟用雙重加密 | 針對裝置上的待用資料啟用軟體型的第二層加密。 裝置已透過進階加密標準的 256 位加密來保護待用資料。 此選項會新增第二層資料加密。 | Audit, Deny, Disabled | 1.0.0 |
| Azure 監視器記錄叢集應在啟用基礎結構加密的情況下建立 (雙重加密) | 為了確保使用兩個不同的加密演算法和兩個不同的金鑰，在服務層級和基礎結構層級啟用安全資料加密，請使用 Azure 監視器專用叢集。 在區域支援時，預設會啟用此選項，請參閱 https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| Azure Stack Edge 裝置應該使用雙重加密 | 若要保護裝置上待用的資料，請確定其已雙重加密並已控制對資料的存取，以及在裝置停用之後，會安全地從資料磁碟清除資料。 雙重加密是使用兩個層級的加密：資料磁碟區上的 BitLocker XTS-AES 256 位元加密，以及硬碟的內建加密。 若要深入了解，請參閱特定Stack Edge 裝置的安全性概觀文件。 | 稽核、稽核、拒絕、拒絕、停用、停用 | 1.1.0 |
| 應該在 Azure 資料總管上啟用磁碟加密 | 啟用磁碟加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 | Audit, Deny, Disabled | 2.0.0 |
| 應該在 Azure 資料總管上啟用雙重加密 | 啟用雙重加密可協助保護資料安全，以符合貴組織安全性和合規性承諾。 啟用雙重加密時，儲存體帳戶中的資料會加密兩次；一次在服務層級，一次在基礎結構層級，且會使用兩個不同的加密演算法和兩個不同的金鑰。 | Audit, Deny, Disabled | 2.0.0 |
| Microsoft 管理的控制措施 1437 - 媒體傳輸 | 密碼編譯保護 | Microsoft 會實作此媒體保護控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1664 - 待用資訊的保護 | 密碼編譯保護 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
| Service Fabric 叢集應將 ClusterProtectionLevel 屬性設定為 EncryptAndSign | Service Fabric 使用主要叢集憑證，可為節點對節點的通訊提供三層保護 (None、Sign 及 EncryptAndSign)。 設定保護層級可確保所有節點對節點的訊息皆經過加密及數位簽署 | Audit, Deny, Disabled | 1.1.0 |
| 儲存體帳戶應具有基礎結構加密 | 啟用基礎結構加密，以取得資料安全的更高層級保證。 啟用基礎結構加密時，儲存體帳戶中的資料會加密兩次。 | Audit, Deny, Disabled | 1.0.0 |
| 在 Azure Kubernetes Service 叢集內，代理程式節點集區的暫存磁碟及快取應在主機上加密 | 為了增強資料安全性，儲存在 Azure Kubernetes Service 節點 VM 的虛擬機器 (VM) 主機上的資料，應該進行待用加密。 這是許多法規和業界合規性標準的常見需求。 | Audit, Deny, Disabled | 1.0.1 |
| 應在 SQL 資料庫上啟用透明資料加密 | 應啟用透明資料加密，以保護待用資料，並滿足合規性需求 | AuditIfNotExists, Disabled | 2.0.0 |
| 虛擬機器和虛擬機器擴展集應啟用主機上的加密 | 使用主機上的加密可進行虛擬機器和虛擬機器擴展集資料的端對端加密。 主機上的加密可讓您對暫存磁碟和 OS/資料磁碟快取進行待用加密。 啟用主機上的加密時，暫存和暫時性 OS 磁碟會使用平台代控金鑰進行加密。 視磁碟上選取的加密類型而定，OS/資料磁碟快取會使用客戶自控金鑰或平台代控金鑰進行待用加密。 深入了解：https://aka.ms/vm-hbe。 | Audit, Deny, Disabled | 1.0.0 |
程序隔離
識別碼：NIST SP 800-53 Rev. 5 SC-39 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1665 - 處理程序隔離 | Microsoft 會實作此系統和通訊保護控制項 | 稽核 | 1.0.0 |
系統和資訊完整性
原則和程序
識別碼：NIST SP 800-53 Rev. 5 SI-1 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1666 - 系統與資訊完整性原則和程序 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1667 - 系統與資訊完整性原則和程序 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
瑕疵補救
識別碼：NIST SP 800-53 Rev. 5 SI-2 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| App Service 應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 函數應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| Kubernetes 服務應升級為不易受攻擊的 Kubernetes 版本 | 將您的 Kubernetes 服務叢集升級為較新的 Kubernetes 版本，以防禦您目前 Kubernetes 版本中的已知弱點。 Kubernetes 版本 1.11.9 +、1.12.7+、1.13.5+ 及 1.14.0+ 中已修補弱點 CVE-2019-9946 | Audit, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1668 - 瑕疵補救 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1669 - 瑕疵補救 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1670 - 瑕疵補救 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1671 - 瑕疵補救 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| SQL 資料庫應已解決發現的弱點 | 監視弱點評量掃描結果及如何補救資料庫弱點的建議。 | AuditIfNotExists, Disabled | 4.1.0 |
| 您應在機器上修復安全性組態的弱點 | Azure 資訊安全中心會依建議監視不符合設定基準的伺服器 | AuditIfNotExists, Disabled | 3.1.0 |
自動化瑕疵補救狀態
識別碼：NIST SP 800-53 Rev. 5 SI-2 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1673 - 瑕疵補救 | 自動化瑕疵補救狀態 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
修正錯誤及修正動作基準的時間
