Ensure an Azure Bastion Host Exists

Чому це важливо

Відкриття протоколу віддаленого робочого столу (RDP) на порту 3389 або Secure Shell (SSH) на порту 22 безпосередньо в інтернет створює значну поверхню атаки для брутфорсу та крадіжки облікових даних. Azure Bastion усуває ці ризики, надаючи захищений TLS доступ через Azure portal, застосовуючи автентифікацію Azure Active Directory, Multi-Factor Authentication та політики умовного доступу для всіх підключень до віртуальних машин. Без Bastion адміністратори змушені або призначати публічні IP-адреси віртуальним машинам, або покладатися на складні конфігурації проміжних серверів (jump boxes), що збільшує навантаження на безпеку та площу вразливості.

Що перевіряє Aether365

Ця перевірка підтверджує, що принаймні один хост Azure Bastion розгорнуто та активовано у вашій підписці Azure. Aether365 сканує ваші мережеві ресурси та повідомляє статус розгортання Bastion на панелі інструментів у розділі перевірок безпеки azure-bastion.

Як виправити

1. Відкрийте Azure portal та перейдіть до Bastions.
2. Виберіть свою Subscription та Resource group.
3. Введіть Name для нового хоста Bastion та оберіть Region.
4. Для Tier оберіть Standard (рекомендовано для виробничих середовищ).
5. За допомогою повзунка налаштуйте Instance count відповідно до потреб навантаження.
6. Виберіть наявну Virtual network або створіть нову, яка включає підмережу з назвою AzureBastionSubnet і діапазоном CIDR /26.
7. Якщо підмережа не існує, створіть її зараз з назвою AzureBastionSubnet та адресним простором /26.
8. Налаштуйте Public IP address: оберіть Create new і введіть назву, або оберіть Use existing та виберіть IP зі списку.
9. Натисніть Next: Tags та додайте необхідні теги.
10. Натисніть Next: Advanced та налаштуйте додаткові опції, такі як підтримка нативних клієнтів або запис сеансів, за потреби.
11. Натисніть Review + create, а потім Create, щоб розгорнути хост Bastion.

Примітка: Рівень Standard призводить до додаткових витрат, але надає такі функції, як масштабування, підтримка нативних клієнтів та автентифікація Kerberos. Базовий рівень більш обмежений і рекомендується лише для розробки або тестування.

Відповідність

• CIS Microsoft Azure Foundations 3.0.0 Розділ 8.1 (Рівень 2)
• EIDSCA (Enterprise Infrastructure and Data Security Compliance Assessment) – Вимога розгортання Azure Bastion
• CISA (Cybersecurity and Infrastructure Security Agency) – Рекомендації щодо безпечної хмарної архітектури

Пов'язані ресурси

• Огляд Azure Bastion та порівняння SKU
• Командлет PowerShell Get-AzBastion
• Команди Azure CLI для bastion

Microsoft references

• Bastion overview
• Get azbastion
• Bastion