Azure security

Aislamiento de la red

Las NIC (Network Interface Controller) de las Máquinas Virtuales deben segmentarse, ya sea a nivel de su propio grupo de seguridad o a nivel de subred. Si estos no se cumplieran, estos activos quedarían completamente expuestos al exterior.

Remediación desde la Consola de Azure:

1. Inicie sesión en Azure Portal mediante https://portal.azure.com 
2. Acceda la maquina virtual que quiere proteger
3. Acceda a Redes y elija la interfaz de red
4. Acceda a Grupos de seguridad de red y valide que posee un grupo de seguridad asignado.

Controles basados en Datos

Las Cuenta de Almacenamiento deben tener habilitado el cifrado en reposo y cifrado en tránsito. El cifrado debe realizarse preferiblemente en la capa de aplicación (HTTPS, TLS) en lugar de en las capas inferiores. Adicional se debe elegir que el tipo de cifrado sea igual o superior a TLS 1.2.

Remediación desde la Consola de Azure:

1. Inicie sesión en Azure Portal mediante https://portal.azure.com 
2. Acceda a las Cuentas de almacenamiento que quiere proteger
3. Para cada cuenta de almacenamiento, vaya a Configuración
4. Establezca Transferencia segura requerida en Habilitada
5. Elegir la versión TLS mínima desde la 1.2

Controles basados en Datos

Las Cuenta de Almacenamiento debe estar segmentada y no puede ser pública para todo Internet porque la expondrá a ataques de fuerza bruta, debe tener la política denegar de forma predeterminada en la configuración.  El objetivo es mitigar el impacto aislando la infraestructura

Remediación desde la Consola de Azure:

1. Inicie sesión en Azure Portal mediante https://portal.azure.com 
2. Acceda a las Cuentas de almacenamiento que quiere proteger
3. Para cada cuenta de almacenamiento, vaya a Configuración
4. Para denegar el acceso público, seleccione Deshabilitar en Permitir el acceso público a blobs.

Controles basados en Datos

Proteger las cuentas de almacenamiento, evitando el acceso al tráfico desde todas las redes (incluido el tráfico de Internet), siguiendo el modelo de seguridad por capas.

Remediación desde la Consola de Azure:

1. Inicie sesión en Azure Portal mediante https://portal.azure.com 
2. Acceda a las Cuentas de almacenamiento que quiere proteger
3. Para cada cuenta de almacenamiento, vaya a Firewalls y redes virtuales
4. Para denegar el acceso de forma predeterminada, elija permitir el acceso desde Redes seleccionadas.
5. Seleccione su grupo de redes virtuales de confianza.

Controles basados en Datos 

Las claves de cifrado de las Cuentas de Almacenamiento deben ser administradas por el cliente sobre el servicio Key Vault, con el fin de poder administrar sus propias contraseñas controlando las políticas de rotación y dispersión.

Remediación desde la Consola de Azure:

1. Inicie sesión en Azure Portal mediante https://portal.azure.com 
2. Acceda a las Cuentas de almacenamiento que quiere proteger
3. Para cada cuenta de almacenamiento, vaya a Cifrado.
4. Establezca en tipo de cifrado Claves administradas por el cliente

...