你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
此页面是与Microsoft Defender for Cloud相关的Azure Policy内置策略定义的索引。 策略定义进行下列分组：
- 初始化组列出了“Defender for Cloud”类别中的Azure Policy计划定义。
- default 计划组列出了属于Defender for Cloud默认计划的所有Azure Policy定义，Microsoft云安全基准。 此Microsoft创作的广受人尊敬的基准基于 internet Security Center 和国家标准与技术研究所（NIST）的控制，专注于以云为中心的安全性。
- 类别组列出了“Defender for Cloud”类别中的所有Azure Policy定义。
有关安全策略的详细信息，请参阅使用安全策略。 有关其他服务的其他Azure Policy内置，请参阅 Azure Policy 内置定义。
每个内置策略定义的名称都链接到 Azure 门户中的策略定义。 使用“版本”列中的链接查看 Azure Policy GitHub 存储库上的源。
Microsoft Defender for Cloud计划
若要了解由Defender for Cloud监视的内置计划，请参阅下表：
| Name | Description | 策略 | 版本 |
|---|---|---|---|
| [预览]：部署Microsoft Defender for Endpoint代理 | 在适用的映像上部署Microsoft Defender for Endpoint代理。 | 4 | 1.0.0-preview |
| [预览]：Microsoft云安全基准 v2 | Microsoft 云安全基准计划代表了实施 Microsoft 云安全基准中定义的安全建议的策略和控制，请参阅https://aka.ms/azsecbm。 这也可用作 Microsoft Defender for Cloud 默认策略计划。 可以直接分配此计划，也可以在 Microsoft Defender for Cloud 内管理其策略和合规性结果。 | 414 | 1.3.0-preview |
| 配置要在开放源代码关系数据库上启用的高级威胁防护 | 在非基本层开放源代码关系数据库上启用高级威胁防护，以检测异常活动，包括对数据库进行的不寻常的和可能有害的访问或攻击尝试。 请参阅 https://aka.ms/AzDforOpenSourceDBsDocu。 | 5 | 1.2.0 |
| 配置 Azure Defender 以在 SQL Server 和 SQL 托管实例上启用 | 在 SQL Server 和 SQL 托管实例上启用 Azure Defender 以检测异常活动，此类活动表明数据库遭到了异常的访问或利用尝试并且可能会造成损害。 | 3 | 3.0.0 |
| 配置Microsoft Defender for Cloud计划 | Microsoft Defender for Cloud提供从开发到多云环境中的运行时的全面云原生保护。 使用策略计划将Defender for Cloud计划和扩展配置为在所选范围启用。 | 12 | 1.1.0 |
| 要启用的数据库的配置Microsoft Defender | 为数据库配置Microsoft Defender以保护Azure SQL数据库、托管实例、开源关系数据库和 Cosmos DB。 | 4 | 1.0.0 |
| 使用 Microsoft Defender for Cloud（WDATP、WDATP_EXCLUDE_LINUX_PUBLIC_PREVIEW、WDATP_UNIFIED_SOLUTION 等）配置多个Microsoft Defender for Endpoint集成设置。 有关详细信息，请参阅 https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint。 | 3 | 1.0.0 | |
| 配置 SQL VM 和已启用 Arc 的 SQL Server 以安装Microsoft Defender扩展 | Microsoft Defender for SQL 从代理收集事件，并使用这些事件来提供安全警报和定制的强化任务（建议）。 | 3 | 1.0.0 |
| 配置 SQL VM 和已启用 Arc 的 SQL Server，以安装 Microsoft Defender for SQL 和具有 LA 工作区的 AMA | Microsoft Defender for SQL 从代理收集事件，并使用这些事件来提供安全警报和定制的强化任务（建议）。 在计算机所在的同一区域中创建资源组、数据收集规则和 Log Analytics 工作区。 | 9 | 1.3.0 |
| 配置 SQL VM 和已启用 Arc 的 SQL Server，以安装 Microsoft Defender for SQL 和具有用户定义的 LA 工作区的 AMA | Microsoft Defender for SQL 从代理收集事件，并使用这些事件来提供安全警报和定制的强化任务（建议）。 在用户定义的 Log Analytics 工作区所在的同一区域中创建一个资源组和一个数据收集规则。 | 8 | 1.2.0 |
| Microsoft 云安全基准 | Microsoft 云安全基准计划代表了实施 Microsoft 云安全基准中定义的安全建议的策略和控制，请参阅https://aka.ms/azsecbm。 这也可用作 Microsoft Defender for Cloud 默认策略计划。 可以直接分配此计划，也可以在 Microsoft Defender for Cloud 内管理其策略和合规性结果。 | 223 | 57.56.0 |
Defender for Cloud的默认计划（Microsoft云安全基准）
若要了解由Defender for Cloud监视的内置策略，请参阅下表：
| 策略名称 （Azure portal） |
Description | Effect(s) | 版本 (GitHub) |
|---|---|---|---|
| Azure 安全中心已确定某些子网不受下一代防火墙的保护。 通过使用Azure 防火墙或受支持的下一代防火墙限制对子网的访问，防止潜在威胁 | AuditIfNotExists、Disabled | 3.0.0-preview | |
| [预览]：Azure Arc启用的 Kubernetes 群集应已安装Microsoft Defender for Cloud扩展 | Azure Arc的 Microsoft Defender for Cloud 扩展为已启用 Arc 的 Kubernetes 群集提供威胁防护。 该扩展从群集中的所有节点收集数据，并将其发送到云中 Kubernetes 后端的 Azure Defender，以便进一步分析。 若要了解详细信息，请访问 https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc。 | AuditIfNotExists、Disabled | 6.0.0-preview |
| [预览]：Azure PostgreSQL 灵活服务器应启用仅 Microsoft Entra 身份验证 | 通过禁用本地身份验证方法并允许“仅限 Microsoft Entra 身份验证”，可确保 Azure PostgreSQL 灵活服务器只能由 Microsoft Entra 标识访问，从而提高安全性。 | 审核、已禁用 | 1.0.0-preview |
| [预览]：Azure Stack HCI 服务器应始终强制实施应用程序控制策略 | 至少在所有Azure Stack HCI 服务器上以强制模式应用 Microsoft WDAC 基策略。 应用Windows Defender应用程序控制（WDAC）策略必须在同一群集中的服务器之间保持一致。 | Audit、Disabled、AuditIfNotExists | 1.0.0-preview |
| [预览]：Azure Stack HCI 服务器应满足安全核心要求 | 确保所有Azure Stack HCI 服务器都满足安全核心要求。 若要启用安全核心服务器要求：1。 在“Azure Stack HCI 群集”页中，转到Windows Admin Center并选择“连接”。 2. 转到“安全扩展插件”并选择“安全核心”。 3. 选择未启用的任何设置，然后单击“启用”。 | Audit、Disabled、AuditIfNotExists | 1.0.0-preview |
| [预览]：Azure Stack HCI 系统应具有加密卷 | 使用 BitLocker 加密 Azure Stack HCI 系统上的 OS 和数据卷。 | Audit、Disabled、AuditIfNotExists | 1.0.0-preview |
| [预览]：应在支持的 Linux 虚拟机上安装来宾证明扩展 | 在支持的 Linux 虚拟机上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任启动和机密 Linux 虚拟机。 | AuditIfNotExists、Disabled | 6.0.0-preview |
| [预览]：应在受支持的 Linux 虚拟机规模集上安装来宾证明扩展 | 在受支持的 Linux 虚拟机规模集上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任启动和机密 Linux 虚拟机规模集。 | AuditIfNotExists、Disabled | 5.1.0-preview |
| [预览]：应在支持的 Windows 虚拟机上安装来宾证明扩展 | 在支持的虚拟机上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任的启动和机密Windows虚拟机。 | AuditIfNotExists、Disabled | 4.0.0-preview |
| [预览]：应在受支持的 Windows 虚拟机规模集上安装来宾证明扩展 | 在支持的虚拟机规模集上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任的启动和机密Windows虚拟机规模集。 | AuditIfNotExists、Disabled | 3.1.0-preview |
| [预览]：主机和 VM 网络应在 Azure Stack HCI 系统上受到保护 | 保护Azure Stack HCI 网络上和虚拟机网络连接上的数据。 | Audit、Disabled、AuditIfNotExists | 1.0.0-preview |
| [预览]：Linux 虚拟机应仅使用已签名且受信任的启动组件 | 所有 OS 启动组件（启动加载程序、内核、内核驱动程序）都必须由受信任的发布者签名。 Defender for Cloud已在一个或多个 Linux 计算机上标识了不受信任的 OS 启动组件。 若要保护计算机免受潜在恶意组件的攻击，请将它们添加到你的允许列表，或删除已识别的组件。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览版]：应在 Linux 虚拟机上安装网络流量数据收集代理 | 安全中心使用 Microsoft Dependency Agent 从 Azure 虚拟机收集网络流量数据，以启用高级网络保护功能，例如网络地图上的流量可视化、网络强化建议和特定网络威胁。 | AuditIfNotExists、Disabled | 1.0.2-preview |
| [预览版]：应在 Windows 虚拟机上安装网络流量数据收集代理 | 安全中心使用 Microsoft Dependency Agent 从 Azure 虚拟机收集网络流量数据，以启用高级网络保护功能，例如网络地图上的流量可视化、网络强化建议和特定网络威胁。 | AuditIfNotExists、Disabled | 1.0.2-preview |
| [预览版]：应在支持的 Windows 虚拟机上启用安全启动 | 在受支持的Windows虚拟机上启用安全启动，以防范对启动链的恶意和未经授权的更改。 启用后，只允许运行受信任的启动加载程序、内核和内核驱动程序。 此评估适用于受信任的启动和机密Windows虚拟机。 | 审核、已禁用 | 4.0.0-preview |
| [预览版]：应在支持的虚拟机上启用 vTPM | 在受支持的虚拟机上启用虚拟 TPM 设备，以帮助实现受度量启动和其他需要 TPM 的 OS 安全功能。 启用后，vTPM 可用于证明引导完整性。 此评估仅适用于已启用受信任启动的虚拟机。 | 审核、已禁用 | 2.0.0-preview |
| 最多应为订阅指定 3 个所有者 | 建议最多指定 3 个订阅所有者，以减少可能出现的已遭入侵的所有者做出的违规行为。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应为 MySQL 服务器预配 Microsoft Entra 管理员 | 对 MySQL 服务器的 Microsoft Entra 管理员预配进行审核来启用 Microsoft Entra 身份验证。 使用 Microsoft Entra 身份验证可简化权限管理，还可集中进行数据库用户和其他 Microsoft 服务的标识管理 | AuditIfNotExists、Disabled | 1.1.1 |
| 应为 PostgreSQL 服务器预配 Microsoft Entra 管理员 | 审核 PostgreSQL 服务器的 Microsoft Entra 管理员设置以启用 Microsoft Entra 身份验证。 使用 Microsoft Entra 身份验证可简化权限管理，还可集中进行数据库用户和其他 Microsoft 服务的标识管理 | AuditIfNotExists、Disabled | 1.0.1 |
| 应在虚拟机上启用漏洞评估解决方案 | 审核虚拟机，以检测它们是否正在运行受支持的漏洞评估解决方案。 每个网络风险和安全计划的核心部分都是识别和分析漏洞。 Azure 安全中心的标准定价层包括对虚拟机进行漏洞扫描，无需额外付费。 此外，安全中心可以自动为你部署此工具。 | AuditIfNotExists、Disabled | 3.0.0 |
| 关联到虚拟机的网络安全组应限制所有网络端口 | Azure 安全中心已识别到网络安全组的某些入站规则过于宽松。 入站规则不应允许从“任何”或“Internet”范围进行访问。 这有可能使得攻击者能够将你的资源定为攻击目标。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应该为 SQL 服务器预配 Azure Active Directory 管理员 | 审核确认已为 SQL Server 预配了 Azure Active Directory 管理员以启用 Azure AD 身份验证。 使用 Azure AD 身份验证可以简化权限管理，以及集中化数据库用户和其他 Microsoft 服务的标识管理 | AuditIfNotExists、Disabled | 1.0.0 |
| 应对Azure API 管理中的 API 终结点进行身份验证 | Azure API 管理中发布的 API 终结点应强制实施身份验证，以帮助最大程度地降低安全风险。 有时，身份验证机制的实现会不正确或缺失。 这允许攻击者利用实施缺陷并access数据。 请在此处详细了解用户身份验证中断的 OWASP API 威胁：https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication | AuditIfNotExists、Disabled | 1.0.1 |
| 应禁用未使用的 API 终结点，并将其从 Azure API 管理 服务中删除 | 作为安全最佳做法，未收到流量 30 天的 API 终结点被视为未使用，应从Azure API 管理服务中删除。 保留未使用的 API 终结点可能会给组织带来安全风险。 这些 API 可能已从 Azure API 管理 服务弃用，但可能意外地保持活动状态。 此类 API 通常不会受到最新的安全保护。 | AuditIfNotExists、Disabled | 1.0.1 |
| API 管理 API 应仅使用加密协议 | 为了确保传输中数据的安全性，API 应只能通过加密协议（如 HTTPS 或 WSS）使用。 避免使用不安全的协议，例如 HTTP 或 WS。 | 审核、已禁用、拒绝 | 2.0.2 |
| API 管理对 API 后端的调用应进行身份验证 | 从 API 管理对后端的调用应使用某种形式的身份验证，无论是通过证书还是凭据。 不适用于 Service Fabric 后端。 | 审核、已禁用、拒绝 | 1.0.1 |
| API 管理对 API 后端的调用不应绕过证书指纹或名称验证 | 要提升 API 安全性，API 管理应验证所有 API 调用的后端服务器证书。 启用 SSL 证书指纹和名称验证。 | 审核、已禁用、拒绝 | 1.0.2 |
| 不应启用 API 管理直接管理接口 | Azure API 管理中的直接管理 REST API 会绕过 Azure 资源管理器基于角色的访问控制、授权和限制机制，因此会增加服务的漏洞。 | 审核、已禁用、拒绝 | 1.0.2 |
| API 管理机密命名值应存储在 Azure 密钥保管库 中 | 命名值是每个 API 管理服务中名称/值对的集合。 机密值可以存储为 API 管理中的加密文本（自定义机密），也可以通过引用 Azure 密钥保管库中的机密进行存储。 要提高 API 管理和机密的安全性，请从 Azure 密钥保管库 引用机密命名值。 Azure 密钥保管库支持精细的访问管理和机密轮换策略。 | 审核、已禁用、拒绝 | 1.0.2 |
| API 管理服务应使用虚拟网络 | Azure 虚拟网络部署提供了增强的安全性和隔离，并允许你将 API 管理服务放置在不可经 Internet 路由的网络（你控制对其的访问权限）中。 然后，可以使用各种 VPN 技术将这些网络连接到本地网络，这样就能够访问网络中的和/或本地的后端服务。 可以将开发人员门户和 API 网关配置为可以从 Internet 访问或只能在虚拟网络内访问。 | 审核、拒绝访问、禁用 | 1.0.2 |
| API 管理应禁用对服务配置终结点的公用网络访问 | 要提高 API 管理服务的安全性，请限制与服务配置终结点的连接，例如直接访问管理 API、Git 配置管理终结点，或自承载网关配置终结点。 | AuditIfNotExists、Disabled | 1.0.1 |
| API 管理订阅的范围不应为所有 API | API 管理订阅的范围应限定为产品或单个 API，而不是所有 API，后者可能会导致过多的数据泄露。 | 审核、已禁用、拒绝 | 1.1.0 |
| 应用程序配置应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。 通过将专用终结点映射到应用配置实例（而不是整个服务），还可以防范数据泄露风险。 有关详细信息，请查看： https://aka.ms/appconfig/private-endpoint | AuditIfNotExists、Disabled | 1.0.2 |
| 应用服务应用应启用“客户端证书（传入客户端证书）” | 客户端证书允许应用请求传入请求的证书。 只有具有有效证书的客户端才能访问该应用。 此策略适用于 Http 版本设置为 1.1 的应用。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应用服务应用应已禁用远程调试 | 远程调试需要在应用服务上打开入站端口。 应禁用远程调试。 | AuditIfNotExists、Disabled | 2.0.0 |
| 应用服务应用应已启用资源日志 | 审核确认已在应用上启用资源日志。 如果发生安全事件或网络遭泄露，这样便可以重新创建活动线索用于调查目的。 | AuditIfNotExists、Disabled | 2.0.1 |
| 应用服务应用不应将 CORS 配置为允许每个资源访问应用 | 跨源资源共享 (CORS) 不应允许所有域都能访问应用。 仅允许必要的域名与应用交互。 | AuditIfNotExists、Disabled | 2.0.0 |
| 只应通过 HTTPS 访问应用服务应用 | 使用 HTTPS 可确保执行服务器/服务身份验证服务，并保护传输中的数据不受网络层窃听攻击威胁。 | 审核、已禁用、拒绝 | 4.0.0 |
| 应用服务应用应仅需要 FTPS | 启用“FTPS 强制实施”以增强安全性。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应用服务应用应使用托管标识 | 使用托管标识以实现增强的身份验证安全性 | AuditIfNotExists、Disabled | 3.0.0 |
| 应用服务应用应使用最新的 TLS 版本 | 由于安全漏洞，会定期发布针对 TLS 的较新版本，包括其他功能并提高速度。 升级到应用服务应用的最新 TLS 版本，以利用安全修补程序（如果有）和/或最新版本的新功能。 | AuditIfNotExists、Disabled | 2.2.0 |
| 审核自定义 RBAC 角色的使用情况 | 审核“所有者、参与者、读者”等内置角色而不是容易出错的自定义 RBAC 角色。 使用自定义角色被视为例外，需要进行严格的审查和威胁建模 | 审核、已禁用 | 1.0.1 |
| 应在 SQL Server 上启用审核 | 应在 SQL 服务器上启用审核以跟踪服务器上所有数据库的数据库活动，并将其保存在审核日志中。 | AuditIfNotExists、Disabled | 2.0.0 |
| 对 Linux 虚拟机进行身份验证需要 SSH 密钥 | 虽然 SSH 本身提供加密连接，但是将密码用于 SSH 仍会使 VM 易受到暴力攻击。 通过 SSH 向 Azure Linux 虚拟机进行身份验证的最安全选项是具有公钥-私钥对，也称为 SSH 密钥。 了解详细信息：https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed。 | AuditIfNotExists、Disabled | 3.2.0 |
| 应在 Kubernetes 服务上定义经授权的 IP 范围 | 通过仅向特定范围内的 IP 地址授予 API 访问权限，来限制对 Kubernetes 服务管理 API 的访问。 建议将访问权限限制给已获授权的 IP 范围，以确保只有受允许网络中的应用程序可以访问群集。 | 审核、已禁用 | 2.0.1 |
| 自动化帐户变量应加密 | 存储敏感数据时，请务必启用自动化帐户变量资产加密 | 审核、拒绝访问、禁用 | 1.1.0 |
| Azure AI 服务资源应使用客户管理的密钥 (CMK) 加密静态数据 | 使用客户管理的密钥加密静态数据可以更好地控制密钥生命周期，包括轮换和管理。 对于需要满足相关合规性要求的组织而言尤其如此。 默认情况下不会对此进行评估，并且只会根据合规性或限制性策略的要求应用此建议。 如果未启用，将使用平台管理的密钥来加密数据。 为实现此目的，请更新安全策略中适用范围的“效果”参数。 | 审核、拒绝访问、禁用 | 2.2.0 |
| Azure AI 服务资源应禁用密钥访问（禁用本地身份验证） | 建议禁用密钥访问（本地身份验证），以确保安全。 通常用于开发/测试的 Azure OpenAI Studio 需要密钥访问，如果禁用密钥访问，则会无法使用。 禁用后，Microsoft Entra ID 将成为唯一的访问方法，该方法允许采用最低权限原则和精细控制。 了解详细信息：https://aka.ms/AI/auth | 审核、拒绝访问、禁用 | 1.1.0 |
| Azure AI 服务资源应限制网络访问 | 通过限制网络访问，可以确保只有允许的网络才能访问该服务。 这可以通过配置网络规则来实现，以便只有允许网络中的应用程序可以访问 Azure AI 服务。 | 审核、拒绝访问、禁用 | 3.3.0 |
| Azure AI 服务资源应使用 Azure 专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过 Azure 主干网络处理使用者和服务之间的连接，可降低数据泄露风险。 有关专用链接的详细信息，请访问 https://aka.ms/AzurePrivateLink/Overview | 审核、已禁用 | 1.0.0 |
| Azure API 管理平台版本应为 stv2 | Azure API 管理 stv1 计算平台版本将于 2024 年 8 月 31 日起停用，这些实例应迁移到 stv2 计算平台以获得持续支持。 有关详细信息，请访问 https://learn.microsoft.com/azure/api-management/breaking-changes/stv1-platform-retirement-august-2024 | 审核、拒绝访问、禁用 | 1.0.0 |
| 已启用 Azure Arc Kubernetes 群集应安装Azure Policy扩展 | Azure Arc的Azure Policy扩展以集中、一致的方式在已启用 Arc 的 Kubernetes 群集上提供大规模强制措施和安全措施。 更多信息请访问 https://aka.ms/akspolicydoc。 | AuditIfNotExists、Disabled | 1.1.0 |
| 应为虚拟机启用 Azure 备份 | 启用 Azure 备份，确保对 Azure 虚拟机提供保护。 Azure 备份是一种安全且经济高效的 Azure 数据保护解决方案。 | AuditIfNotExists、Disabled | 3.0.0 |
| Azure Cache for Redis 应使用专用链接 | 通过专用终结点，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 通过将专用终结点映射到 Azure Cache for Redis 实例，可以降低数据泄露风险。 有关详细信息，请查看： https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link | AuditIfNotExists、Disabled | 1.0.0 |
| Azure Cosmos DB 帐户应具有防火墙规则 | 应在 Azure Cosmos DB 帐户上定义防火墙规则，以防止来自未经授权的源的流量。 至少定义了一个 IP 规则且启用了虚拟网络筛选器的帐户才会被视为合规。 禁用公共访问的帐户也被视为合规。 | 审核、拒绝访问、禁用 | 2.1.0 |
| Azure Cosmos DB 帐户应使用客户管理的密钥来加密静态数据 | 使用客户管理的密钥来管理 Azure Cosmos DB 的静态加密。 默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许您使用由您创建和拥有的 Azure 密钥保管库 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 更多信息请访问 https://aka.ms/cosmosdb-cmk。 | audit、Audit、deny、Deny、disabled、Disabled | 1.1.0 |
| Azure Cosmos DB应禁用公用网络访问 | 禁用公用网络访问可确保 CosmosDB 帐户不会在公共 Internet 上公开，从而提高安全性。 创建专用终结点可以限制 CosmosDB 帐户的公开。 有关详细信息，请查看： https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints#blocking-public-network-access-during-account-creation | 审核、拒绝访问、禁用 | 1.0.0 |
| Azure Databricks 群集应禁用公共 IP | 在 Azure Databricks 工作区中禁用群集的公共 IP 可确保群集不会在公共 Internet 上公开，从而提高安全性。 有关详细信息，请查看： https://learn.microsoft.com/azure/databricks/security/secure-cluster-connectivity | 审核、拒绝访问、禁用 | 1.0.1 |
| Azure Databricks 工作区应位于虚拟网络中 | Azure 虚拟网络增强了 Azure Databricks 工作区的安全性和隔离性，并提供子网、访问控制策略和其他功能来进一步限制访问。 有关详细信息，请查看： https://docs.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/vnet-inject | 审核、拒绝访问、禁用 | 1.0.2 |
| Azure Databricks 工作区应禁用公用网络访问 | 禁用公用网络访问可确保资源不会在公共 Internet 上公开，从而提高了安全性。 你可以通过创建专用终结点来控制资源的公开。 有关详细信息，请查看： https://learn.microsoft.com/azure/databricks/administration-guide/cloud-configurations/azure/private-link | 审核、拒绝访问、禁用 | 1.0.1 |
| Azure Databricks 工作区应使用专用链接 | 通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到 Azure Databricks 工作区，可以降低数据泄露风险。 有关专用链接的详细信息，请访问：https://aka.ms/adbpe。 | 审核、已禁用 | 1.0.2 |
| 应启用 Azure DDoS 防护 | 应对具有相关子网（属于具有公共 IP 的应用程序网关）的所有虚拟网络启用 DDoS 防护。 | AuditIfNotExists、Disabled | 3.0.1 |
| 应启用适用于应用服务的 Azure Defender | 适用于应用服务的 Azure Defender 利用云的规模以及 Azure 作为云提供商的可见性来监视常见的 Web 应用攻击。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用适用于 Azure SQL 数据库服务器的 Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应启用密钥保管库的 Azure Defender | 密钥保管库的Azure Defender通过检测访问或利用key vault帐户的异常和潜在有害尝试，提供了额外的保护和安全智能层。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用开放源代码关系数据库的 Azure Defender | 开源关系数据库的Azure Defender可检测异常活动，这些活动指示访问或利用数据库的异常和潜在有害尝试。 在 https://aka.ms/AzDforOpenSourceDBsDocu 了解有关开放源代码关系数据库Azure Defender功能的详细信息。 重要提示：启用此计划将产生保护开源关系数据库的费用。 若要了解定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 Azure Defender for 资源管理器 | Azure Defender for 资源管理器 会自动监视组织中的资源管理操作。 Azure Defender 会检测威胁，并向你发出有关可疑活动的警报。 若要详细了解 Azure Defender for 资源管理器 的功能，请参阅 https://aka.ms/defender-for-resource-manager。 启用此 Azure Defender 计划会产生费用。 若要了解各区域的定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用适用于服务器的 Azure Defender | 适用于服务器的 Azure Defender 可为服务器工作负载提供实时威胁防护，并生成强化建议以及有关可疑活动的警报。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应为计算机上的 SQL Server 启用 Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应为未受保护的 Azure SQL 服务器启用 Azure Defender for SQL | 审核不带高级数据安全功能的 SQL 服务器 | AuditIfNotExists、Disabled | 2.0.1 |
| 应为未受保护的 MySQL 灵活服务器启用 sql Azure Defender | 审核没有高级数据安全的 MySQL 灵活服务器 | AuditIfNotExists、Disabled | 1.0.0 |
| 应为未受保护的 PostgreSQL 灵活服务器启用 Azure Defender for SQL | 在没有高级数据安全的情况下审核 PostgreSQL 灵活服务器 | AuditIfNotExists、Disabled | 1.0.0 |
| 应为未受保护的 SQL 托管实例启用 Azure Defender for SQL | 审核所有未启用高级数据安全的 SQL 托管实例。 | AuditIfNotExists、Disabled | 1.0.2 |
| Azure 事件网格域应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到事件网格域（而不是整个服务），还可以防范数据泄露风险。 有关详细信息，请查看： https://aka.ms/privateendpoints | 审核、已禁用 | 1.0.2 |
| Azure 事件网格主题应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到事件网格主题（而不是整个服务），还可以防范数据泄露风险。 有关详细信息，请查看： https://aka.ms/privateendpoints | 审核、已禁用 | 1.0.2 |
| Azure 密钥保管库 应启用防火墙或禁用公用网络访问 | 启用密钥保管库防火墙，以便默认情况下无法访问密钥保管库，或者禁用密钥保管库的公共网络访问，以便无法通过公共 Internet 访问密钥保管库。 （可选）可以配置特定的 IP 范围来限制对这些网络的访问。 有关详细信息，请查看：https://docs.microsoft.com/azure/key-vault/general/network-security 和 https://aka.ms/akvprivatelink | 审核、拒绝访问、禁用 | 3.3.0 |
| Azure 密钥保管库 应使用 RBAC 权限模型 | 启用适用于所有 Key Vault 的 RBAC 权限模型。 了解详细信息：https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-migration | 审核、拒绝访问、禁用 | 1.0.1 |
| Azure 密钥保管库应使用专用链接 | 通过 Azure 专用链接，在没有源位置或目标位置的公共 IP 地址的情况下，也可以将虚拟网络连接到 Azure 服务。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到密钥保管库，可以降低数据泄露风险。 有关专用链接的详细信息，请访问：https://aka.ms/akvprivatelink。 | [parameters（'audit_effect'）] | 1.2.1 |
| Azure Kubernetes 服务群集应已启用Defender配置文件 | Microsoft Defender for Containers 提供云原生 Kubernetes 安全功能，包括环境强化、工作负载保护和运行时保护。 在 Azure Kubernetes 服务群集上启用 SecurityProfile.AzureDefender 时，会将代理部署到群集以收集安全事件数据。 在https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks了解关于 Microsoft Defender for Containers 的更多信息 | 审核、已禁用 | 2.0.1 |
| 应重新创建 Azure 机器学习计算实例以获取最新的软件更新 | 确保 Azure 机器学习计算实例在最新的可用操作系统上运行。 通过使用最新的安全修补程序运行，提高了安全性并减少了漏洞。 有关详细信息，请访问 https://aka.ms/azureml-ci-updates/。 | [parameters('effects')] | 1.0.3 |
| Azure 机器学习计算应位于虚拟网络中 | Azure 虚拟网络增强了 Azure 机器学习计算群集和实例的安全性和隔离性，并提供子网、访问控制策略和其他功能来进一步限制访问。 为计算配置虚拟网络后，该计算不可公开寻址，并且只能从虚拟网络中的虚拟机和应用程序进行访问。 | 审核、已禁用 | 1.0.1 |
| Azure 机器学习计算应禁用本地身份验证方法 | 禁用本地身份验证方法可确保机器学习计算需要专用于身份验证的 Azure Active Directory 标识，从而提高安全性。 有关详细信息，请查看： https://aka.ms/azure-ml-aad-policy | 审核、拒绝访问、禁用 | 2.1.0 |
| 应使用客户管理的密钥对 Azure 机器学习工作区进行加密 | 使用客户管理的密钥管理 Azure 机器学习工作区数据的静态加密。 默认情况下，使用服务管理的密钥对客户数据进行加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许您使用由您创建和拥有的 Azure 密钥保管库 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 更多信息请访问 https://aka.ms/azureml-workspaces-cmk。 | 审核、拒绝访问、禁用 | 1.1.0 |
| Azure 机器学习工作区应禁用公用网络访问 | 禁用公用网络访问可确保机器学习工作区不会在公共 Internet 上公开，从而提高安全性。 你可以通过创建专用端点来控制工作区的曝光。 有关详细信息，请参阅：https://learn.microsoft.com/azure/machine-learning/how-to-configure-private-link?view=azureml-api-2&tabs=azure-portal。 | 审核、拒绝访问、禁用 | 2.0.1 |
| Azure 机器学习工作区应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到 Azure 机器学习工作区，可以降低数据泄露风险。 有关专用链接的详细信息，请访问：https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link。 | 审核、已禁用 | 1.0.0 |
| Azure MySQL 灵活服务器应仅启用Microsoft Entra身份验证 | 禁用本地身份验证方法，仅允许Microsoft Entra身份验证可确保Azure MySQL 灵活服务器可通过Microsoft Entra标识独占访问来提高安全性。 | AuditIfNotExists、Disabled | 1.0.1 |
| 应在群集上安装和启用针对 Kubernetes 服务 (AKS) 的 Azure Policy 加载项 | 用于 Kubernetes 服务 (AKS) 的 Azure Policy 加载项扩展了 Gatekeeper v3（用于开放策略代理 (OPA) 的许可控制器 Webhook），以集中、一致的方式在群集上应用大规模强制措施和安全措施。 | 审核、已禁用 | 1.0.2 |
| Azure 注册表容器映像应已解决漏洞（由 Microsoft Defender 漏洞管理提供支持） | 容器映像漏洞评估会扫描注册表中的常见漏洞 (CVE)，并为每个映像提供详细的漏洞报告。 解决漏洞可以极大地改善安全状况，确保在部署之前可以安全地使用映像。 | AuditIfNotExists、Disabled | 1.0.1 |
| 在 Azure 上运行的容器映像应已修复漏洞（由 Microsoft Defender 漏洞管理驱动） | 容器映像漏洞评估会扫描注册表中的常见漏洞 (CVE)，并为每个映像提供详细的漏洞报告。 此建议可显示出 Kubernetes 群集中当前运行的易受攻击映像。 修正当前正在运行的容器映像中的漏洞是改善安全状况的关键，可显著减少容器化工作负载的攻击面。 | AuditIfNotExists、Disabled | 1.0.1 |
| Azure SignalR 服务应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。 通过将专用终结点映射到 Azure SignalR 服务资源而不是整个服务，可降低数据泄露风险。 有关专用链接的详细信息，请访问：https://aka.ms/asrs/privatelink。 | 审核、已禁用 | 1.0.0 |
| Azure Spring Cloud 应使用网络注入 | Azure Spring Cloud 实例应使用虚拟网络注入实现以下目的：1. 将 Azure Spring Cloud 与 Internet 隔离。 2. 使 Azure Spring Cloud 能够与本地数据中心内的系统和/或其他虚拟网络中的 Azure 服务内的系统进行交互。 3. 授权客户控制 Azure Spring Cloud 的入站和出站网络通信。 | 审核、已禁用、拒绝 | 1.2.0 |
| Azure SQL 数据库应运行 TLS 版本 1.2 或更高版本 | 将 TLS 版本设置为 1.2 或更高版本，可以确保只能从使用 TLS 1.2 或更高版本的客户端访问 Azure SQL 数据库，从而提高安全性。 不建议使用低于 1.2 的 TLS 版本，因为它们存在有据可查的安全漏洞。 | 审核、已禁用、拒绝 | 2.0.0 |
| Azure SQL 数据库应启用仅限 Microsoft Entra 的身份验证 | 要求 Azure SQL 逻辑服务器使用纯 Microsoft Entra 身份验证。 此策略不会阻止创建启用本地身份验证的服务器。 它确实会阻止在创建资源后启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/adonlycreate | 审核、拒绝访问、禁用 | 1.0.0 |
| Azure SQL逻辑服务器应在创建期间启用仅Microsoft Entra身份验证 | 要求使用纯 Microsoft Entra 身份验证创建 Azure SQL 逻辑服务器。 此策略不会阻止在创建资源后重新启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/adonlycreate | 审核、拒绝访问、禁用 | 1.3.0 |
| Azure SQL 托管实例应启用仅限 Microsoft Entra 的身份验证 | 要求 Azure SQL 托管实例使用纯 Microsoft Entra 身份验证。 此策略不会阻止创建启用本地身份验证的 Azure SQL 托管实例。 它确实会阻止在创建资源后启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/adonlycreate | 审核、拒绝访问、禁用 | 1.0.0 |
| Azure SQL 托管实例应禁用公用网络访问 | 禁用 Azure SQL 托管实例上的公用网络访问（公共终结点）可确保只能从其虚拟网络内部或专用终结点访问它们，从而提高安全性。 若要了解有关公共网络访问的详细信息，请访问 https://aka.ms/mi-public-endpoint。 | 审核、拒绝访问、禁用 | 1.0.0 |
| Azure SQL 托管实例应在创建期间启用纯 Microsoft Entra 身份验证 | 要求使用纯 Microsoft Entra 身份验证创建 Azure SQL 托管实例。 此策略不会阻止在创建资源后重新启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/adonlycreate | 审核、拒绝访问、禁用 | 1.2.0 |
| 应为Azure Front Door入口点启用 Azure Web 应用程序防火墙 | 在面向公众的 Web 应用程序前部署Azure Web 应用程序防火墙（WAF），以进一步检查传入流量。 Web 应用程序防火墙（WAF）可集中保护 Web 应用程序免受 SQL 注入、跨站点脚本、本地和远程文件执行等常见攻击和漏洞的集中保护。 还可以通过自定义规则，按国家/地区、IP 地址范围和其他 http(s) 参数限制对 Web 应用程序的访问。 | 审核、拒绝访问、禁用 | 1.0.2 |
| 应删除对 Azure 资源拥有所有者权限的已封锁帐户 | 应从订阅中删除拥有所有者权限的已弃用帐户。 已弃用帐户是已阻止登录的帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有读取和写入权限的已封锁帐户 | 应从订阅中删除弃用的帐户。 已弃用帐户是已阻止登录的帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 证书应具有指定的最长有效期 | 通过指定证书在密钥保管库中的最长有效时间，管理组织的符合性要求。 | audit、Audit、deny、Deny、disabled、Disabled | 2.2.1 |
| 应使用客户管理的密钥对容器注册表进行加密 | 使用客户管理的密钥来管理注册表内容的静态加密。 默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许您使用由您创建和拥有的 Azure 密钥保管库 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 更多信息请访问 https://aka.ms/acr/CMK。 | 审核、拒绝访问、禁用 | 1.1.2 |
| 容器注册表不得允许无限制的网络访问 | 默认情况下，Azure 容器注册表接受来自任何网络上的主机的 Internet 连接。 为了防止注册表受到潜在的威胁，只允许来自特定的专用终结点、公共 IP 地址或地址范围的访问。 如果注册表没有配置网络规则，它将出现在不正常资源中。 若要详细了解容器注册表网络规则，请访问：https://aka.ms/acr/privatelink、https://aka.ms/acr/portal/public-network 和 https://aka.ms/acr/vnet。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 容器注册表应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台处理使用者与服务之间通过 Azure 主干网络进行的连接。通过将专用终结点映射到容器注册表，而不是整个服务，还可以防范数据泄露风险。 有关详细信息，请查看： https://aka.ms/acr/private-link | 审核、已禁用 | 1.0.1 |
| Cosmos DB 数据库帐户应禁用本地身份验证方法 | 禁用本地身份验证方法可确保 Cosmos DB 数据库帐户完全要求Azure Active Directory标识进行身份验证，从而提高安全性。 有关详细信息，请查看： https://docs.microsoft.com/azure/cosmos-db/how-to-setup-rbac#disable-local-auth | 审核、拒绝访问、禁用 | 1.2.0 |
| CosmosDB 帐户应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 通过将专用终结点映射到 CosmosDB 帐户，可以降低数据泄露风险。 有关专用链接的详细信息，请访问：https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints。 | 审核、已禁用 | 1.0.0 |
| 应启用 Azure AI 服务资源中的诊断日志 | 为 Azure AI 服务资源启用日志。 这样便可以在发生安全事件或网络遭泄露时，重新创建活动线索用于调查目的 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用高严重性警报的电子邮件通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请在安全中心为高严重性警报启用电子邮件通知。 | AuditIfNotExists、Disabled | 1.2.0 |
| 应启用向订阅所有者发送高严重性警报的电子邮件通知 | 当订阅中存在潜在的安全漏洞时，若要确保订阅所有者收到通知，请在安全中心设置向订阅所有者发送高严重性警报的电子邮件通知。 | AuditIfNotExists、Disabled | 2.1.0 |
| 应为 MySQL 数据库服务器启用“强制 SSL 连接” | Azure Database for MySQL 支持使用安全套接字层 (SSL) 将 Azure Database for MySQL 服务器连接到客户端应用程序。 通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。 此配置强制始终启用 SSL 以访问数据库服务器。 | 审核、已禁用 | 1.0.1 |
| 应为 PostgreSQL 数据库服务器启用“强制 SSL 连接” | Azure Database for MySQL 支持使用安全套接字层 (SSL) 将 Azure Database for MySQL 服务器连接到客户端应用程序。 通过在数据库服务器与客户端应用程序之间强制实施 SSL 连接，可以加密服务器与应用程序之间的数据流，有助于防止“中间人”攻击。 此配置强制始终启用 SSL 以访问数据库服务器。 | 审核、已禁用 | 1.0.1 |
