Ensure an Azure Bastion Host Exists

Warum dies wichtig ist

Die direkte Freigabe des Remote Desktop Protocol (RDP) auf Port 3389 oder des Secure Shell (SSH) auf Port 22 im Internet schafft eine erhebliche Angriffsfläche für Brute-Force-Angriffe und Credential-Diebstahl. Azure Bastion eliminiert diese Risiken, indem es TLS-gesicherten Zugriff über das Azure-Portal bereitstellt und Azure Active Directory-Authentifizierung, Multi-Factor Authentication sowie Conditional Access-Richtlinien für alle VM-Verbindungen durchsetzt. Ohne Bastion müssen Administratoren entweder öffentliche IP-Adressen an VMs vergeben oder auf komplexe Jump-Box-Konfigurationen zurückgreifen – beides erhöht den Sicherheitsaufwand und die Angriffsfläche.

Was Aether365 prüft

Diese Prüfung stellt sicher, dass mindestens ein Azure Bastion-Host in Ihrem Azure-Abonnement bereitgestellt und aktiv ist. Aether365 scannt Ihre Netzwerkressourcen und meldet den Bereitstellungsstatus von Bastion im Dashboard unter den Sicherheitsprüfungen für „azure-bastion“.

Behebung

1. Öffnen Sie das Azure-Portal und navigieren Sie zu Bastions.
2. Wählen Sie Ihr Abonnement und Ihre Ressourcengruppe.
3. Geben Sie einen Namen für den neuen Bastion-Host ein und wählen Sie eine Region.
4. Wählen Sie als Tarif Standard (empfohlen für Produktionsumgebungen).
5. Passen Sie die Instanzanzahl mithilfe des Schiebereglers an Ihre Auslastungsanforderungen an.
6. Wählen Sie ein vorhandenes virtuelles Netzwerk aus oder erstellen Sie ein neues mit einem Subnetz namens AzureBastionSubnet und einem CIDR-Bereich von /26.
7. Falls das Subnetz nicht existiert, erstellen Sie es jetzt mit dem Namen AzureBastionSubnet und einem Adressraum von /26.
8. Konfigurieren Sie die öffentliche IP-Adresse: Wählen Sie Neu erstellen und vergeben Sie einen Namen, oder wählen Sie Vorhandene verwenden und eine IP aus der Liste.
9. Klicken Sie auf Weiter: Tags und fügen Sie bei Bedarf erforderliche Tags hinzu.
10. Klicken Sie auf Weiter: Erweitert und konfigurieren Sie Optionen wie nativen Client-Support oder Sitzungsaufzeichnung nach Bedarf.
11. Klicken Sie auf Überprüfen + erstellen und dann auf Erstellen, um den Bastion-Host bereitzustellen.

Hinweis: Der Standard-Tarif verursacht zusätzliche Kosten, bietet aber Funktionen wie Skalierung, nativen Client-Support und Kerberos-Authentifizierung. Der Basic-Tarif ist eingeschränkter und wird nur für Entwicklung oder Tests empfohlen.

Compliance

• CIS Microsoft Azure Foundations 3.0.0 Abschnitt 8.1 (Stufe 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Anforderung zur Bereitstellung von Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Leitfaden für sichere Cloud-Architekturen

Verwandte Ressourcen

• Azure Bastion-Übersicht und SKU-Vergleich
• Get-AzBastion PowerShell-Cmdlet
• Azure CLI-Befehle für Bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion