Ensure an Azure Bastion Host Exists

Dlaczego to jest ważne

Udostępnianie Remote Desktop Protocol (RDP) na porcie 3389 lub Secure Shell (SSH) na porcie 22 bezpośrednio do Internetu stwarza znaczącą powierzchnię ataku dla ataków brute force i kradzieży poświadczeń. Azure Bastion eliminuje te ryzyka, zapewniając dostęp zabezpieczony protokołem TLS za pośrednictwem Azure Portal, wymuszając uwierzytelnianie Azure Active Directory, Multi-Factor Authentication oraz zasady Conditional Access dla wszystkich połączeń z maszynami wirtualnymi. Bez Bastionu administratorzy muszą albo przypisywać publiczne adresy IP do maszyn wirtualnych, albo polegać na skomplikowanych konfiguracjach serwerów przesiadkowych (jump box), co w obu przypadkach zwiększa ryzyko i obciążenie związane z bezpieczeństwem.

Co sprawdza Aether365

To sprawdzenie weryfikuje, czy co najmniej jeden host Azure Bastion jest wdrożony i aktywny w Twojej subskrypcji Azure. Aether365 skanuje Twoje zasoby sieciowe i raportuje stan wdrożenia Bastion na pulpicie nawigacyjnym w sekcji kontroli bezpieczeństwa azure-bastion.

Jak naprawić

1. Otwórz Azure Portal i przejdź do pozycji Bastions.
2. Wybierz swoją subskrypcję i grupę zasobów.
3. Wprowadź nazwę nowego hosta Bastion i wybierz region.
4. Dla warstwy (Tier) wybierz Standard (zalecane dla środowisk produkcyjnych).
5. Dostosuj liczbę instancji za pomocą suwaka do wymagań obciążenia.
6. Wybierz istniejącą sieć wirtualną lub utwórz nową, która zawiera podsieć o nazwie AzureBastionSubnet z zakresem CIDR /26.
7. Jeśli podsieć nie istnieje, utwórz ją teraz, nadając nazwę AzureBastionSubnet i przestrzeń adresową /26.
8. Skonfiguruj publiczny adres IP: wybierz Create new i podaj nazwę, lub wybierz Use existing i wybierz adres IP z listy.
9. Kliknij Next: Tags i dodaj wymagane tagi.
10. Kliknij Next: Advanced i skonfiguruj opcje takie jak obsługa klienta natywnego lub nagrywanie sesji, jeśli to konieczne.
11. Kliknij Review + create, a następnie Create, aby wdrożyć host Bastion.

Uwaga: Warstwa Standard wiąże się z dodatkowymi kosztami, ale zapewnia funkcje takie jak skalowanie, obsługa klienta natywnego i uwierzytelnianie Kerberos. Warstwa Basic jest bardziej ograniczona i zalecana tylko do programowania lub testowania.

Zgodność

• CIS Microsoft Azure Foundations 3.0.0 Sekcja 8.1 (Poziom 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Wymóg wdrożenia Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Wytyczne dotyczące bezpiecznej architektury chmury

Powiązane zasoby

• Azure Bastion overview and SKU comparison
• Get-AzBastion PowerShell cmdlet
• Azure CLI bastion commands

Microsoft references

• Bastion overview
• Get azbastion
• Bastion