Ensure an Azure Bastion Host Exists

Por que es importante

Exponer el Protocolo de Escritorio Remoto (RDP) en el puerto 3389 o Secure Shell (SSH) en el puerto 22 directamente a internet crea una superficie de ataque significativa para ataques de fuerza bruta y robo de credenciales. Azure Bastion elimina estos riesgos al proporcionar acceso protegido mediante TLS a traves de Azure Portal, aplicando autenticacion de Azure Active Directory, Multi-Factor Authentication y politicas de Conditional Access para todas las conexiones a maquinas virtuales. Sin Bastion, los administradores deben asignar direcciones IP publicas a las MV o depender de configuraciones complejas de jump box, lo que incrementa la sobrecarga de seguridad y la exposicion.

Que verifica Aether365

Esta verificacion confirma que al menos un host de Azure Bastion este implementado y activo en su suscripcion de Azure. Aether365 escanea sus recursos de red e informa el estado de implementacion de Bastion en el panel bajo verificaciones de seguridad de azure-bastion.

Como solucionarlo

1. Abra Azure Portal y navegue a Bastions.
2. Seleccione su Suscripcion y Grupo de recursos.
3. Ingrese un Nombre para el nuevo host de Bastion y elija una Region.
4. Para el Nivel, seleccione Standard (recomendado para entornos de produccion).
5. Ajuste el numero de Instancias usando el control deslizante segun sus requisitos de carga.
6. Elija una Red virtual existente o cree una nueva que incluya una subred llamada AzureBastionSubnet con un rango CIDR /26.
7. Si la subred no existe, creela ahora con el nombre AzureBastionSubnet y un espacio de direcciones /26.
8. Configure la direccion IP publica: seleccione Crear nuevo y proporcione un nombre, o elija Usar existente y seleccione una IP de la lista.
9. Haga clic en Siguiente: Etiquetas y agregue las etiquetas necesarias.
10. Haga clic en Siguiente: Avanzado y configure opciones como soporte nativo de cliente o grabacion de sesiones segun sea necesario.
11. Haga clic en Revisar y crear, luego en Crear para implementar el host de Bastion.

Nota: El nivel Standard genera costos adicionales pero proporciona funciones como escalado, soporte nativo de cliente y autenticacion Kerberos. El nivel Basic es mas limitado y se recomienda solo para desarrollo o pruebas.

Cumplimiento

• CIS Microsoft Azure Foundations 3.0.0 Seccion 8.1 (Nivel 2)
• EIDSCA (Evaluacion de Cumplimiento de Seguridad de Datos e Infraestructura Empresarial) – requisito de implementacion de Azure Bastion
• CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad) – guia de arquitectura segura en la nube

Recursos relacionados

• Vision general de Azure Bastion y comparacion de SKU
• Cmdlet Get-AzBastion de PowerShell
• Comandos de bastion de Azure CLI

Microsoft references

• Bastion overview
• Get azbastion
• Bastion