Управление значениями безопасности по умолчанию для локальной среды Azure

Область применения: Azure Local 2311.2 и более поздних версий

В этой статье описывается управление параметрами безопасности по умолчанию для локального экземпляра Azure. Вы также можете изменить параметры управления дрейфом и защищенные параметры безопасности, определенные во время развертывания, чтобы устройство запускалось в известном хорошем состоянии.

Предпосылки

Прежде чем начать, убедитесь, что у вас есть доступ к локальной системе Azure, развернутой, зарегистрированной и подключенной к Azure.

Просмотр параметров безопасности по умолчанию в портале Azure

Чтобы просмотреть параметры безопасности по умолчанию в портал Azure, убедитесь, что вы применили инициативу MCSB. Дополнительные сведения см. в статье "Применение инициативы Microsoft Cloud Security Benchmark".

Параметры безопасности по умолчанию можно использовать для управления системной безопасностью, управления дрейфом и параметрами защищенного ядра в системе.

Просмотрите состояние подписи SMB во вкладке "Защита данных" и "Защита сети". Подпись SMB позволяет цифрово подписывать трафик SMB между локальным экземпляром Azure и другими системами.

Просмотр соответствия базовых показателей безопасности в портале Azure

После регистрации локального экземпляра Azure с Microsoft Defender для облака или назначения встроенной политики компьютеры Windows должны соответствовать требованиям основной базы безопасности вычислений Azure, создается отчет о соответствии. Для получения полного списка правил, с которыми сравнивается ваш локальный экземпляр Azure, смотрите базовый профиль безопасности Windows.

Для локального компьютера Azure, если выполнены все требования к оборудованию для Secured-core, ожидаемый показатель соответствия по умолчанию равен 321 из 324 правил, то есть 99% правил соответствуют требованиям.

В следующей таблице описываются правила, которые не соответствуют требованиям и обоснование текущего пробела:

Корректировка соответствия правилам

Чтобы исправить соответствие правилам, выполните следующие команды или используйте любой другой инструмент, который вы предпочитаете:

1. Юридическое уведомление: создайте настраиваемое значение для юридического уведомления в зависимости от потребностей и политик вашей организации. Выполните следующие команды:

   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeCaption" -Value "Legal Notice"
   Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LegalNoticeText" -Value "LegalNoticeText"
   

2. Минимальная длина пароля: Установите политику минимальной длины пароля на значение 14 символов на локальном компьютере Azure. Значение по умолчанию равно 7, а любое значение ниже 14 по-прежнему помечено политикой базовых показателей мониторинга. Выполните следующие команды:

   net accounts /minpwlen:14
   

Управление параметрами безопасности по умолчанию с помощью PowerShell

С включенной защитой смещения можно изменять только незащищенные параметры безопасности. Чтобы изменить защищенные параметры безопасности, которые формируют базовый план, необходимо сначала отключить защиту от смещения. Чтобы просмотреть и скачать полный список параметров безопасности, см. раздел "Базовые показатели безопасности".

Изменение значений по умолчанию безопасности

Начните с начальной базовой базы безопасности, а затем измените параметры смещения и защищенные параметры безопасности, определенные во время развертывания.

Включить контроль дрейфа

Чтобы включить элемент управления дрейфом, выполните следующие действия.

1. Подключитесь к локальному компьютеру Azure.

2. Запустите следующий командлет:

   Enable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Local — влияет только на локальный узел.
   • Кластер — влияет на все узлы в кластере с помощью оркестратора.

Отключите управление дрейфом

Чтобы отключить элемент управления дрейфом, выполните следующие действия.

1. Подключитесь к локальному компьютеру Azure.

2. Запустите следующую команду:

   Disable-AzsSecurity -FeatureName DriftControl -Scope <Local | Cluster>
   

   • Local — влияет только на локальный узел.
   • Кластер — воздействует на все узлы в кластере, используя оркестратор.

Настройка параметров безопасности во время развертывания

В рамках развертывания можно изменить элемент управления дрейфом и другие параметры безопасности, составляющие базовые показатели безопасности в кластере.

В следующей таблице описаны параметры безопасности, которые можно настроить в локальном экземпляре Azure во время развертывания.

Изменение параметров безопасности после развертывания

После завершения развертывания можно использовать PowerShell для изменения параметров безопасности при сохранении управления смещением. Для некоторых функций требуется перезагрузка.

Свойства командлета PowerShell

Следующие свойства командлета предназначены для модуля AzureStackOSConfigAgent . Модуль устанавливается во время развертывания.

• Get-AzsSecurity -Scope: <Local | PerNode | AllNodes | Кластер>

  • Local — предоставляет логическое значение (true/False) на локальном узле. Можно запускать из обычного удаленного сеанса PowerShell.
  • PerNode — предоставляет логическое значение (true/False) для каждого узла.
  • Отчет - Требуется CredSSP или локальный компьютер Azure через подключение к протоколу удаленного рабочего стола (RDP).
    • AllNodes — предоставляет логическое значение (true/false), вычисляемое на всех узлах.
    • Кластер — предоставляет логическое значение из хранилища ECE. Взаимодействует с оркестратором и действует на все узлы в кластере.

• Enable-AzsSecurity -Scope <Local | Кластер>

• Disable-AzsSecurity -Scope <Local | Кластер>

  • FeatureName — <CredentialGuard | DriftControl | DRTM | HVCI | SideChannelMitigation | SMBEncryption | SMBSigning | VBS>

    • Контроль дрейфа
    • Защита Учётных Данных (Credential Guard)
    • VBS (безопасность на основе виртуализации) — мы поддерживаем только команду enable.
    • DRTM (Динамический корень доверия для измерений)
    • HVCI (гипервизор обеспечивает целостность кода)
    • Устранение рисков на стороне канала
    • Подписывание SMB
    • Шифрование кластера SMB

    Внимание

    Enable AzsSecurity и Disable AzsSecurity командлеты доступны только в новых или обновленных развертываниях после надлежащего применения базовых уровней безопасности к узлам. Дополнительные сведения см. в статье "Управление безопасностью после обновления локальной службы Azure".

В следующей таблице перечислены поддерживаемые функции безопасности, поддерживаются ли они управление смещением и требуется ли перезагрузка для реализации функции.

Следующие шаги

• Общие сведения о шифровании BitLocker.