Ensure an Azure Bastion Host Exists

Por Que Isso é Importante

Expor o Remote Desktop Protocol (RDP) na porta 3389 ou o Secure Shell (SSH) na porta 22 diretamente à internet cria uma superfície de ataque significativa para força bruta e roubo de credenciais. O Azure Bastion elimina esses riscos ao fornecer acesso protegido por TLS por meio do Azure Portal, aplicando autenticação do Azure Active Directory, Multi-Factor Authentication e políticas de Conditional Access para todas as conexões com máquinas virtuais. Sem o Bastion, os administradores precisam atribuir endereços IP públicos às VMs ou depender de configurações complexas de jump box, ambas aumentando a sobrecarga e a exposição de segurança.

O Que o Aether365 Verifica

Esta verificação confirma se pelo menos um host do Azure Bastion está implantado e ativo em sua assinatura do Azure. O Aether365 examina seus recursos de rede e relata o status da implantação do Bastion no painel, sob as verificações de segurança do azure-bastion.

Como Corrigir

1. Abra o Azure Portal e navegue até Bastions.
2. Selecione sua Assinatura e o Grupo de recursos.
3. Insira um Nome para o novo host Bastion e escolha uma Região.
4. Para o Nível, selecione Standard (recomendado para ambientes de produção).
5. Ajuste a Contagem de instâncias usando o controle deslizante para atender aos requisitos de carga.
6. Escolha uma Rede virtual existente ou crie uma nova que inclua uma sub-rede chamada AzureBastionSubnet com um intervalo CIDR /26.
7. Se a sub-rede não existir, crie-a agora com o nome AzureBastionSubnet e um espaço de endereço /26.
8. Configure o endereço IP público: selecione Create new e forneça um nome, ou escolha Use existing e selecione um IP da lista.
9. Clique em Next: Tags e adicione as tags necessárias.
10. Clique em Next: Advanced e configure opções como suporte para cliente nativo ou gravação de sessão conforme necessário.
11. Clique em Review + create e depois em Create para implantar o host Bastion.

Observação: O nível Standard incorre em custos adicionais, mas oferece recursos como escalabilidade, suporte para cliente nativo e autenticação Kerberos. O nível Basic é mais limitado e recomendado apenas para desenvolvimento ou teste.

Conformidade

• CIS Microsoft Azure Foundations 3.0.0 Seção 8.1 (Nível 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Requisito de implantação do Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Orientação de arquitetura segura em nuvem

Recursos Relacionados

• Visão geral do Azure Bastion e comparação de SKUs
• Cmdlet PowerShell Get-AzBastion
• Comandos da CLI do Azure para bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion