Ensure an Azure Bastion Host Exists

Miks see oluline on

Remote Desktop Protocol (RDP) avalikustamine pordil 3389 või Secure Shell (SSH) pordil 22 otse internetti loob märkimisväärse ründepinna brute force ja mandaadivarguse rünneteks. Azure Bastion välistab need riskid, pakkudes TLS-ga kaitstud juurdepääsu Azure portaali kaudu, rakendades Azure Active Directory autentimist, Multi-Factor Authentication ja Conditional Access poliitikaid kõigi virtuaalmasinate ühenduste jaoks. Ilma Bastionita peavad administraatorid kas määrama VM-dele avalikud IP-aadressid või toetuma keerukatele hüppekastide konfiguratsioonidele, mis mõlemad suurendavad turvakoormust ja kokkupuudet.

Mida Aether365 kontrollib

See kontroll veendub, et teie Azure tellimuses on juurutatud ja aktiivne vähemalt üks Azure Bastion host. Aether365 skannib teie võrguressursse ja teatab Bastioni juurutuse olekust armatuurlaual jaotises azure-bastion turvakontrollid.

Kuidas parandada

1. Avage Azure portal ja navigeerige jaotisse Bastions.
2. Valige oma tellimus (Subscription) ja ressursside grupp (Resource group).
3. Sisestage uue Bastion hosti nimi (Name) ja valige piirkond (Region).
4. Valige astme (Tier) puhul Standard (soovitatav tootmiskeskkondadele).
5. Kohandage instantside arvu (Instance count) liuguri abil vastavalt oma koormusnõuetele.
6. Valige olemasolev virtuaalne võrk (Virtual network) või looge uus, mis sisaldab alamvõrku nimega AzureBastionSubnet /26 CIDR vahemikuga.
7. Kui alamvõrku ei eksisteeri, looge see nüüd nimega AzureBastionSubnet ja /26 aadressiruumiga.
8. Konfigureerige avalik IP-aadress: valige Create new ja andke nimi või valige Use existing ja valige IP loendist.
9. Klõpsake Next: Tags ja lisage vajalikud sildid.
10. Klõpsake Next: Advanced ja konfigureerige vajadusel valikud nagu native client support või session recording.
11. Klõpsake Review + create, seejärel Create, et juurutada Bastion host.

Märkus: Standard tase toob kaasa lisakulusid, kuid pakub funktsioone nagu skaleerimine, native client support ja Kerberos autentimine. Basic tase on piiratum ja soovitatav ainult arendus- või testimiseks.

Vastavus

• CIS Microsoft Azure Foundations 3.0.0 Jaotis 8.1 (Level 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Azure Bastioni juurutamise nõue
• CISA (Cybersecurity and Infrastructure Security Agency) Secure Cloud Architecture juhised

Seotud ressursid

• Azure Bastioni ülevaade ja SKU võrdlus
• Get-AzBastion PowerShell cmdlet
• Azure CLI bastioni käsud

Microsoft references

• Bastion overview
• Get azbastion
• Bastion