Ensure an Azure Bastion Host Exists

Защо това е важно

Излагането на Remote Desktop Protocol (RDP) на порт 3389 или Secure Shell (SSH) на порт 22 директно в интернет създава значителна повърхност за атаки с груба сила и кражба на идентификационни данни. Azure Bastion елиминира тези рискове, като предоставя защитен достъп чрез TLS през Azure портала, прилагайки удостоверяване от Azure Active Directory, Multi-Factor Authentication и политики за условен достъп за всички връзки към виртуални машини. Без Bastion администраторите трябва или да задават публични IP адреси на виртуалните машини, или да разчитат на сложни конфигурации с jump box, което увеличава разходите за сигурност и излагането на риск.

Какво проверява Aether365

Тази проверка установява дали поне един Azure Bastion хост е разгърнат и активен във вашата Azure абонация. Aether365 сканира вашите мрежови ресурси и отчита състоянието на разгръщането на Bastion в таблото под проверки за сигурност azure-bastion.

Как да коригирате

1. Отворете Azure портала и отидете на Bastions.
2. Изберете вашата абонация и ресурсна група.
3. Въведете име за новия Bastion хост и изберете регион.
4. За нивото изберете Standard (препоръчително за продукционни среди).
5. Настройте броя на инстанциите с плъзгача според изискванията за натоварване.
6. Изберете съществуваща виртуална мрежа или създайте нова, която включва подмрежа с име AzureBastionSubnet и CIDR диапазон /26.
7. Ако подмрежата не съществува, създайте я сега с име AzureBastionSubnet и адресно пространство /26.
8. Конфигурирайте публичния IP адрес: изберете Create new и въведете име, или изберете Use existing и изберете IP от списъка.
9. Кликнете върху Next: Tags и добавете необходимите тагове.
10. Кликнете върху Next: Advanced и конфигурирайте опции като поддръжка на нативен клиент или запис на сесии, ако е необходимо.
11. Кликнете върху Review + create, след което Create, за да разгърнете Bastion хоста.

Забележка: Нивото Standard включва допълнителни разходи, но предоставя функции като мащабиране, поддръжка на нативен клиент и Kerberos удостоверяване. Нивото Basic е по-ограничено и се препоръчва само за разработка или тестване.

Съответствие

• CIS Microsoft Azure Foundations 3.0.0 Раздел 8.1 (Ниво 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Изискване за разгръщане на Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Указания за сигурна облачна архитектура

Свързани ресурси

• Azure Bastion общ преглед и сравнение на SKU
• Get-AzBastion PowerShell cmdlet
• Azure CLI команди за bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion