Ensure an Azure Bastion Host Exists

De ce este important

Expunerea Remote Desktop Protocol (RDP) pe portul 3389 sau Secure Shell (SSH) pe portul 22 direct pe internet creează o suprafață semnificativă de atac pentru forțarea brută și furtul de credențiale. Azure Bastion elimină aceste riscuri prin asigurarea accesului securizat prin TLS prin intermediul Azure portal, impunând autentificare Azure Active Directory, Multi-Factor Authentication și politici Conditional Access pentru toate conexiunile la mașinile virtuale. Fără Bastion, administratorii trebuie fie să atribuie adrese IP publice mașinilor virtuale, fie să se bazeze pe configurații complexe cu mașini intermediare (jump box), ambele crescând volumul de securitate și expunerea.

Ce verifică Aether365

Această verificare confirmă că cel puțin un host Azure Bastion este implementat și activ în abonamentul dvs. Azure. Aether365 scanează resursele de rețea și raportează starea implementării Bastion în tabloul de bord, la secțiunea verificări de securitate azure-bastion.

Cum se remediază

1. Deschideți Azure portal și navigați la Bastions.
2. Selectați abonamentul și grupul de resurse.
3. Introduceți un nume pentru noul host Bastion și alegeți o regiune.
4. Pentru nivel, selectați Standard (recomandat pentru medii de producție).
5. Reglați numărul de instanțe cu ajutorul glisorului pentru a satisface cerințele de încărcare.
6. Alegeți o rețea virtuală existentă sau creați una nouă care include o subrețea denumită AzureBastionSubnet cu o gamă CIDR /26.
7. Dacă subrețeaua nu există, creați-o acum cu numele AzureBastionSubnet și un spațiu de adrese /26.
8. Configurați adresa IP publică: selectați Create new și furnizați un nume, sau alegeți Use existing și selectați o adresă IP din listă.
9. Faceți clic pe Next: Tags și adăugați orice etichete necesare.
10. Faceți clic pe Next: Advanced și configurați opțiuni precum suportul client nativ sau înregistrarea sesiunilor, după cum este necesar.
11. Faceți clic pe Review + create, apoi pe Create pentru a implementa hostul Bastion.

Notă: Nivelul Standard implică costuri suplimentare, dar oferă funcționalități precum scalarea, suportul client nativ și autentificarea Kerberos. Nivelul Basic este mai limitat și recomandat doar pentru dezvoltare sau testare.

Conformitate

• CIS Microsoft Azure Foundations 3.0.0 Secțiunea 8.1 (Nivelul 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – cerința de implementare Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – îndrumări privind arhitectura cloud securizată

Resurse conexe

• Prezentare generală Azure Bastion și compararea SKU-urilor
• Cmdletul PowerShell Get-AzBastion
• Comenzi Azure CLI pentru bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion