Ensure an Azure Bastion Host Exists

Kodėl tai svarbu

Nuotolinio darbalaukio protokolo (RDP) 3389 prievadu arba Secure Shell (SSH) 22 prievadu tiesioginis eksponavimas internete sukuria reikšmingą atakos paviršių bruteforce ir kredencialų vagystėms. „Azure Bastion“ pašalina šias rizikas, suteikdamas TLS apsaugotą prieigą per „Azure“ portalą, įgalindamas „Azure Active Directory“ autentifikavimą, kelių veiksnių autentifikavimą ir „Conditional Access“ politikas visoms virtualių mašinų jungtims. Be „Bastion“ administratoriai turi arba priskirti viešuosius IP adresus VM, arba pasikliauti sudėtingomis tarpinių šuolių (jump box) konfigūracijomis – abu šie sprendimai didina saugumo naštą ir ekspoziciją.

Ką tikrina „Aether365“

Šis patikrinimas patvirtina, ar jūsų „Azure“ prenumeratoje yra dislokuotas ir aktyvus bent vienas „Azure Bastion“ serveris. „Aether365“ nuskaito jūsų tinklo išteklius ir praneša apie „Bastion“ diegimo būseną prietaisų skydelyje pagal saugumo patikras, susijusias su „azure-bastion“.

Kaip ištaisyti

1. Atidarykite „Azure“ portalą ir eikite į Bastions.
2. Pasirinkite savo prenumeratą ir išteklių grupę.
3. Įveskite naujo „Bastion“ serverio pavadinimą ir pasirinkite regioną.
4. Lygiui pasirinkite Standard (rekomenduojama gamybinėms aplinkoms).
5. Naudodami slankiklį sureguliuokite egzempliorių skaičių pagal savo apkrovos poreikius.
6. Pasirinkite esamą virtualų tinklą arba sukurkite naują, kuriame būtų povartis pavadinimu AzureBastionSubnet su /26 CIDR diapazonu.
7. Jei povartis neegzistuoja, sukurkite jį dabar su pavadinimu AzureBastionSubnet ir /26 adresų erdve.
8. Suveskite viešojo IP adreso konfigūraciją: pasirinkite Create new ir nurodykite pavadinimą arba pasirinkite Use existing ir iš sąrašo pasirinkite IP.
9. Spustelėkite Next: Tags ir pridėkite reikalingas žymas.
10. Spustelėkite Next: Advanced ir sureguliuokite parinktis, tokias kaip vietinio kliento palaikymas ar sesijų įrašymas, pagal poreikį.
11. Spustelėkite Review + create, tada Create, kad dislokuotumėte „Bastion“ serverį.

Pastaba: „Standard“ lygis sukelia papildomų išlaidų, tačiau suteikia tokias funkcijas kaip mastelio keitimas, vietinio kliento palaikymas ir „Kerberos“ autentifikavimas. „Basic“ lygis yra labiau ribotas ir rekomenduojamas tik kūrimui ar testavimui.

Atitiktis

• CIS Microsoft Azure Foundations 3.0.0 8.1 skyrius (2 lygis)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – „Azure Bastion“ dislokavimo reikalavimas
• CISA (Cybersecurity and Infrastructure Security Agency) Saugios debesijos architektūros gairės

Susiję ištekliai

• Azure Bastion apžvalga ir SKU palyginimas
• Get-AzBastion PowerShell cmdlet
• Azure CLI bastion komandos

Microsoft references

• Bastion overview
• Get azbastion
• Bastion