数据安全建议

项目
09/26/2024

本文列出了 Microsoft Defender for Cloud 中可能会显示的所有数据安全建议。

环境中显示的建议基于要保护的资源和自定义配置。

若要了解可以针对这些建议采取的操作，请参阅 Defender for Cloud 修正建议。

提示

如果建议的描述中显示“无相关策略”，通常是因为该建议依赖于另一个建议。

例如，建议“应修正 Endpoint Protection 运行状况失败”依赖于建议“应安装 Endpoint Protection 解决方案”，后者检查 Endpoint Protection 解决方案是否已安装。基础建议确实具有一个策略。将策略限制为仅用于基本建议可简化策略管理。

Azure 数据建议

（必要时启用）Azure Cosmos DB 帐户应使用客户管理的密钥来加密静态数据

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用客户管理的密钥来管理 Azure Cosmos DB 的静态加密。默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足监管合规标准，通常需要使用客户管理的密钥 (CMK)。 CMK 允许使用由你创建并拥有的 Azure Key Vault 密钥对数据进行加密。你可以完全控制并负责关键生命周期，包括轮换和管理。访问 https://aka.ms/cosmosdb-cmk，了解有关 CMK 加密的详细信息。（相关策略：Azure Cosmos DB 帐户应使用客户管理的密钥对数据进行静态加密）。

严重性：低

（必要时启用）Azure 机器学习工作区应使用客户管理的密钥 (CMK) 进行加密

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用客户管理的密钥 (CMK) 管理 Azure 机器学习工作区数据的静态加密。默认情况下，使用服务管理的密钥对客户数据进行加密，但为了满足监管合规标准，通常需要使用 CMK。 CMK 允许使用由你创建并拥有的 Azure Key Vault 密钥对数据进行加密。你可以完全控制并负责关键生命周期，包括轮换和管理。访问 https://aka.ms/azureml-workspaces-cmk，了解有关 CMK 加密的详细信息。（相关策略：应使用客户管理的密钥 (CMK) 对 Azure 机器学习工作区进行加密）。

严重性：低

（必要时启用）MySQL 服务器应使用客户管理的密钥来加密静态数据

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用客户管理的密钥来管理 MySQL 服务器的静态加密。默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足监管合规标准，通常需要使用客户管理的密钥 (CMK)。 CMK 允许使用由你创建并拥有的 Azure Key Vault 密钥对数据进行加密。你可以完全控制并负责关键生命周期，包括轮换和管理。（相关策略：应为 MySQL 服务器启用自带密钥数据保护）。

严重性：低

（必要时启用）PostgreSQL 服务器应使用客户管理的密钥来加密静态数据

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用客户管理的密钥来管理 PostgreSQL 服务器的静态加密。默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足监管合规标准，通常需要使用客户管理的密钥 (CMK)。 CMK 允许使用由你创建并拥有的 Azure Key Vault 密钥对数据进行加密。你可以完全控制并负责关键生命周期，包括轮换和管理。（相关策略：应为 PostgreSQL 服务器启用自带密钥数据保护）。

严重性：低

（必要时启用）SQL 托管实例应使用客户管理的密钥来加密静态数据

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用你自己的密钥实现透明数据加密 (TDE) 可增加透明度和对 TDE 保护器的控制，增强由 HSM 提供支持的外部服务的安全性，并促进职责划分。此建议适用于具有相关合规性要求的组织。（相关策略：SQL 托管实例应使用客户管理的密钥对数据进行静态加密）。

严重性：低

（必要时启用）SQL 服务器应使用客户管理的密钥来加密静态数据

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用你自己的密钥实现透明数据加密 (TDE) 可增加透明度和对 TDE 保护器的控制，增强由 HSM 提供支持的外部服务的安全性，并促进职责划分。此建议适用于具有相关合规性要求的组织。（相关策略：SQL Server 应使用客户管理的密钥对数据进行静态加密）。

严重性：低

（必要时启用）存储帐户应使用客户管理的密钥 (CMK) 进行加密

说明：默认情况下，不会评估使用客户管理的密钥来加密静态数据的建议，但仍会显示这些建议，以便为适用的方案启用。将会使用平台管理的密钥自动对数据进行加密，因此，只有在合规性或限制性策略要求强制时，才应应用客户管理的密钥。若要启用此建议，请导航到适用作用域的安全策略，并更新相应策略的 Effect 参数以审核或强制使用客户管理的密钥。有关详细信息，请参阅管理安全策略。使用客户管理的密钥 (CMK) 更灵活地保护存储帐户。指定 CMK 时，该密钥会用于保护和控制对加密数据的密钥的访问。使用 CMK 可提供附加功能来控制密钥加密密钥的轮换或以加密方式擦除数据。（相关策略：存储帐户应使用客户管理的密钥 (CMK) 进行加密）。

严重性：低

应在 SQL 托管实例的高级数据安全设置中启用所有高级威胁防护类型

说明：建议在 SQL 托管实例上启用所有高级威胁防护类型。启用所有类型可以防范 SQL 注入、数据库漏洞和任何其他异常活动。（无相关策略）

严重性：中等

应在 SQL Server 的高级数据安全设置中启用所有高级威胁防护类型

说明：建议在 SQL 服务器上启用所有高级威胁防护类型。启用所有类型可以防范 SQL 注入、数据库漏洞和任何其他异常活动。（无相关策略）

严重性：中等

API 管理服务应使用虚拟网络

说明：Azure 虚拟网络部署提供了增强的安全性和隔离性，并允许将 API 管理服务放置在控制访问权限的非 Internet 可路由的网络中。然后，可以使用各种 VPN 技术将这些网络连接到本地网络，这样就能够访问网络中的和/或本地的后端服务。可以将开发人员门户和 API 网关配置为可以从 Internet 访问或只能在虚拟网络内访问。（相关策略：API 管理服务应使用虚拟网络）。

严重性：中等

应用程序配置应使用专用链接

说明：通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到应用配置实例（而不是整个服务），还可以防范数据泄露风险。有关详细信息，请访问：https://aka.ms/appconfig/private-endpoint。（相关策略：应用程序配置应使用专用链接）。

严重性：中等

应将 SQL Server 的审核保留设置为至少 90 天

说明：审核配置的审核保持期少于 90 天的 SQL 服务器。（相关策略：SQL Server 应配置有 90 天或更长时间的审核保留期。）

严重性：低

应启用 SQL 服务器上的审核

说明：在 SQL Server 上启用审核以跟踪服务器上所有数据库的数据库活动，并将其保存在审核日志中。（相关策略：应启用 SQL Server 上的审核）。

严重性：低

订阅应启用 Log Analytics 代理自动预配

说明：若要监视安全漏洞和威胁，Microsoft Defender for Cloud 会从 Azure 虚拟机 (VM) 收集数据。数据是使用 Log Analytics 代理收集的，该代理以前称为 Microsoft Monitoring Agent (MMA)，它从计算机中读取各种安全相关的配置和事件日志，然后将数据复制到 Log Analytics 工作区以用于分析。建议启用自动预配，将代理自动部署到所有受支持的 Azure VM 和任何新创建的 VM。（相关策略：应为订阅启用自动预配 Log Analytics 代理）。

严重性：低

Azure Cache for Redis 应驻留在虚拟网络中

说明：Azure 虚拟网络 (VNet) 部署为 Azure Cache for Redis 缓存以及子网、访问控制策略和其他功能提供增强的安全性和隔离，以进一步限制访问。为 Azure Redis 缓存实例配置了 VNet 后，该实例不可公开寻址，而只能从 VNet 中的虚拟机和应用程序进行访问。（相关策略：Azure Cache for Redis 应驻留在虚拟网络中）。

严重性：中等

Azure Database for MySQL 应预配 Azure Active Directory 管理员

说明：为 Azure Database for MySQL 预配 Azure AD 管理员，以启用 Azure AD 身份验证。 Azure AD 身份验证可简化权限管理和数据库用户和其他 Microsoft 服务的集中标识管理（相关策略：应为 MySQL 服务器预配 Azure Active Directory 管理员）。

严重性：中等

Azure Database for PostgreSQL 应预配 Azure Active Directory 管理员

说明：为 Azure Database for PostgreSQL 预配 Azure AD 管理员，以启用 Azure AD 身份验证。使用 Azure AD 身份验证可以简化权限管理，以及集中化数据库用户和其他 Microsoft 服务的标识管理
（相关策略：应为 PostgreSQL 服务器预配 Azure Active Directory 管理员）。

严重性：中等

Azure Cosmos DB 帐户应有防火墙规则

说明：应在 Azure Cosmos DB 帐户上定义防火墙规则，以防止来自未经授权的源的流量。至少定义了一个 IP 规则且启用了虚拟网络筛选器的帐户才会被视为合规。禁用公共访问的帐户也被视为合规。（相关策略：Azure Cosmos DB 帐户应有防火墙规则）。

严重性：中等

Azure 事件网格域应使用专用链接

说明：通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到事件网格域（而不是整个服务），还可以防范数据泄露风险。有关详细信息，请访问：https://aka.ms/privateendpoints。（相关策略：Azure 事件网格域应使用专用链接）。

严重性：中等

Azure 事件网格主题应使用专用链接

说明：通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到主题（而不是整个服务），还可以防范数据泄露风险。有关详细信息，请访问：https://aka.ms/privateendpoints。（相关策略：Azure 事件网格主题应使用专用链接）。

严重性：中等

Azure 机器学习工作区应使用专用链接

说明：通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到 Azure 机器学习工作区（而不是整个服务），还可以防范数据泄露风险。有关详细信息，请访问：https://aka.ms/azureml-workspaces-privatelink。（相关策略：Azure 机器学习工作区应使用专用链接）。

严重性：中等

Azure SignalR 服务应使用专用链接

说明：通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到 SignalR 资源（而不是整个服务），还可以防范数据泄露风险。有关详细信息，请访问：https://aka.ms/asrs/privatelink。（相关策略：Azure SignalR 服务应使用专用链接）。

严重性：中等

Azure Spring Cloud 应使用网络注入

说明：Azure Spring Cloud 实例应使用虚拟网络注入实现以下目的：1。将 Azure Spring Cloud 与 Internet 隔离。 2. 使 Azure Spring Cloud 能够与本地数据中心内的系统和/或其他虚拟网络中的 Azure 服务内的系统进行交互。 3. 授权客户控制 Azure Spring Cloud 的入站和出站网络通信。（相关策略：Azure Spring Cloud 应使用网络注入）。

严重性：中等

应为 SQL Server 预配 Azure Active Directory 管理员

说明：为 SQL Server 预配 Azure AD 管理员,以启用 Azure AD 身份验证。使用 Azure AD 身份验证可以简化权限管理，以及集中化数据库用户和其他 Microsoft 服务的标识管理。（相关策略：应为 SQL Server 预配 Azure Active Directory 管理员）。

严重性：高

Azure Synapse 工作区身份验证模式应已为仅 Azure Active Directory

说明：Azure Synapse 工作区身份验证模式应为仅限 Azure Active Directory。仅限 Azure Active Directory 身份验证方法通过确保 Synapse 工作区仅要求 Azure AD 标识进行身份验证来提高安全性。了解详细信息。（相关策略：Synapse 工作区应仅使用 Azure Active Directory 标识进行身份验证）。

