Línea de base de seguridad de Azure para Azure VMware Solution

Esta línea de base de seguridad aplica la orientación del Benchmark de Seguridad en la Nube de Microsoft, versión 1.0 a Azure VMware Solution. El banco de pruebas de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo proteger las soluciones en la nube en Azure. El contenido se agrupa mediante los controles de seguridad definidos por el banco de pruebas de seguridad en la nube de Microsoft y las instrucciones relacionadas aplicables a Azure VMware Solution.

Puede supervisar esta línea de base de seguridad y sus recomendaciones mediante Microsoft Defender for Cloud. Las definiciones de Azure Policy se mostrarán en la sección Cumplimiento normativo de la página del portal de Microsoft Defender for Cloud.

Cuando una característica tiene definiciones de Azure Policy pertinentes, se muestran en esta línea de base para ayudarle a medir el cumplimiento de los controles y recomendaciones de pruebas comparativas de seguridad en la nube de Microsoft. Algunas recomendaciones pueden requerir un plan de Microsoft Defender de pago para habilitar determinados escenarios de seguridad.

Perfil de seguridad

El perfil de seguridad resume los comportamientos de alto impacto de Azure VMware Solution, lo que puede dar lugar a mayores consideraciones de seguridad.

Seguridad de red

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Seguridad de red.

NS-1: Establecer límites de segmentación de red

Características

Integración de red virtual

Descripción: el servicio admite la implementación en la red virtual privada (VNet) del cliente. Más información.

Guía de configuración: implemente el servicio en una red virtual. Asigne direcciones IP privadas al recurso (si procede) a menos que haya una razón fuerte para asignar direcciones IP públicas directamente al recurso.

Nota: Una nube privada de Azure VMware Solution requiere una instancia de Azure Virtual Network. Dado que Azure VMware Solution no admite vCenter Server local, deberá realizar pasos adicionales para integrarse con el entorno local. También es necesario configurar un circuito ExpressRoute y una puerta de enlace de red virtual.

Referencia: Tutorial: Configuración de redes para la nube privada de VMware en Azure

Soporte para grupos de seguridad de red

Descripción: El tráfico de red del servicio respeta la asignación de reglas de los Grupos de Seguridad de Red en sus subredes. Más información.

Guía de configuración: Aunque se admite NSG, considere la configuración de ingreso y salida de su conectividad de red hacia ExpressRoute u otras redes protegidas. Evite exponer en Internet servicios de administración, como vCenter Server.

NS-2: Protección de servicios en la nube con controles de red

Características

Azure Private Link

Descripción: funcionalidad de filtrado de IP nativa del servicio para filtrar el tráfico de red (no confundirse con NSG o Azure Firewall). Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

Deshabilitar el acceso a la red pública

Descripción: el servicio admite la deshabilitación del acceso a la red pública mediante el uso de una regla de filtrado de ACL de IP de nivel de servicio (no NSG o Azure Firewall) o mediante un modificador de alternancia "Deshabilitar acceso a red pública". Más información.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Conceptos de redes e interconectividad de Azure VMware Solution

Administración de identidades

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft : Administración de identidades.

IM-1: Uso del sistema de autenticación e identidad centralizado

Características

Autenticación de Azure AD necesaria para el acceso al plano de datos

Descripción: el servicio admite el uso de la autenticación de Azure AD para el acceso al plano de datos. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

Métodos de autenticación local para el acceso al plano de datos

Descripción: métodos de autenticación locales admitidos para el acceso al plano de datos, como un nombre de usuario local y una contraseña. Más información.

Notas de características: evite el uso de métodos o cuentas de autenticación local, que deben deshabilitarse siempre que sea posible. En su lugar, use Azure AD para autenticarse siempre que sea posible.

Guía de configuración: para la configuración de la administración del acceso a identidades de Azure VMware Solution, consulte el vínculo siguiente.

Referencia: acceso e identidad de vCenter Server

IM-3: Administrar identidades de aplicación de forma segura y automática

Características

Identidades administradas

Descripción: las acciones del plano de datos admiten la autenticación mediante identidades administradas. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

Principales de Servicio

Descripción: el plano de datos admite la autenticación mediante entidades de servicio. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

IM-7: Restringir el acceso a los recursos en función de las condiciones

Características

Acceso condicional al plano de datos

Descripción: el acceso al plano de datos se puede controlar mediante directivas de acceso condicional de Azure AD. Más información.

Notas de características: VMware vSphere RBAC controla el acceso de AVS.

Guía de configuración: esta característica no se admite para proteger este servicio.

IM-8: Restringir la exposición de credenciales y secretos

Características

Credenciales de servicio y secretos para la integración y el almacenamiento en Azure Key Vault

Descripción: el plano de datos admite el uso nativo de Azure Key Vault para el almacén de credenciales y secretos. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

Acceso con privilegios

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Acceso con privilegios.

PA-1: Separar y limitar usuarios con privilegios elevados o administrativos

Características

Cuentas de administrador local

Descripción: el servicio tiene el concepto de una cuenta administrativa local. Más información.

Notas de características: evite el uso de métodos o cuentas de autenticación local, que deben deshabilitarse siempre que sea posible. En su lugar, use Azure AD para autenticarse siempre que sea posible.

Guía de configuración: vea los privilegios concedidos al rol CloudAdmin de Azure VMware Solution en vCenter de la nube privada de Azure VMware Solution. Consulte el vínculo para obtener más información.

Referencia: acceso e identidad de vCenter Server

PA-7: Siga el principio de administración suficiente (privilegios mínimos)

Características

RBAC de Azure para el plano de datos

Descripción: Azure Role-Based Access Control (Azure RBAC) se puede usar para administrar el acceso a las acciones del plano de datos del servicio. Más información.

Notas de características: Azure RBAC no se admite. Azure VMware solution usa roles de RBAC de vCenter que proporcionan a los clientes la capacidad de integrarse con Azure AD.

Guía de configuración: esta característica no se admite para proteger este servicio.

PA-8: Determinación del proceso de acceso para la compatibilidad con proveedores en la nube

Características

Caja de seguridad del cliente

Descripción: Customer Lockbox se puede utilizar para proporcionar acceso al soporte técnico de Microsoft. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

Protección de los datos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Protección de datos.

DP-3: Cifrar datos confidenciales en tránsito

Características

Cifrado de datos en tránsito

Descripción: el servicio admite el cifrado de datos en tránsito para el plano de datos. Más información.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

DP-4: Habilitar el cifrado de datos en reposo de forma predeterminada

Características

Cifrado de datos en reposo mediante claves de plataforma

Descripción: se admite el cifrado de datos en reposo mediante claves de plataforma, cualquier contenido del cliente en reposo se cifra con estas claves administradas por Microsoft. Más información.

Guía de configuración: no se requieren configuraciones adicionales, ya que está habilitada en una implementación predeterminada.

Referencia: Cifrado de datos en reposo

DP-5: Usar la opción de clave administrada por el cliente en el cifrado de datos en reposo cuando sea necesario

Características

Cifrado de datos en reposo mediante CMK

Descripción: el cifrado de datos en reposo mediante claves administradas por el cliente es compatible con el contenido del cliente almacenado por el servicio. Más información.

Notas de la función: Esta función está en proceso de desarrollo, pero no tenemos una fecha estimada de disponibilidad para la previsualización privada.

Guía de configuración: esta característica no se admite para proteger este servicio.

DP-6: Uso de un proceso seguro de administración de claves

Características

Administración de claves en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier clave de cliente, secretos o certificados. Más información.

Guía de configuración: esta característica no se admite para proteger este servicio.

