保護企業雲端的Azure資訊安全中心 ~ UCOM 職能補給站

作者：蘇建榮 精誠資訊/恆逸教育訓練中心資深講師

前言

Microsoft Azure 是微軟所營運的公有雲，並可透過 Site-to-Site VPN 或 ExpressRoute 將企業內部網路與 Azure 中的虛擬網路安全的連接(使用 private ip 相互存取)，將 Azure 做為您的另一個 Data Center。它讓我們不需建置與維護實體的硬體設備，就可快速部署、彈性調整規模並且有高可用度，而用多少付多少的計費方式，我們可以容易的估算與控制成本，適合任何規模的企業與個人使用。

Azure 的 Regions(區域) 遍布全球，目前已經超過 60 個以上，2020年10月26日也公告即將會有 Taiwan North 這個 Region。微軟在 2021年4月27日公布的財報顯示，在微軟單一產品或服務中，成長最快的是 Azure(成長 50%)。許多朋友在評估是否使用公有雲時，大多會考量安全性與合規性，Azure 有許多可以幫助我們提高安全性的產品，例如：Azure Firewall、DDoS Protection Plan、Network Security Group、Web Application Firewall 等。而Azure資訊安全中心(Security Center)更可以為我們提供量身訂製的安全建議與做法。

使用「啟用 Azure Defender」的資訊安全中心

在 Azure 入口網站的入口網站功能表選取「資訊安全中心」，在開始使用按「升級」，在自動佈建按「安裝代理程式」，等待一段時間後就升級為啟用 Azure Defender 的版本(前 30 天免費)。

指派安全性原則

在資訊安全中心選取「安全性原則」，再點選您的訂用帳戶後，看到「資訊安全中心的預設原則」，這是 Azure 資訊安全中心建議的預設原則，預設會自動啟用(在啟用 Azure Defender 後，經過一會兒的時間會自動啟用)。在「產業與法規標準」看到「Azure Security Benchmark」，它是根據 Azure 建議的一組原則與評定，在合規性儀表板中追蹤 Azure Security Benchmark 的管控，它預設已是啟用狀態，若您不需要它，可按在它右方的「停用」。此外，也看到「PCI DSS 3.2.1」、「ISO 27001」、「SOC TSP」，若有需要，您可再按它們右方的「啟用」。您也可按「新增更多標準」加上更多的標準，例如按「ISO 27001:2013」右方的「新增」後，按「檢閱+建立」，再按「建立」。

查看安全建議與法規合規性

在資訊安全中心選取「建議」，您可以看到您的安全分數(分數愈高愈安全)，您可以在下方的表單中看到細部的安全建議與補救步驟。若您的訂用帳戶中有 Azure 虛擬機器，您可展開「安全管理連接埠」，點選「應使用 Just-In-Time 網路存取控制來保護虛擬機器的管理連接埠」，勾選您的虛擬機器後，按「修正」，再按「儲存」。這樣這部虛擬機器就被 JIT VM Access 保護(透過 Network Security Group 對管理用的 TCP Port 進行封鎖)，要連到它進行管理前需先要求存取權限才能連到，且預設 3 小時後自動關閉管理用的 TCP Port。若要查看法規合規性，您可以在資訊安全中心選取「法規合規性」，再點選您想要看的合規性法規標準(例如:ISO 27001:2013)即可。

結語

Azure 資訊安全中心，它可以分析、評估 Azure 訂用帳戶中的各種資源，以及有安裝 Microsoft Monitoring Agent，並回報到記錄分析工作區中的企業內部(或在其他公有雲中)，針對真實電腦與虛擬機器的安全性與合規性提供建議與補救步驟(Remediation steps)，讓企業的資訊系統更加安全。

UCOM 職能補給站

提供您專業技能的最佳管道，IT企業主管唯一推薦

2021年6月15日星期二