Ensure an Azure Bastion Host Exists

Varför detta är viktigt

Att exponera Remote Desktop Protocol (RDP) på port 3389 eller Secure Shell (SSH) på port 22 direkt mot internet skapar en betydande attackyta för brute force-attacker och stöld av autentiseringsuppgifter. Azure Bastion eliminerar dessa risker genom att tillhandahålla TLS-skyddad åtkomst via Azure Portal, med Azure Active Directory-autentisering, Multi-Factor Authentication och villkorliga åtkomstprinciper för alla anslutningar till virtuella maskiner. Utan Bastion måste administratörer antingen tilldela publika IP-adresser till virtuella maskiner eller förlita sig på komplexa hoppboxkonfigurationer, vilket båda ökar säkerhetsomfånget och exponeringen.

Vad Aether365 kontrollerar

Denna kontroll verifierar att minst en Azure Bastion-värd är distribuerad och aktiv i din Azure-prenumeration. Aether365 genomsöker dina nätverksresurser och rapporterar Bastions distributionsstatus på instrumentpanelen under säkerhetskontroller för azure-bastion.

Så här åtgärdar du

1. Öppna Azure Portal och navigera till Bastions.
2. Välj din prenumeration och resursgrupp.
3. Ange ett namn för den nya Bastion-värden och välj en region.
4. För nivån väljer du Standard (rekommenderas för produktionsmiljöer).
5. Justera instansantalet med skjutreglaget för att möta dina belastningskrav.
6. Välj ett befintligt virtuellt nätverk eller skapa ett nytt som innehåller ett undernät med namnet AzureBastionSubnet med ett /26 CIDR-intervall.
7. Om undernätet inte finns, skapa det nu med namnet AzureBastionSubnet och ett /26-adressutrymme.
8. Konfigurera den publika IP-adressen: välj Create new och ange ett namn, eller välj Use existing och välj en IP från listan.
9. Klicka på Next: Tags och lägg till eventuella obligatoriska taggar.
10. Klicka på Next: Advanced och konfigurera alternativ som inbyggt klientstöd eller sessionsinspelning efter behov.
11. Klicka på Review + create, sedan Create för att distribuera Bastion-värden.

Notering: Standard-nivån medför extra kostnader men erbjuder funktioner som skalning, inbyggt klientstöd och Kerberos-autentisering. Basic-nivån är mer begränsad och rekommenderas endast för utveckling eller testning.

Efterlevnad

• CIS Microsoft Azure Foundations 3.0.0 Avsnitt 8.1 (Nivå 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) - Krav på Azure Bastion-distribution
• CISA (Cybersecurity and Infrastructure Security Agency) Vägledning för säker molnarkitektur

Relaterade resurser

• Azure Bastion-översikt och SKU-jämförelse
• Get-AzBastion PowerShell-cmdlet
• Azure CLI kommandon för bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion