Ensure an Azure Bastion Host Exists

Miért Fontos Ez

A Remote Desktop Protocol (RDP) 3389-es porton vagy a Secure Shell (SSH) 22-es porton történő közvetlen internetes elérhetősége jelentős támadási felületet teremt a brute force és a hitelesítő adatok ellopásához. Az Azure Bastion megszünteti ezeket a kockázatokat azáltal, hogy TLS által védett hozzáférést biztosít az Azure portalon keresztül, kikényszeríti az Azure Active Directory hitelesítést, a Multi-Factor Authenticationt és a Conditional Access szabályzatokat minden virtuális gépi kapcsolathoz. Bastion nélkül a rendszergazdáknak vagy nyilvános IP-címeket kell hozzárendelniük a virtuális gépekhez, vagy bonyolult ugrópont (jump box) konfigurációkra kell támaszkodniuk, amelyek mindegyike növeli a biztonsági terhelést és a kitettséget.

Mit Ellenőriz az Aether365

Ez az ellenőrzés azt vizsgálja, hogy legalább egy Azure Bastion-gazda telepítve van-e és aktív-e az Azure-előfizetésében. Az Aether365 beolvassa a hálózati erőforrásait, és jelenti a Bastion telepítési állapotát a műszerfalon az azure-bastion biztonsági ellenőrzések között.

Hogyan Javítsuk

1. Nyissa meg az Azure portált, és navigáljon a Bastions menüponthoz.
2. Válassza ki az előfizetését és az erőforráscsoportot.
3. Adjon meg egy nevet az új Bastion-gazdának, és válasszon egy régiót.
4. A Tier (Szint) mezőben válassza a Standard opciót (éles környezetekhez ajánlott).
5. Állítsa be a példányszámot a csúszka segítségével a terhelési követelményeknek megfelelően.
6. Válasszon egy meglévő virtuális hálózatot, vagy hozzon létre egy újat, amely tartalmaz egy AzureBastionSubnet nevű alhálózatot /26 CIDR-tartománnyal.
7. Ha az alhálózat nem létezik, hozza létre most AzureBastionSubnet néven, /26-os címtartománnyal.
8. Konfigurálja a nyilvános IP-címet: válassza a Create new (Új létrehozása) lehetőséget, és adjon meg egy nevet, vagy válassza a Use existing (Meglévő használata) lehetőséget, és válasszon egy IP-t a listából.
9. Kattintson a Next: Tags (Következő: Címkék) gombra, és adja hozzá a szükséges címkéket.
10. Kattintson a Next: Advanced (Következő: Speciális) gombra, és konfigurálja az olyan opciókat, mint a natív kliens támogatása vagy a munkamenet-rögzítés, szükség szerint.
11. Kattintson a Review + create (Áttekintés + létrehozás), majd a Create (Létrehozás) gombra a Bastion-gazda telepítéséhez.

Megjegyzés: A Standard szint további költségekkel jár, de olyan funkciókat biztosít, mint a skálázás, a natív kliens támogatása és a Kerberos-hitelesítés. Az Basic szint korlátozottabb, és csak fejlesztési vagy tesztelési célokra ajánlott.

Megfelelőség

• CIS Microsoft Azure Foundations 3.0.0 8.1. szakasz (2. szint)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Azure Bastion telepítési követelmény
• CISA (Cybersecurity and Infrastructure Security Agency) Biztonságos felhőarchitektúra-útmutató

Kapcsolódó Erőforrások

• Az Azure Bastion áttekintése és SKU-összehasonlítás
• Get-AzBastion PowerShell parancsmag
• Azure CLI bastion parancsok

Microsoft references

• Bastion overview
• Get azbastion
• Bastion