Compartir a través de

Línea de base de seguridad de Azure para Network Watcher

Esta línea de base de seguridad aplica orientación del punto de referencia de seguridad en la nube de Microsoft versión 1.0 a Network Watcher. El banco de pruebas de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo proteger las soluciones en la nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables a Network Watcher.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Azure Policy definiciones se enumerarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Nota:

Se han excluido las características no aplicables a Network Watcher. Para ver cómo Network Watcher se asigna de manera completa al estándar de seguridad en la nube de Microsoft, consulte el archivo completo de asignación de línea de base de seguridad de Network Watcher.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Network Watcher, lo que puede dar lugar a mayores consideraciones de seguridad.

Atributo de comportamiento del servicio Importancia
Categoría del producto Networking
El cliente puede acceder a HOST/OS. Sin acceso
El servicio se puede implementar en la red virtual del cliente. Falso
Almacena el contenido del cliente en reposo Falso

Administración de identidades

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de identidades.

IM-1: Uso del sistema de autenticación e identidad centralizado

Características

Autenticación de Azure AD necesaria para el acceso al plano de datos

Descripción: el servicio admite el uso de la autenticación de Azure AD para el acceso al plano de datos. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use Azure Active Directory (Azure AD) como método de autenticación predeterminado para acceder a los datos de Network Watcher. Network Watcher tiene varios roles RBAC de Azure integrados que permiten un control de permisos de acceso pormenorizado.

Referencia: Permisos de control de acceso basado en rol de Azure necesarios para usar las funcionalidades de Network Watcher

IM-7: Restringir el acceso a los recursos en función de las condiciones

Características

Acceso condicional para el plano de datos

Descripción: el acceso al plano de datos se puede controlar mediante directivas de acceso condicional de Azure AD. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Acceso con privilegios

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Acceso con privilegios.

PA-7: Siga el principio de administración suficiente (privilegios mínimos)

Características

RBAC de Azure para el plano de datos

Descripción: Azure Role-Based Access Control (Azure RBAC) se puede usar para administrar el acceso a las acciones del plano de datos del servicio. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: Network Watcher tiene varios roles RBAC de Azure integrados que le permiten tener un control pormenorizado de los permisos basados en roles para que los usuarios accedan a Network Watcher.

Referencia: Permisos de control de acceso basado en rol de Azure necesarios para usar las funcionalidades de Network Watcher

Protección de los datos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Protección de datos.

DP-3: Cifrar datos confidenciales en tránsito

Características

Cifrado de datos en tránsito

Descripción: el servicio admite el cifrado de datos en tránsito para el plano de datos. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Cierto Microsoft

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Datos en tránsito

DP-4: Habilitar el cifrado de datos en reposo de forma predeterminada

Características

Cifrado de datos en reposo mediante claves de plataforma

Descripción: se admite el cifrado de datos en reposo mediante claves de plataforma, cualquier contenido del cliente en reposo se cifra con estas claves administradas por Microsoft. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Notas de características: Azure Network Watcher no almacena los datos de los clientes en reposo con la excepción del servicio Connection Monitor que almacena los datos en el área de trabajo de Log Analytics que elija el cliente.

Guía de configuración: esta característica no se admite para proteger este servicio.

Administración de recursos

Para obtener más información, consulte El banco de pruebas de seguridad en la nube de Microsoft: Administración de recursos.

AM-2: Usar solo servicios aprobados

Características

Compatibilidad con Azure Policy

Descripción: las configuraciones de servicio se pueden supervisar y aplicar a través de Azure Policy. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Cierto Falso Cliente

Guía de configuración: use Microsoft Defender for Cloud para configurar Azure Policy para auditar y aplicar las configuraciones de sus recursos de Azure. Use Azure Monitor para crear alertas cuando se detecte una desviación de configuración en los recursos. Use los efectos [deny] y [deploy if not exists] de Azure Policy para aplicar la configuración segura en los recursos de Azure.

Referencia: Definiciones integradas de Azure Policy para Azure Virtual Network

Registro y detección de amenazas

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Registro y detección de amenazas.

LT-1: Habilitación de las funcionalidades de detección de amenazas

Características

Oferta de microsoft Defender para servicio o producto

Descripción: El servicio tiene una solución específica de Microsoft Defender para supervisar y alertar sobre problemas de seguridad. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

LT-4: Habilitación del registro para la investigación de seguridad

Características

Registros de recursos de Azure

Descripción: el servicio genera registros de recursos que pueden proporcionar métricas y registros específicos del servicio mejorados. El cliente puede configurar estos registros de recursos y enviarlos a su propio receptor de datos, como una cuenta de almacenamiento o un área de trabajo de Log Analytics. Más información.

Compatible Habilitado de forma predeterminada Responsabilidad de configuración
Falso No es aplicable No es aplicable

Guía de configuración: esta característica no se admite para proteger este servicio.

Pasos siguientes

  • Last updated on