Ensure an Azure Bastion Host Exists

Miksi Tämä On Tärkeää

Remote Desktop Protocolin (RDP) altistaminen portissa 3389 tai Secure Shellin (SSH) altistaminen portissa 22 suoraan internetiin luo merkittävän hyökkäyspinnan raa'an voiman ja tunnistetietovarkauksien varalta. Azure Bastion poistaa nämä riskit tarjoamalla TLS-suojatun pääsyn Azure-portaalin kautta, joka pakottaa Azure Active Directory -todennuksen, Multi-Factor Authenticationin ja Condition Access -käytännöt kaikille virtuaalikoneliitännöille. Ilman Bastionia järjestelmänvalvojien on joko määritettävä julkisia IP-osoitteita virtuaalikoneille tai turvauduttava monimutkaisiin hyppylaatikkokonfiguraatioihin, jotka molemmat lisäävät tietoturvan hallintaa ja altistusta.

Mitä Aether365 Tarkistaa

Tämä tarkistus varmistaa, että ainakin yksi Azure Bastion -isäntä on otettu käyttöön ja se on aktiivinen Azure-tilauksessasi. Aether365 skannaa verkkoresurssisi ja raportoi Bastionin käyttöönoton tilan kojelaudalla azure-bastion-tietoturvatarkistusten alla.

Korjausohjeet

1. Avaa Azure-portaali ja siirry kohtaan Bastions.
2. Valitse tilauksesi (Subscription) ja resurssiryhmäsi (Resource group).
3. Anna uudelle Bastion-isännälle nimi (Name) ja valitse alue (Region).
4. Valitse tasoksi (Tier) Standard (suositellaan tuotantoympäristöille).
5. Säädä instanssien määrää liukusäätimellä kuormitusvaatimustesi mukaan.
6. Valitse olemassa oleva virtuaaliverkko (Virtual network) tai luo uusi, joka sisältää aliverkon nimeltä AzureBastionSubnet /26 CIDR-alueella.
7. Jos aliverkkoa ei ole olemassa, luo se nyt nimellä AzureBastionSubnet ja /26-osoiteavaruudella.
8. Määritä julkinen IP-osoite (Public IP address): valitse Create new ja anna nimi, tai valitse Use existing ja valitse IP listasta.
9. Napsauta Next: Tags ja lisää tarvittavat tunnisteet.
10. Napsauta Next: Advanced ja määritä tarvittaessa asetuksia, kuten natiiviasiakastuki tai istunnon tallennus.
11. Napsauta Review + create ja sitten Create ottaaksesi Bastion-isännän käyttöön.

Huomautus: Standard-taso aiheuttaa lisäkustannuksia, mutta tarjoaa ominaisuuksia, kuten skaalauksen, natiiviasiakastuen ja Kerberos-todennuksen. Basic-taso on rajoitetumpi ja sitä suositellaan vain kehitys- tai testauskäyttöön.

Vaatimustenmukaisuus

• CIS Microsoft Azure Foundations 3.0.0 -osio 8.1 (Taso 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Azure Bastion -käyttöönottovaatimus
• CISA (Cybersecurity and Infrastructure Security Agency) Secure Cloud Architecture -ohjeistus

Liittyvät Resurssit

• Azure Bastion -yleiskatsaus ja SKU-vertailu
• Get-AzBastion PowerShell-komento
• Azure CLI bastion -komennot

Microsoft references

• Bastion overview
• Get azbastion
• Bastion