严重性：中等

代码存储库应处理代码扫描结果

说明：Defender for DevOps 在代码存储库中发现了漏洞。若要改善存储库的安全状况，强烈建议修复这些漏洞。（无相关策略）

严重性：中等

代码存储库应处理 Dependabot 扫描结果

说明：Defender for DevOps 在代码存储库中发现了漏洞。若要改善存储库的安全状况，强烈建议修复这些漏洞。（无相关策略）

严重性：中等

与处理代码扫描结果一样，代码存储库应处理基础结构调查结果

说明：Defender for DevOps 发现基础结构是存储库中的代码安全配置问题。在模板文件中已检测到以下问题。若要改善相关云资源的安全状况，强烈建议修复这些问题。（无相关策略）

严重性：中等

代码存储库应处理机密扫描结果

说明：Defender for DevOps 在代码存储库中发现了机密。应立即修正此问题以防止安全漏洞。在存储库中发现的机密可能会被泄露或被攻击者发现，导致应用程序或服务遭到入侵。对于 Azure DevOps，Microsoft Security DevOps CredScan 工具仅扫描它配置为运行的生成。因此，结果可能无法反映存储库中机密的完整状态。（无相关策略）

严重性：高

认知服务帐户应启用数据加密

说明：此策略审核未使用数据加密的任何认知服务帐户。对于具有存储的各个帐户，应启用使用客户管理的密钥或 Microsoft 管理的密钥的数据加密。（相关策略：认知服务帐户应启用数据加密）。

严重性：低

认知服务帐户应使用客户自有存储或启用数据加密

说明：此策略审核未使用客户自有存储或数据加密的任何认知服务帐户。对于具有存储的各个认知服务帐户，应使用客户自有存储或启用数据加密。与 Microsoft 云安全基准保持一致。（相关策略：认知服务帐户应使用客户自有存储或启用数据加密。）

严重性：低

应启用 Azure Data Lake Store 的诊断日志

说明：启用日志并将其保留长达一年的时间。这样便可以在发生安全事件或网络遭泄露时，重新创建活动线索用于调查目的。（相关策略：应启用 Azure Data Lake Store 中的诊断日志）。

严重性：低

应启用 Data Lake Analytics 的诊断日志

说明：启用日志并将其保留长达一年的时间。这样便可以在发生安全事件或网络遭泄露时，重新创建活动线索用于调查目的。（相关策略：应启用 Data Lake Analytics 中的诊断日志）。

严重性：低

应启用高严重性警报的电子邮件通知

说明：请在 Defender for Cloud 中启用对高严重性警报的电子邮件通知，以确保在其中一个订阅存在潜在安全漏洞时，组织中的相关人员会收到通知。（相关策略：应启用高严重性警报的电子邮件通知）。

严重性：低

应启用向订阅所有者发送高严重性警报的电子邮件通知

说明：请在 Defender for Cloud 中设置对订阅所有者的高严重性警报的电子邮件通知，以确保在订阅所有者的订阅存在潜在安全漏洞时，向其发出通知。（相关策略：应启用发送给订阅所有者的高严重性警报的电子邮件通知）。

严重性：中等

应为 MySQL 数据库服务器启用“强制 SSL 连接”

说明：Azure Database for MySQL 支持使用安全套接字层 (SSL) 将 Azure Database for MySQL 服务器连接到客户端应用程序。通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。此配置强制始终启用 SSL 以访问数据库服务器。（相关策略：应为 MySQL 数据库服务器启用强制执行 SSL 连接）。

严重性：中等

应为 PostgreSQL 数据库服务器启用“强制 SSL 连接”

说明：Azure Database for PostgreSQL 支持使用安全套接字层 (SSL) 将 Azure Database for PostgreSQL 服务器连接到客户端应用程序。通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。此配置强制始终启用 SSL 以访问数据库服务器。（相关策略：应为 PostgreSQL 数据库服务器启用强制执行 SSL 连接）。