識別碼：NIST SP 800-53 Rev. 5 SI-2 (3) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1674 - 瑕疵補救 | 針對矯正措施補救缺陷/基準的時機 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1675 - 瑕疵補救 | 針對矯正措施補救缺陷/基準的時機 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
移除先前版本的軟體和韌體
識別碼：NIST SP 800-53 Rev. 5 SI-2 (6) 擁有權：客戶
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| App Service 應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| 函數應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| Kubernetes 服務應升級為不易受攻擊的 Kubernetes 版本 | 將您的 Kubernetes 服務叢集升級為較新的 Kubernetes 版本，以防禦您目前 Kubernetes 版本中的已知弱點。 Kubernetes 版本 1.11.9 +、1.12.7+、1.13.5+ 及 1.14.0+ 中已修補弱點 CVE-2019-9946 | Audit, Disabled | 1.0.2 |
惡意程式碼防護
識別碼：NIST SP 800-53 Rev. 5 SI-3 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| Microsoft 管理控制項 1676 - 惡意程式碼防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1677 - 惡意程式碼防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1678 - 惡意程式碼防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1679 - 惡意程式碼防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1681 - 惡意程式碼防護 | 自動更新 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理的控制措施 1682 - 惡意程式碼防護 | 非簽章型偵測 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| 應在您的機器上啟用 Windows Defender 惡意探索防護 | Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。 | AuditIfNotExists, Disabled | 1.1.1 |
系統監視
識別碼：NIST SP 800-53 Rev. 5 SI-4 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]：啟用 Azure Arc 的 Kubernetes 叢集應該已安裝適用於雲端的 Microsoft Defender 延伸模組 | 適用於 Azure Arc 的適用於雲端的 Microsoft Defender 延伸模組可為已啟用 Arc 的 Kubernetes 叢集提供威脅防護。 該延伸模組會從叢集內的所有節點收集資料，並將其傳送到雲端的 Azure Defender for Kubernetes 後端，以進一步分析。 在 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc 中深入了解。 | AuditIfNotExists, Disabled | 4.0.1-preview |
| [預覽版]：應在 Linux 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| [預覽版]：應在 Windows 虛擬機器上安裝網路流量資料收集代理程式 | 資訊安全中心會使用 Microsoft Dependency Agent 從您的 Azure 虛擬機器收集網路流量資料，以啟用進階網路保護功能，例如網路地圖上的流量視覺效果、網路強化建議與特定的網路威脅。 | AuditIfNotExists, Disabled | 1.0.2-preview |
| 應啟用適用於 Azure SQL Database 伺服器的 Azure Defender | 適用於 SQL 的 Azure Defender 會提供找出潛在資料庫弱點並降低其風險的功能，以偵測可能對 SQL 資料庫造成威脅的異常活動，以及探索並分類敏感性資料。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於 Resource Manager 的 Azure Defender | 適用於 Resource Manager 的 Azure Defender 會自動監視組織中的資源管理作業。 Azure Defender 會偵測威脅，並警示您可疑的活動。 造訪 https://aka.ms/defender-for-resource-manager 深入了解 Azure Defender for Resource Manager 的功能。 啟用此 Azure Defender 方案會產生費用。 在資訊安全中心的價格頁面上深入了解各區域的價格詳細資料：https://aka.ms/pricing-security-center。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| 應為未受保護的 Azure SQL 伺服器啟用適用於 SQL 的 Azure Defender | 在沒有「進階資料安全性」的情況下稽核 SQL 伺服器 | AuditIfNotExists, Disabled | 2.0.1 |
| 應為未受保護的 SQL 受控執行個體啟用適用於 SQL 的 Azure Defender | 在沒有進階資料安全性的情況下稽核 SQL 受控執行個體。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應在您的電腦上安裝來賓設定延伸模組 | 若要確保電腦來賓內設定的安全設定，請安裝來賓設定延伸模組。 延伸模組會監視的客體內設定包括作業系統的設定、應用程式設定或目前狀態，以及環境設定。 安裝後便可使用客體內原則，例如「應啟用 Windows 惡意探索防護」。 深入了解：https://aka.ms/gcpol。 | AuditIfNotExists, Disabled | 1.0.2 |
| 應啟用適用於容器的 Microsoft Defender | 適用於容器的 Microsoft Defender 為您的 Azure、混合式和多雲端 Kube 環境提供強化、弱點評量及執行階段保護。 | AuditIfNotExists, Disabled | 1.0.0 |
| 應啟用適用於儲存體的 Microsoft Defender (傳統) | 適用於儲存體的 Microsoft Defender (傳統) 會偵測異常且可能有害的儲存體帳戶存取或惡意探索。 | AuditIfNotExists, Disabled | 1.0.4 |
| Microsoft 管理控制項 1683 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1684 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1685 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1686 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1687 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1688 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1689 - 資訊系統監視 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| 應啟用網路監看員 | 網路監看員是一項區域性服務，可讓您監視與診斷位於和進出 Azure 的網路案例層級條件。 案例層級監視可讓您在端對端網路層級檢視診斷問題。 您必須在存在虛擬網路的每個區域中，建立網路監看員資源群組。 如果特定區域無法使用網路監看員資源群組，就會啟用警示。 | AuditIfNotExists, Disabled | 3.0.0 |
| 應使用系統指派的受控識別，部署虛擬機器的來賓設定延伸模組 | 來賓設定擴充功能需要系統指派的受控識別。 安裝客體設定延伸模組但是沒有系統指派受控識別時，此原則範圍內的 Azure 虛擬機器將會不符合規範。 深入了解：https://aka.ms/gcpol | AuditIfNotExists, Disabled | 1.0.1 |
全系統的入侵偵測系統
識別碼：NIST SP 800-53 Rev. 5 SI-4 (1) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1690 - 資訊系統監視 | 全系統的入侵偵測系統 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
即時分析的自動化工具和機制
識別碼：NIST SP 800-53 Rev. 5 SI-4 (2) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1691 - 資訊系統監視 | 適用於即時分析的自動化工具 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
輸入和輸出通訊流量
識別碼：NIST SP 800-53 Rev. 5 SI-4 (4) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1692 - 資訊系統監視 | 輸入和輸出通訊流量 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
系統產生的警示
識別碼：NIST SP 800-53 Rev. 5 SI-4 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1693 - 資訊系統監視 | 系統產生的警示 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
分析通訊流量異常
識別碼：NIST SP 800-53 Rev. 5 SI-4 (11) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1694 - 資訊系統監視 | 分析通訊流量異常 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
自動化組織產生的警示
識別碼：NIST SP 800-53 Rev. 5 SI-4 (12) 擁有權：客戶
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應針對高嚴重性警示啟用電子郵件通知 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請在資訊安全中心內啟用高嚴重性警示的電子郵件通知。 | AuditIfNotExists, Disabled | 1.0.1 |
| 應已針對高嚴重性警示啟用傳送給訂用帳戶擁有者的電子郵件通知 | 為確保訂用帳戶擁有者會在其訂用帳戶有潛在安全性缺口時收到通知，請在資訊安全中心內設定發送對象為訂用帳戶擁有者的高嚴重性警示電子郵件通知。 | AuditIfNotExists, Disabled | 2.0.0 |
| 訂用帳戶應具有連絡人電子郵件地址以處理安全性問題 | 為確保在您的其中一個訂用帳戶有潛在安全性缺口時，您組織中的相關人員會收到通知，請設定要接收資訊安全中心所傳來電子郵件通知的安全性連絡人。 | AuditIfNotExists, Disabled | 1.0.1 |
無線入侵偵測
識別碼：NIST SP 800-53 Rev. 5 SI-4 (14) 擁有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1695 - 資訊系統監視 | 無線入侵偵測 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
將監視資訊相互關聯
識別碼：NIST SP 800-53 Rev. 5 SI-4 (16) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1696 - 資訊系統監視 | 將監視資訊相互關聯 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
分析流量及封面外流
識別碼：NIST SP 800-53 Rev. 5 SI-4 (18) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1697 - 資訊系統監視 | 分析流量/掩飾外洩 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
個人的風險
識別碼：NIST SP 800-53 Rev. 5 SI-4 (19) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1698 - 資訊系統監視 | 具有較大風險的個人 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
具權限的使用者
識別碼：NIST SP 800-53 Rev. 5 SI-4 (20) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1699 - 資訊系統監視 | 具特殊權限的使用者 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
未經授權的網路服務
識別碼：NIST SP 800-53 Rev. 5 SI-4 (22) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1700 - 資訊系統監視 | 未經授權的網路服務 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
主機型裝置
識別碼：NIST SP 800-53 Rev. 5 SI-4 (23) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1701 - 資訊系統監視 | 主機型裝置 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
入侵指標
識別碼：NIST SP 800-53 Rev. 5 SI-4 (24) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1702 - 資訊系統監視 | 入侵指標 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
