Controle de Segurança: Configuração Segura

Estabeleça, implemente e gerencie ativamente (rastreie, relate, corrija) a configuração de segurança dos recursos do Azure para impedir que invasores explorem serviços e configurações vulneráveis.

7.1: Estabelecer configurações seguras para todos os recursos do Azure

Use aliases de Política do Azure para criar políticas personalizadas para auditar ou impor a configuração de seus recursos do Azure. Você também pode usar definições internas da Política do Azure.

Além disso, o Azure Resource Manager tem a capacidade de exportar o modelo em JSON (JavaScript Object Notation), que deve ser revisado para garantir que as configurações atendam/excedam os requisitos de segurança para sua organização.

Você também pode usar recomendações da Central de Segurança do Azure como uma linha de base de configuração segura para seus recursos do Azure.

• Como exibir aliases disponíveis da Política do Azure

• Tutorial: Criar e gerir políticas para impor a conformidade

• Exportação de recursos únicos e múltiplos para um modelo no portal do Azure

• Recomendações de segurança: um guia de referência

7.2: Estabelecer configurações seguras do sistema operacional

Use as recomendações da Central de Segurança do Azure para manter as configurações de segurança em todos os recursos de computação. Além disso, você pode usar imagens personalizadas do sistema operacional ou a configuração do Estado de Automação do Azure para estabelecer a configuração de segurança do sistema operacional exigida pela sua organização.

• Como monitorar as recomendações da Central de Segurança do Azure

• Recomendações de segurança: um guia de referência

• Visão geral da configuração do estado de automação do Azure

• Carregar um VHD e usá-lo para criar novas VMs do Windows no Azure

• Criar uma VM Linux a partir de um disco personalizado com a CLI do Azure

7.3: Manter configurações de recursos seguras do Azure

Utilize a Política do Azure [negar] e [implantar se não existir] para impor configurações seguras nos seus recursos do Azure. Além disso, você pode usar modelos do Azure Resource Manager para manter a configuração de segurança dos recursos do Azure exigidos pela sua organização.

• Compreender os efeitos da Política do Azure

• Criar e gerenciar políticas para impor a conformidade

• Visão geral dos modelos do Azure Resource Manager

7.4: Manter as configurações seguras do sistema operacional

Siga as recomendações da Central de Segurança do Azure sobre como executar avaliações de vulnerabilidade em seus recursos de computação do Azure. Além disso, você pode usar modelos do Azure Resource Manager, imagens personalizadas do sistema operacional ou configuração do Estado de Automação do Azure para manter a configuração de segurança do sistema operacional exigida pela sua organização. Os modelos de máquina virtual da Microsoft combinados com a Configuração de Estado Desejado da Automação do Azure podem ajudar a atender e manter os requisitos de segurança.

Além disso, observe que as Imagens de Máquina Virtual do Azure Marketplace publicadas pela Microsoft são gerenciadas e mantidas pela Microsoft.

• Como implementar as recomendações de avaliação de vulnerabilidade da Central de Segurança do Azure

• Como criar uma máquina virtual do Azure a partir de um modelo do Azure Resource Manager

• Visão geral da configuração do estado de automação do Azure

• Criar uma máquina virtual do Windows no portal do Azure

• Informações sobre como baixar o modelo de VM

• Script de exemplo para carregar um VHD no Azure e criar uma nova VM

7.5: Armazenar com segurança a configuração dos recursos do Azure

Use o Azure DevOps para armazenar e gerenciar seu código com segurança, como políticas personalizadas do Azure, modelos do Azure Resource Manager e scripts de Configuração de Estado Desejado. Para acessar os recursos que você gerencia no Azure DevOps, você pode conceder ou negar permissões a usuários específicos, grupos de segurança internos ou grupos definidos no Azure Ative Directory (Azure AD), se integrado ao Azure DevOps, ou ao Ative Directory, se integrado ao TFS.

• Como armazenar código no Azure DevOps

• Sobre permissões e grupos no Azure DevOps

7.6: Armazene com segurança imagens personalizadas do sistema operacional

Se estiver usando imagens personalizadas, use o controle de acesso baseado em função do Azure (Azure RBAC) para garantir que apenas usuários autorizados possam acessar as imagens. Usando uma Galeria de Imagens Compartilhadas, você pode compartilhar suas imagens com diferentes usuários, entidades de serviço ou grupos do AD em sua organização. Para imagens de contêiner, armazene-as no Registro de Contêiner do Azure e aproveite o RBAC do Azure para garantir que apenas usuários autorizados possam acessar as imagens.

• Compreender o Azure RBAC

• Compreender o RBAC do Azure para Registo de Contentores

• Como configurar o RBAC do Azure

• Visão geral da Galeria de Imagens Compartilhadas

7.7: Implantar ferramentas de gerenciamento de configuração para recursos do Azure

Defina e implemente configurações de segurança padrão para recursos do Azure usando a Política do Azure. Use aliases de Política do Azure para criar políticas personalizadas para auditar ou impor a configuração de rede de seus recursos do Azure. Você também pode usar definições de política internas relacionadas aos seus recursos específicos. Além disso, você pode usar a Automação do Azure para implantar alterações de configuração.

• Como configurar e gerenciar a Política do Azure

• Como usar aliases

7.8: Implantar ferramentas de gerenciamento de configuração para sistemas operacionais

A Configuração do Estado de Automação do Azure é um serviço de gerenciamento de configuração para nós de Configuração de Estado Desejado (DSC) em qualquer nuvem ou datacenter local. Você pode facilmente integrar máquinas, atribuir-lhes configurações declarativas e visualizar relatórios mostrando a conformidade de cada máquina com o estado desejado especificado.

• Integração de máquinas para gerenciamento pela Configuração de Estado de Automação do Azure

7.9: Implementar o monitoramento de configuração automatizado para recursos do Azure

Use a Central de Segurança do Azure para executar verificações de linha de base para seus Recursos do Azure. Além disso, use a Política do Azure para alertar e auditar as configurações de recursos do Azure.

• Como corrigir recomendações na Central de Segurança do Azure

7.10: Implementar o monitoramento automatizado de configuração para sistemas operacionais

Use a Central de Segurança do Azure para executar verificações de linha de base para configurações do sistema operacional e do Docker para contêineres.

• Compreender as recomendações de contentores do Centro de Segurança do Azure

7.11: Gerencie segredos do Azure com segurança

Use a Identidade de Serviço Gerenciado em conjunto com o Azure Key Vault para simplificar e proteger o gerenciamento de segredos para seus aplicativos na nuvem.

• Como integrar com as Identidades Gerenciadas do Azure

• Como criar um Cofre de Chaves

• Como autenticar no Cofre de Chaves

• Como definir uma política de acesso ao Cofre de Chaves

7.12: Gerencie identidades de forma segura e automática

Use Identidades Gerenciadas para fornecer serviços do Azure com uma identidade gerenciada automaticamente no Azure AD. As Identidades Gerenciadas permitem que você se autentique em qualquer serviço que ofereça suporte à autenticação do Azure AD, incluindo o Cofre da Chave, sem credenciais em seu código.

• Como configurar identidades gerenciadas

7.13: Elimine a exposição não intencional de credenciais

Implemente o Credential Scanner para identificar credenciais dentro do código. O Verificador de Credenciais também incentivará a movimentação de credenciais descobertas para locais mais seguros, como o Azure Key Vault.

• Como configurar o Credential Scanner

Próximos passos

• Consulte o próximo Controle de Segurança: Defesa contra Malware