| N ° | ID de control | Descripción | Controlar la gravedad | Is Baseline | Razón fundamental |
| 1 | Azure_Subscription_AuthZ_Limit_Admin_Owner_Count | Minimiza la cantidad de administradores / propietarios | Medio | No | Cada persona adicional en el rol Propietario / Colaborador aumenta la superficie de ataque para toda la suscripción. El número de miembros en estos roles debe mantenerse lo más bajo posible |
| 2 |
Azure_Subscription_AuthZ_Justify_Admins_Owners |
Justifique todas las identidades que se otorgan con acceso de administrador / propietario en su suscripción |
Medio |
No. | Las cuentas que son miembros de estos grupos sin una razón comercial legítima aumentan el riesgo de su suscripción. Al revisar y eliminar cuidadosamente las cuentas que no deberían estar allí en primer lugar, puede evitar ataques si esas cuentas se ven comprometidas |
| 3 | Azure_Subscription_AuthZ_Add_Required_Central_Accounts | Las cuentas centrales obligatorias deben estar presentes en la suscripción | Alto | Si | Se espera que ciertas cuentas centrales estén presentes en todas las suscripciones para admitir funciones de toda la empresa (por ejemplo, escaneo de seguridad , optimización de costos, etc.). Ciertas otras cuentas también pueden ser necesarias dependiendo de la funcionalidad especial habilitada en una suscripción (p. Ej., Gestión de red Express Route) |
| 4 | Azure_Subscription_AuthZ_Remove_Deprecated_Accounts | Las cuentas obsoletas / obsoletas no deben estar presentes en la suscripción | Critico | Si | Las cuentas en desuso son aquellas que alguna vez se implementaron en su suscripción para alguna iniciativa de prueba / piloto (o algún otro propósito). Ya no se requieren y son un riesgo permanente si están presentes en algún rol de la suscripción |
| 5 | Azure_Subscription_AuthZ_Dont_Use_NonAD_Identities | No otorgue permisos a cuentas externas (es decir, cuentas fuera del directorio nativo para la suscripción) | Alto | Si | Las cuentas que no son de AD (como xyz@hotmail.com, pqr@outlook.com, etc.) presentes en cualquier alcance dentro de una suscripción someten sus activos en la nube a un riesgo indebido. Estas cuentas no se administran con los mismos estándares que las identidades de inquilinos empresariales |
| 6 | Azure_Subscription_AuthZ_Dont_Use_SVC_Accounts_No_MFA | Las cuentas de servicio no pueden admitir MFA y no deben usarse para la actividad de suscripción | Alto | No | Las cuentas de servicio generalmente no tienen capacidad de autenticación multifactor . Muy a menudo, los equipos que poseen estas cuentas no tienen el debido cuidado (p. Ej., Alguien puede iniciar sesión de forma interactiva en los servidores utilizando una cuenta de servicio exponiendo sus credenciales a ataques como pasar el hash, phishing , etc.) |
| 7 | Azure_Subscription_AuthZ_Limit_ClassicAdmin_Count | No debe haber más de 2 administradores clásicos. | Alto | No | La versión v1 (basada en ASM) del modelo de acceso a recursos de Azure no tenía mucho en términos de granularidad RBAC. Como resultado, todos los que necesitaban acceso a una suscripción o sus recursos tuvieron que agregarse a la función de coadministrador. |
| 8 | Azure_Subscription_AuthZ_Remove_Management_Certs | No se permite el uso de certificados de gestión. | Alto | Si | Al igual que los administradores clásicos, los certificados de administración se usaron en el modelo v1 para la automatización basada en scripts / herramientas en suscripciones de Azure |
| 9 | Azure_Subscription_Config_Azure_Security_Center | Azure Security Center (ASC) debe estar configurado correctamente en la suscripción | Alto | Si | La característica Centro de seguridad de Azure ayuda con configuraciones centrales importantes para la suscripción, como la configuración de un punto de contacto de seguridad. También es compatible con la configuración de políticas clave (por ejemplo, ¿el parcheo está configurado para máquinas virtuales ?, ¿está habilitada la detección de amenazas para SQL ?, etc.) |
| 10 | Azure_Subscription_Audit_Resolve_Azure_Security_Center_Alerts | Las alertas pendientes de Azure Security Center (ASC) deben resolverse | Alto | No | Según las políticas habilitadas en la suscripción, Azure Security Center genera alertas |
| 11 | Azure_Subscription_AuthZ_Dont_Add_SPNs_as_Owner | Los nombres principales de servicio (SPN) no deben ser propietarios o contribuyentes en la suscripción | Medio | No | Al igual que las cuentas de servicio basadas en AD, los SPN tienen una credencial única y la mayoría de los escenarios que los utilizan no pueden admitir la autenticación de múltiples factores |
| 12 | Azure_Subscription_SI_Lock_Critical_Resources | Los recursos críticos de la aplicación deben protegerse mediante un bloqueo de recursos | Medio | No | Un bloqueo de recursos protege un recurso para que no se elimine accidentalmente. Con RBAC adecuada configuración , es posible que los recursos críticos de configuración de una suscripción de tal manera que las personas pueden realizar la mayoría de las operaciones en ellos, pero no pueden eliminar las |
| 13 | Azure_Subscription_Config_ARM_Policy | Las políticas ARM deben usarse para auditar o denegar ciertas actividades en la suscripción que pueden afectar la seguridad | Medio | Si | La configuración de seguridad de la suscripción de AzSK configura un conjunto de políticas ARM que resultan en entradas de registro de auditoría sobre acciones que violan las políticas |
| 14 | Azure_Subscription_Audit_Configure_Critical_Alerts | Las alertas deben configurarse para acciones críticas sobre suscripción y recursos | Alto | Si | La configuración de seguridad de la suscripción de AzSK configura alertas basadas en Insights para operaciones confidenciales en la suscripción |
| 15 | Azure_Subscription_AuthZ_Custom_RBAC_Roles | No use roles RBAC personalizados | Medio | No | Las definiciones de roles de RBAC personalizadas suelen ser difíciles de entender |
| 16 | Azure_Subscription_SI_Classic_Resources | No use ningún recurso clásico en una suscripción | Medio | No | Debe usar nuevos recursos ARM / v2 ya que el modelo ARM proporciona varias mejoras de seguridad |
| 17 | Azure_Subscription_SI_Dont_Use_Classic_VMs | No use máquinas virtuales clásicas en su suscripción | Alto | No. | Lo mismo que arriba |
| 18 | Azure_Subscription_NetSec_Justify_PublicIPs | Verifique la lista de direcciones IP públicas en su suscripción | Alto | No | Las IP públicas proporcionan acceso directo a través de Internet exponiendo un recurso en la nube a todo tipo de ataques a través de la red pública |
| 19 | Azure_Subscription_AuthZ_Dont_Grant_Persistent_Access | No se debe otorgar acceso permanente para roles de nivel de suscripción privilegiado | Alto | No | El acceso permanente aumenta el riesgo de que un usuario malintencionado obtenga ese acceso e impacte inadvertidamente un recurso sensible |