安全性警示、建議及指示
識別碼：NIST SP 800-53 Rev. 5 SI-5 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1703 - 安全性警示與建議 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1704 - 安全性警示與公告 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1705 - 安全性警示與公告 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1706 - 安全性警示與公告 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
自動化警示與諮詢
識別碼：NIST SP 800-53 Rev. 5 SI-5 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1707 - 安全性警示 & 諮詢 | 自動化警示和諮詢 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
安全性與隱私權功能驗證
識別碼：NIST SP 800-53 Rev. 5 SI-6 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1708 - 安全性功能驗證 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1709 - 安全性功能驗證 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1710 - 安全性功能驗證 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1711 - 安全性功能驗證 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
軟體、韌體及資訊完整性
識別碼：NIST SP 800-53 Rev. 5 SI-7 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1712 - 軟體 & 資訊完整性 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
完整性檢查
識別碼：NIST SP 800-53 Rev. 5 SI-7 (1) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1713 - 軟體 & 資訊完整性 | 完整性檢查 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
自動化完整性違規通知
識別碼：NIST SP 800-53 Rev. 5 SI-7 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1714 - 軟體 & 資訊完整性 | 自動通知完整性違規 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
自動化完整性違規回應
識別碼：NIST SP 800-53 Rev. 5 SI-7 (5) 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1715 - 軟體 & 資訊完整性 | 自動化完整性違規回應 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
整合偵測和回應
識別碼：NIST SP 800-53 Rev. 5 SI-7 (7) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1716 - 軟體 & 資訊完整性 | 整合偵測和回應 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
垃圾郵件防護
識別碼：NIST SP 800-53 Rev. 5 SI-8 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1719 - 垃圾郵件防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1720 - 垃圾郵件防護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
自動更新
識別碼：NIST SP 800-53 Rev. 5 SI-8 (2) 所有權：Microsoft
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理的控制措施 1722 - 垃圾郵件防護 | 自動更新 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
資訊輸入驗證
識別碼：NIST SP 800-53 Rev. 5 SI-10 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1723 - 資訊輸入驗證 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
錯誤處理
識別碼：NIST SP 800-53 Rev. 5 SI-11 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1724 - 錯誤處理 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| Microsoft 管理控制項 1725 - 錯誤處理 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
資訊管理和保留
識別碼：NIST SP 800-53 Rev. 5 SI-12 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| Microsoft 管理控制項 1726 - 資訊輸出處理和保留 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
記憶體保護
識別碼：NIST SP 800-53 Rev. 5 SI-16 所有權：共用
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| 應啟用適用於伺服器的 Azure Defender | 適用於伺服器的 Azure Defender 會為伺服器工作負載提供即時的威脅防護，並產生強化建議與可疑活動警示。 | AuditIfNotExists, Disabled | 1.0.3 |
| Microsoft 管理控制項 1727 - 記憶體保護 | Microsoft 會實作此系統和資訊完整性控制項 | 稽核 | 1.0.0 |
| 應在您的機器上啟用 Windows Defender 惡意探索防護 | Windows Defender 惡意探索防護會使用 Azure 原則客體設定代理程式。 「惡意探索防護」有四個元件，設計用來鎖定裝置，使其免於遭受惡意程式碼攻擊的各種攻擊和封鎖行為，同時讓企業能夠平衡本身的安全性風險和生產力需求 (僅限 Windows)。 | AuditIfNotExists, Disabled | 1.1.1 |
後續步驟
有關 Azure 原則的其他文章：
- 法規合規性概觀。
- 請參閱方案定義結構。
- 在 Azure 原則範例檢閱其他範例。
- 檢閱了解原則效果。
- 了解如何補救不符合規範的資源。