Ensure an Azure Bastion Host Exists

Kāpēc tas ir svarīgi

Remote Desktop Protocol (RDP) portā 3389 vai Secure Shell (SSH) portā 22 tieša pieejamība internetā rada ievērojamu uzbrukuma virsmu brutāla spēka un akreditācijas datu zādzībai. Azure Bastion novērš šos riskus, nodrošinot TLS aizsargātu piekļuvi caur Azure portālu, piemērojot Azure Active Directory autentifikāciju, Multi-Factor Authentication un Conditional Access politikas visiem virtuālo mašīnu savienojumiem. Bez Bastion administratoriem ir jāpiešķir publiskās IP adreses VM vai jāpaļaujas uz sarežģītām lēcienu kastu konfigurācijām, kas abas palielina drošības pārraudzības slodzi un ekspozīciju.

Ko pārbauda Aether365

Šī pārbaude verificē, vai jūsu Azure abonementā ir izvietots un aktīvs vismaz viens Azure Bastion resursdators. Aether365 skenē jūsu tīkla resursus un ziņo par Bastion izvietošanas statusu informācijas panelī sadaļā azure-bastion drošības pārbaudes.

Kā to novērst

1. Atveriet Azure portālu un dodieties uz Bastions.
2. Izvēlieties savu Subscription un Resource group.
3. Ievadiet jaunā Bastion resursdatora Name un izvēlieties Region.
4. Tier izvēlieties Standard (ieteicams ražošanas vidēm).
5. Pielāgojiet Instance count, izmantojot slīdni, lai atbilstu slodzes prasībām.
6. Izvēlieties esošu Virtual network vai izveidojiet jaunu, kas ietver apakštīklu ar nosaukumu AzureBastionSubnet un /26 CIDR diapazonu.
7. Ja apakštīkls neeksistē, izveidojiet to tagad ar nosaukumu AzureBastionSubnet un /26 adrešu telpu.
8. Konfigurējiet Public IP address: izvēlieties Create new un norādiet nosaukumu, vai izvēlieties Use existing un atlasiet IP no saraksta.
9. Noklikšķiniet uz Next: Tags un pievienojiet nepieciešamās atzīmes.
10. Noklikšķiniet uz Next: Advanced un konfigurējiet opcijas, piemēram, native client support vai session recording pēc nepieciešamības.
11. Noklikšķiniet uz Review + create, tad uz Create, lai izvietotu Bastion resursdatoru.

Piezīme: Standard līmenis rada papildu izmaksas, bet nodrošina tādas funkcijas kā mērogošana, native client support un Kerberos autentifikācija. Basic līmenis ir ierobežotāks un ieteicams tikai izstrādes vai testēšanas vajadzībām.

Atbilstība

• CIS Microsoft Azure Foundations 3.0.0 8.1. sadaļa (2. līmenis)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Azure Bastion izvietošanas prasība
• CISA (Cybersecurity and Infrastructure Security Agency) Secure Cloud Architecture vadlīnijas

Saistītie resursi

• Azure Bastion pārskats un SKU salīdzinājums
• Get-AzBastion PowerShell cmdlet
• Azure CLI bastion komandas

Microsoft references

• Bastion overview
• Get azbastion
• Bastion