严重性：中等

函数应用应已解决漏洞发现结果

说明：函数运行时漏洞扫描会扫描函数应用是否存在安全漏洞，并公开详细的发现。修复这些漏洞可以极大地改善无服务器应用程序的安全状况，并保护其不受攻击影响。（无相关策略）

严重性：高

应为 Azure Database for MariaDB 启用异地冗余备份

说明：通过 Azure Database for MariaDB，可以为数据库服务器选择冗余选项。它可设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可复制到配对区域，以在发生区域故障时提供恢复选项。只能在创建服务器时为备份配置异地冗余存储。（相关策略：应为 Azure Database for MariaDB 启用异地冗余备份）。

严重性：低

应为 Azure Database for MySQL 启用异地冗余备份

说明：通过 Azure Database for MySQL，可以为数据库服务器选择冗余选项。它可设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可复制到配对区域，以在发生区域故障时提供恢复选项。只能在创建服务器时为备份配置异地冗余存储。（相关策略：应为 Azure Database for MySQL 启用异地冗余备份）。

严重性：低

应为 Azure Database for PostgreSQL 启用异地冗余备份

说明：通过 Azure Database for PostgreSQL，可以为数据库服务器选择冗余选项。它可设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可复制到配对区域，以在发生区域故障时提供恢复选项。只能在创建服务器时为备份配置异地冗余存储。（相关策略：应为 Azure Database for PostgreSQL 启用异地冗余备份）。

严重性：低

GitHub 存储库应启用代码扫描

说明：GitHub 使用代码扫描分析代码，以便查找代码中的安全漏洞和错误。代码扫描可用于查找、会审和优先排列代码中现有问题的修复。代码扫描还可防止开发人员引入新问题。扫描可安排在特定的日期和时间，也可以在存储库中发生特定事件（例如推送）时触发。如果代码扫描发现代码中的潜在漏洞或错误，GitHub 会在存储库中显示警报。漏洞是项目代码中的问题，可能被人利用来损害项目的机密性、完整性或可用性。（无相关策略）

严重性：中等

GitHub 存储库应启用 Dependabot 扫描

说明：GitHub 在检测到影响存储库的代码依赖项中的漏洞时发送 Dependabot 警报。漏洞是项目代码中的问题，可能被利用来损害机密性、完整性或者该项目或其他使用其代码的项目的可用性。漏洞的类型、严重性和攻击方法各不相同。代码依赖于具有安全性漏洞的包时，这种易受攻击的依赖项会导致一系列问题。（无相关策略）

严重性：中等

GitHub 存储库应启用机密扫描

说明：GitHub 扫描存储库中已知类型的机密，以防止对意外提交到存储库的机密的欺诈性使用。机密扫描将扫描 GitHub 存储库中存在的所有分支上的整个 Git 历史记录，以查找任何机密。机密的示例包括服务提供程序为进行身份验证而颁发的令牌和私钥。如果将机密签入存储库，任何对存储库具有读取权限的人都可以使用该机密和这些权限访问外部服务。机密应存储在项目存储库外部的专用、安全位置。（无相关策略）

严重性：高

应启用适用于 Azure SQL 数据库服务器的 Microsoft Defender

说明：Microsoft Defender for SQL 是提供高级 SQL 安全功能的统一包。它包括以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对数据库产生威胁的异常活动以及发现敏感数据并对其进行分类。

此计划的保护按 Defender 计划页上所示收费。如果此订阅中没有任何 Azure SQL Database 服务器，则无需付费。如果以后在此订阅上创建 Azure SQL 数据库服务器，则这些服务器将自动受到保护，并开始计费。详细了解各区域的定价详细信息。

有关详细信息，请参阅 Microsoft Defender for SQL 简介。（相关策略：应启用用于 Azure SQL 数据库服务器的 Azure Defender）。

严重性：高

通过

数据安全建议

Azure 数据建议

相关内容

其他资源