Ensure an Azure Bastion Host Exists

Waarom dit belangrijk is

Het rechtstreeks blootstellen van Remote Desktop Protocol (RDP) op poort 3389 of Secure Shell (SSH) op poort 22 aan het internet creëert een aanzienlijk aanvalsoppervlak voor brute force- en credentialdiefstal. Azure Bastion elimineert deze risico's door TLS-beveiligde toegang via de Azure Portal te bieden, waarbij Azure Active Directory-verificatie, Multi-Factor Authentication en Conditional Access-beleid worden afgedwongen voor alle virtuele machineverbindingen. Zonder Bastion moeten beheerders ofwel openbare IP-adressen toewijzen aan VM's, ofwel vertrouwen op complexe jump box-configuraties, wat beide de beveiligingslast en -blootstelling vergroot.

Wat Aether365 controleert

Deze controle verifieert dat er ten minste één Azure Bastion-host is geïmplementeerd en actief is in uw Azure-abonnement. Aether365 scant uw netwerkbronnen en rapporteert de Bastion-implementatiestatus op het dashboard onder azure-bastion-beveiligingscontroles.

Hoe het te herstellen

1. Open de Azure Portal en navigeer naar Bastions.
2. Selecteer uw abonnement en resourcegroep.
3. Voer een naam in voor de nieuwe Bastion-host en kies een regio.
4. Selecteer voor de Tier de optie Standard (aanbevolen voor productieomgevingen).
5. Pas het aantal instanties aan met de schuifregelaar om aan uw belastingsvereisten te voldoen.
6. Kies een bestaand virtueel netwerk of maak een nieuw netwerk met een subnet met de naam AzureBastionSubnet met een /26 CIDR-bereik.
7. Als het subnet niet bestaat, maak het dan nu aan met de naam AzureBastionSubnet en een /26-adresruimte.
8. Configureer het openbare IP-adres: selecteer Create new en geef een naam, of kies Use existing en selecteer een IP uit de lijst.
9. Klik op Next: Tags en voeg indien nodig tags toe.
10. Klik op Next: Advanced en configureer opties zoals native client-ondersteuning of sessieopname indien gewenst.
11. Klik op Review + create en vervolgens op Create om de Bastion-host te implementeren.

Opmerking: De Standard-tier brengt extra kosten met zich mee, maar biedt functies zoals schaling, native client-ondersteuning en Kerberos-verificatie. De Basic-tier is beperkter en wordt alleen aanbevolen voor ontwikkeling of tests.

Naleving

• CIS Microsoft Azure Foundations 3.0.0 Sectie 8.1 (Niveau 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Vereiste voor Azure Bastion-implementatie
• CISA (Cybersecurity and Infrastructure Security Agency) Richtlijnen voor beveiligde cloudarchitectuur

Gerelateerde bronnen

• Azure Bastion-overzicht en SKU-vergelijking
• Get-AzBastion PowerShell-cmdlet
• Azure CLI-bastionopdrachten

Microsoft references

• Bastion overview
• Get azbastion
• Bastion