Ensure an Azure Bastion Host Exists

Prečo je to dôležité

Vystavenie Remote Desktop Protocol (RDP) na porte 3389 alebo Secure Shell (SSH) na porte 22 priamo na internet vytvára významnú útočnú plochu pre brute force útoky a krádeže prihlasovacích údajov. Azure Bastion tieto riziká eliminuje tým, že poskytuje TLS-zabezpečený prístup cez Azure portal a vynucuje Azure Active Directory autentifikáciu, Multi-Factor Authentication a Conditional Access politiky pre všetky pripojenia k virtuálnym počítačom. Bez Bastionu musia správcovia buď prideľovať verejné IP adresy virtuálnym počítačom, alebo sa spoliehať na zložité konfigurácie jump boxov, pričom obe možnosti zvyšujú bezpečnostnú réžiu a riziko.

Čo Aether365 kontroluje

Táto kontrola overuje, či je v predplatnom Azure nasadený a aktívny aspoň jeden Azure Bastion host. Aether365 prehľadáva vaše sieťové zdroje a na dashboarde pod bezpečnostnými kontrolami azure-bastion zobrazuje stav nasadenia Bastionu.

Ako to opraviť

1. Otvorte Azure portal a prejdite na Bastions.
2. Vyberte svoje predplatné a Resource group.
3. Zadajte názov nového Bastion hosta a vyberte Región.
4. Pre Tier vyberte Standard (odporúčané pre produkčné prostredia).
5. Pomocou posuvníka upravte Instance count podľa vašich požiadaviek na záťaž.
6. Vyberte existujúcu Virtuálnu sieť alebo vytvorte novú, ktorá obsahuje subnet s názvom AzureBastionSubnet s CIDR rozsahom /26.
7. Ak subnet neexistuje, vytvorte ho teraz s názvom AzureBastionSubnet a adresným priestorom /26.
8. Nakonfigurujte Public IP adresu: vyberte Create new a zadajte názov, alebo zvoľte Use existing a vyberte IP adresu zo zoznamu.
9. Kliknite na Next: Tags a pridajte prípadné požadované tagy.
10. Kliknite na Next: Advanced a podľa potreby nakonfigurujte možnosti ako natívnu klientsku podporu alebo nahrávanie relácií.
11. Kliknite na Review + create a potom na Create pre nasadenie Bastion hosta.

Poznámka: Standard tier prináša dodatočné náklady, ale poskytuje funkcie ako škálovanie, podporu natívneho klienta a Kerberos autentifikáciu. Basic tier je obmedzenejší a odporúča sa len pre vývoj alebo testovanie.

Súlad s normami

• CIS Microsoft Azure Foundations 3.0.0 Sekcia 8.1 (Level 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Požiadavka na nasadenie Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Pokyny pre bezpečnú cloudovú architektúru

Súvisiace zdroje

• Prehľad Azure Bastion a porovnanie SKU
• Get-AzBastion PowerShell cmdlet
• Azure CLI príkazy pre Bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion