Linha de base de segurança do Azure para o Gerenciador de Dados do Azure para Energia

Essa linha de base de segurança aplica as diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure Data Manager for Energy. O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Data Manager for Energy.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure Data Manager for Energy, o que pode resultar em maiores considerações de segurança.

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Suporte a grupos de segurança de rede

Descrição: O tráfego de rede de serviço respeita as regras dos Grupos de Segurança de Rede atribuídas às suas sub-redes. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Link Privado do Azure

Descrição: Funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou o Firewall do Azure). Saiba mais.

Diretrizes de configuração: a instância do Azure Data Manager for Energy pode ser conectada de uma rede virtual por meio de um ponto de extremidade privado, que é um conjunto de endereços IP privados em uma sub-rede dentro da rede virtual usando o Link Privado do Azure. O acesso à instância pode ser limitado por esses endereços IP privados.

O ponto de extremidade privado pode ser configurado durante o processo de provisionamento da instância ou após a criação da instância. A instância do Azure Data Manager para Energia configurada com Link Privado pode ser conectada usando um método de aprovação automática ou manual.

Referência: Criar um ponto de extremidade privado para o Azure Data Manager for Energy Preview

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar acesso à rede pública". Saiba mais.

Diretrizes de configuração: desabilite o acesso à rede pública alternando um switch para acesso à rede pública.

Referência: Criar um ponto de extremidade privado para o Azure Data Manager for Energy Preview

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Notas sobre o recurso: o Azure Data Manager for Energy usa a API de direitos e atua como um sistema de autorização baseado em grupo para partições de dados no Azure Data Manager for Energy.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Como gerenciar usuários

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticações locais compatíveis com o acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades Gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Notas de recursos: atualmente, outros serviços podem se conectar ao Azure Data Manager for Energy usando uma identidade gerenciada atribuída pelo sistema ou pelo usuário. No entanto, o próprio Azure Data Manager for Energy não dá suporte a identidades gerenciadas atribuídas pelo sistema.

Diretrizes de configuração: use identidades gerenciadas do Azure para acessar o plano de dados ou o painel de controle da instância do Azure Data Manager para Energia de outros serviços do Azure.

Referência: usar uma identidade gerenciada para acessar o Azure Data Manager for Energy Preview de outros serviços do Azure

Princípios de Serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Observações sobre o recurso: Uma entidade de serviço é criada automaticamente durante o processo de registro do aplicativo.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Início Rápido: Criar uma instância de Visualização do Azure Data Manager for Energy Preview

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso Condicional para o Plano de Dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

IM-8: restringir a exposição de credenciais e segredos

Recursos

Integração e armazenamento de credenciais de serviço e segredos no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

Recursos

Contas de administrador local

Descrição: O serviço tem o conceito de uma conta administrativa local. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

PA-7: Seguir o princípio de administração de privilégios mínimos ('Just Enough Administration')

Recursos

RBAC do Azure para plano de dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Notas sobre o recurso: O acesso ao plano de dados é gerenciado por meio do serviço de autorização.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Customer Lockbox pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Diretrizes de Configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Referência: Usar a Caixa de Bloqueio do Cliente para o Azure Data Manager para Energy Preview

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como Azure Purview ou Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção de vazamento/perda de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-3: criptografar dados confidenciais em trânsito

Recursos

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: Criptografar dados em trânsito

DP-4: habilitar a criptografia de dados em repouso por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Observações sobre o recurso: o cliente precisa selecionar as MMK (chaves gerenciadas pela Microsoft) na guia de criptografia durante o provisionamento de instância do Azure Data Manager for Energy. As configurações de chave não podem ser editadas depois que a instância for criada.

Diretrizes de configuração: habilite a criptografia de dados em repouso usando chaves gerenciadas pela plataforma (gerenciadas pela Microsoft) quando não configuradas automaticamente pelo serviço.

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é compatível com o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Notas sobre o recurso: os clientes podem configurar a CMK somente durante o provisionamento da instância do Azure Data Manager for Energy. As configurações de CMK não podem ser editadas depois que a instância é criada.

Diretrizes de configuração: a criptografia de dados em repouso protege os dados e ajuda a atender aos compromissos de segurança e conformidade da organização. Habilite e implemente a criptografia de dados em repouso usando a chave gerenciada pelo cliente.

Referência: segurança e criptografia de dados no Azure Data Manager for Energy

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Notas sobre o recurso: o Azure Key Vault é usado para armazenar a chave de criptografia gerenciada pelo cliente.

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Girar e revogar as suas chaves no Azure Key Vault e no seu serviço com base em um cronograma definido ou quando houver aposentadoria ou comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: Segurança e criptografia de dados no Azure Data Manager for Energy Preview

Gerenciamento de Ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte do Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

LT-4: ativar a coleta de logs para investigação de segurança

Recursos

Logs de Recursos do Azure

Descrição: O serviço produz logs de recursos que podem fornecer métricas e registros aprimorados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um espaço de trabalho do Log Analytics. Saiba mais.

Diretrizes de configuração: habilite os logs de recursos para o serviço.

Observação: o Azure Data Manager for Energy Preview dá suporte à exportação de Logs de Serviço OSDU para o Azure Monitor usando uma configuração de diagnóstico que ajuda a solucionar problemas, depurar e monitorar os serviços OSDU. Os logs de auditoria, que fornecem trilhas de auditoria para APIs do plano de dados, estão disponíveis no Azure Data Manager for Energy.

Referência: Integrar logs de serviço OSDU ao Azure Monitor

Backup e recuperação

Para obter mais informações, consulte o Microsoft Cloud Security Benchmark: Backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Backup do Azure

Descrição: o backup do serviço pode ser feito pelo serviço de Backup do Azure. Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Capacidade de backup nativo do serviço

Descrição: O serviço dá suporte a sua própria funcionalidade de backup nativo (se não estiver usando o Backup do Azure). Saiba mais.

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

Próximas etapas

• Confira a visão geral do Microsoft Cloud Security Benchmark
• Saiba mais sobre a Linhas de base de segurança do Azure