Ensure That 'Firewalls & Networks' Is Limited to Use Selected Networks Instead of All Networks
Pourquoi c'est important
Exposer Azure Cosmos DB a tous les reseaux, y compris l'internet public, augmente considerablement le risque d'acces non autorise et de fuites de donnees. En limitant l'acces reseau a des reseaux selectionnes et autorises, vous reduisez la surface d'attaque et maintenez un controle plus strict sur les systemes pouvant communiquer avec votre base de donnees. Il s'agit d'une mesure de securite essentielle pour toute organisation traitant des donnees sensibles ou soumises a reglementation.
Ce que Aether365 verifie
Aether365 verifie que la configuration reseau de chaque compte Azure Cosmos DB est definie sur "Selected Networks" plutot que sur "All Networks". Vous pouvez consulter cette verification dans votre tableau de bord Aether365 sous la categorie des verifications de service azure-cosmosdb.
Comment corriger
Pour restreindre l'acces reseau a Cosmos DB via le portail Azure :
- Ouvrez le menu du portail Azure et selectionnez Azure Cosmos DB.
- Choisissez le compte Cosmos DB specifique que vous souhaitez securiser.
- Dans la navigation de gauche, cliquez sur Networking.
- Sous Public network access, selectionnez Selected networks.
- Sous Virtual networks, cliquez sur + Add existing virtual network ou + Add a new virtual network.
- Pour un reseau existant : selectionnez l'abonnement, le reseau virtuel et le sous-reseau, puis cliquez sur Add. Pour un nouveau reseau : fournissez un nom, ajustez les valeurs par defaut si necessaire, puis cliquez sur Create.
- Cliquez sur Save en haut de la page Networking.
Remarque : Les modifications du pare-feu peuvent prendre jusqu'a 15 minutes pour prendre effet. Planifiez votre fenetre de correction en consequence pour eviter toute interruption de connexion. De plus, une mise sur liste blanche incorrecte entrainera une perte de connexion.
Conformite
- CIS Microsoft Azure Foundations 3.0.0 Section 5.4.1 (Niveau 2)
- CIS Microsoft Azure Foundations 2.0.0 (si applicable)
- EIDSCA (Enterprise ID Security Compliance Assessment)
- Recommandations CISA (Cybersecurity and Infrastructure Security Agency)
Ressources associees
- Configure Azure Cosmos DB with private endpoints
- Configure virtual network service endpoint for Azure Cosmos DB
- Azure CLI reference for Cosmos DB
- Azure PowerShell for Cosmos DB
- Microsoft cloud security benchmark: Network security (NS-2)