DP-7: Uso de un proceso de administración de certificados seguro

Características

Administración de certificados en Azure Key Vault

Descripción: el servicio admite la integración de Azure Key Vault para cualquier certificado de cliente. Más información.

Notas de características: vamos a agregar características específicas en el futuro que admiten esto, pero por ahora no lo hacemos.

Guía de configuración: esta característica no se admite para proteger este servicio.

Administración de recursos

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft : Administración de recursos.

AM-2: Usar solo servicios aprobados

Características

Soporte técnico de Azure Policy

Descripción: las configuraciones de servicio se pueden supervisar y aplicar a través de Azure Policy. Más información.

Notas de características: Azure VMWare Solution admite actualmente Azure Policy para administrar los recursos de máquina virtual de carga de trabajo. Si decide implementar Azure Arc Server para VMWare Solution, se proporcionará compatibilidad con Azure Policy.

Guía de configuración: esta característica no se admite para proteger este servicio.

Registro y detección de amenazas

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Registro y detección de amenazas.

LT-1: Habilitación de las funcionalidades de detección de amenazas

Características

Oferta de Microsoft Defender para servicios/productos

Descripción: El servicio cuenta con una solución de Microsoft Defender específica para la oferta, destinada a supervisar y alertar sobre problemas de seguridad. Más información.

Guía de configuración: use el servidor habilitado para Azure Arc para la máquina virtual en VMware, lo que permite que Microsoft Defender for Cloud proporcione las siguientes características:

• Supervisión de la integridad de los archivos
• Detección de ataques sin archivos
• Evaluación de parches del sistema operativo
• Evaluación de configuraciones de seguridad incorrectas
• Evaluación de Endpoint Protection

Referencia: Integración de Microsoft Defender for Cloud con Azure VMware Solution

LT-4: Habilitación del registro para la investigación de seguridad

Características

Registros de recursos de Azure

Descripción: el servicio genera registros de recursos que pueden proporcionar métricas y registros específicos del servicio mejorados. El cliente puede configurar estos registros de recursos y enviarlos a su propio receptor de datos, como una cuenta de almacenamiento o un área de trabajo de Log Analytics. Más información.

Notas de características: Para el registro de Azure VMware Solution. Habilite la configuración en VMware syslog. Consulte el vínculo para más información: Configuración de syslogs de VMware para Azure VMware Solution

Guía de configuración: esta característica no se admite para proteger este servicio.

Copia de seguridad y recuperación

Para obtener más información, consulte la prueba comparativa de seguridad en la nube de Microsoft: Copia de seguridad y recuperación.

BR-1: Garantizar copias de seguridad automatizadas normales

Características

Azure Backup

Descripción: El servicio puede ser respaldado por el servicio Azure Backup. Más información.

Guía de configuración: use Azure Backup Server (como parte de Azure Backup) para realizar la copia de seguridad de nivel de máquina virtual. Azure Backup Server puede almacenar datos de copia de seguridad en: Disco: para el almacenamiento a corto plazo, Azure Backup Server realiza copias de seguridad de datos en grupos de discos. Nube de Azure: tanto para el almacenamiento a corto plazo como para el almacenamiento a largo plazo fuera del entorno local, los datos de Azure Backup Server almacenados en grupos de discos se pueden realizar copias de seguridad en la nube de Microsoft Azure mediante Azure Backup.

Referencia: Configuración de Azure Backup Server para Azure VMware Solution

Funcionalidad de copia de seguridad nativa del servicio

Descripción: el servicio admite su propia funcionalidad de copia de seguridad nativa (si no usa Azure Backup). Más información.

Guía de configuración: no hay ninguna guía actual de Microsoft para esta configuración de características. Revise y determine si su organización quiere configurar esta característica de seguridad.

Referencia: Implementación de la recuperación ante desastres con VMware Site Recovery Manager

Pasos siguientes

• Consulte la introducción al banco de pruebas de seguridad en la nube de Microsoft.
• Más información sobre las líneas base de seguridad de Azure