Ensure an Azure Bastion Host Exists

Pourquoi c'est important

Exposer le protocole RDP (Remote Desktop Protocol) sur le port 3389 ou SSH (Secure Shell) sur le port 22 directement sur Internet crée une surface d'attaque importante pour le force brute et le vol d'identifiants. Azure Bastion élimine ces risques en fournissant un accès sécurisé via TLS à travers le portail Azure, en imposant l'authentification Azure Active Directory, l'authentification multifacteur et les stratégies d'accès conditionnel pour toutes les connexions aux machines virtuelles. Sans Bastion, les administrateurs doivent soit attribuer des adresses IP publiques aux machines virtuelles, soit s'appuyer sur des configurations complexes de serveur de rebond, ce qui augmente la charge et l'exposition en matière de sécurité.

Ce que Aether365 vérifie

Cette vérification confirme qu'au moins un hôte Azure Bastion est déployé et actif dans votre abonnement Azure. Aether365 analyse vos ressources réseau et signale l'état du déploiement de Bastion sur le tableau de bord, sous les vérifications de sécurité azure-bastion.

Comment corriger

1. Ouvrez le portail Azure et accédez à Bastions.
2. Sélectionnez votre abonnement et votre groupe de ressources.
3. Saisissez un nom pour le nouvel hôte Bastion et choisissez une région.
4. Pour le niveau, sélectionnez Standard (recommandé pour les environnements de production).
5. Ajustez le nombre d'instances à l'aide du curseur pour répondre à vos besoins de charge.
6. Choisissez un réseau virtuel existant ou créez-en un nouveau qui inclut un sous-réseau nommé AzureBastionSubnet avec une plage CIDR /26.
7. Si le sous-réseau n'existe pas, créez-le maintenant avec le nom AzureBastionSubnet et un espace d'adressage /26.
8. Configurez l'adresse IP publique : sélectionnez Créer nouveau et fournissez un nom, ou choisissez Utiliser existant et sélectionnez une adresse IP dans la liste.
9. Cliquez sur Suivant : Balises et ajoutez les balises nécessaires.
10. Cliquez sur Suivant : Avancé et configurez les options telles que la prise en charge du client natif ou l'enregistrement de session selon vos besoins.
11. Cliquez sur Vérifier + créer, puis sur Créer pour déployer l'hôte Bastion.

Remarque : Le niveau Standard entraîne des coûts supplémentaires mais offre des fonctionnalités telles que la mise à l'échelle, la prise en charge du client natif et l'authentification Kerberos. Le niveau De base est plus limité et n'est recommandé que pour le développement ou les tests.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 Section 8.1 (Niveau 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Exigence de déploiement d'Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Guide d'architecture cloud sécurisé

Ressources associées

• Azure Bastion overview and SKU comparison
• Get-AzBastion PowerShell cmdlet
• Azure CLI bastion commands

Microsoft references

• Bastion overview
• Get azbastion
• Bastion