| 确保函数应用已启用“客户端证书(传入客户端证书)” | 客户端证书允许应用请求传入请求的证书。 只有具有有效证书的客户端才能访问该应用。 此策略适用于 Http 版本设置为 1.1 的应用。 | AuditIfNotExists、Disabled | 1.1.0 |
| 函数应用应已禁用远程调试 | 远程调试需要在函数应用程序上打开入站端口。 应禁用远程调试。 | AuditIfNotExists、Disabled | 2.1.0 |
| 函数应用不应将 CORS 配置为允许每个资源访问应用 | 跨源资源共享 (CORS) 不应允许所有域都能访问你的函数应用。 仅允许指定的域与函数应用交互。 | AuditIfNotExists、Disabled | 2.1.0 |
| 只应通过 HTTPS 访问函数应用 | 使用 HTTPS 可确保执行服务器/服务身份验证服务，并保护传输中的数据不受网络层窃听攻击威胁。 | 审核、已禁用、拒绝 | 5.1.0 |
| 函数应用应仅需要 FTPS | 启用“FTPS 强制实施”以增强安全性。 | AuditIfNotExists、Disabled | 3.1.0 |
| 函数应用应使用托管标识 | 使用托管标识以实现增强的身份验证安全性 | AuditIfNotExists、Disabled | 3.1.0 |
| 函数应用应使用最新 TLS 版本 | 由于安全漏洞，会定期发布针对 TLS 的较新版本，包括其他功能并提高速度。 升级到函数应用的最新 TLS 版本，以利用安全修补程序（如果有）和/或最新版本的新功能。 | AuditIfNotExists、Disabled | 2.3.0 |
| 应为 Azure Database for MariaDB 启用异地冗余备份 | 通过 Azure Database for MariaDB，你可以为数据库服务器选择冗余选项。 它可以设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可以复制到配对区域，以便在区域发生故障时提供恢复选项。 只能在服务器创建期间为备份配置异地冗余存储。 | 审核、已禁用 | 1.0.1 |
| 应为 Azure Database for MySQL 启用异地冗余备份 | 通过 Azure Database for MySQL，你可以为数据库服务器选择冗余选项。 它可以设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可以复制到配对区域，以便在区域发生故障时提供恢复选项。 只能在服务器创建期间为备份配置异地冗余存储。 | 审核、已禁用 | 1.0.1 |
| 应为 Azure Database for PostgreSQL 启用异地冗余备份 | 通过 Azure Database for PostgreSQL，你可以为数据库服务器选择冗余选项。 它可以设置为异地冗余备份存储，其中数据不仅存储在托管服务器的区域内，还可以复制到配对区域，以便在区域发生故障时提供恢复选项。 只能在服务器创建期间为备份配置异地冗余存储。 | 审核、已禁用 | 1.0.1 |
| 应删除对 Azure 资源拥有所有者权限的来宾帐户 | 为了防止发生未受监视的访问，应从订阅中删除拥有所有者权限的外部帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有读取权限的来宾帐户 | 应从订阅中删除拥有读取特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有写入权限的来宾帐户 | 应从订阅中删除拥有写入特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应在计算机上安装来宾配置扩展 | 若要确保安全配置计算机的来宾内设置，请安装来宾配置扩展。 该扩展监视的来宾内设置包括操作系统的配置、应用程序配置或状态以及环境设置。 安装后，来宾系统内策略将可用，如“应启用 Windows 漏洞防护”。 更多信息请访问 https://aka.ms/gcpol。 | AuditIfNotExists、Disabled | 1.0.3 |
| 面向 Internet 的虚拟机应使用网络安全组进行保护 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范 VM 遭受潜在威胁。 如需详细了解如何使用 NSG 控制流量，请访问 https://aka.ms/nsg-doc | AuditIfNotExists、Disabled | 3.0.0 |
| 应禁用虚拟机上的 IP 转发 | 在虚拟机的 NIC 上启用 IP 转发可让该计算机接收发往其他目标的流量。 极少需要启用 IP 转发（例如，将 VM 用作网络虚拟设备时），因此，此策略应由网络安全团队评审。 | AuditIfNotExists、Disabled | 3.0.0 |
| 密钥保管库 密钥应具有到期日期 | 应为加密密钥定义非永久性到期日期。 密钥永久有效会导致潜在攻击者有更多时间来破解密钥。 建议的安全做法是为加密密钥设置到期日期。 | 审核、拒绝访问、禁用 | 1.0.2 |
| 密钥保管库 机密应具有到期日期 | 应为机密定义非永久性到期日期。 机密永久有效会导致潜在攻击者有更多时间来破解密钥。 建议的安全做法是为机密设置到期日期。 | 审核、拒绝访问、禁用 | 1.0.2 |
| 密钥保管库应启用删除保护 | 恶意删除密钥保管库可能会导致永久丢失数据。 可以通过启用清除保护和软删除来防止永久数据丢失。 清除保护通过强制实施软删除密钥保管库的强制保留期来保护你免受内部攻击。 组织内部或Microsoft任何人都无法在软删除保留期内清除密钥保管库。 请记住，在 2019 年 9 月 1 日之后创建的密钥保管库默认启用软删除。 | 审核、拒绝访问、禁用 | 2.1.0 |
| 密钥保管库应启用软删除 | 在未启用软删除的情况下删除密钥保管库，将永久删除密钥保管库中存储的所有机密、密钥和证书。 意外删除密钥保管库可能会导致永久丢失数据。 软删除允许在可配置的保持期内恢复意外删除的密钥保管库。 | 审核、拒绝访问、禁用 | 3.1.0 |
| Kubernetes 群集容器 CPU 和内存资源限制不得超过指定的限制 | 强制实施容器 CPU 和内存资源限制，以防止 Kubernetes 群集中发生资源耗尽攻击。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 9.3.0 |
| Kubernetes 群集容器不应共享主机命名空间 | 阻止 Pod 容器共享 Kubernetes 群集中的主机进程 ID 命名空间、主机 IPC 命名空间和主机网络命名空间。 此建议符合主机命名空间的 Kubernetes Pod 安全标准，是 CIS 5.2.1、5.2.2 和 5.2.3 的一部分，旨在提高 Kubernetes 环境的安全性。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | 审核、拒绝访问、禁用 | 6.0.0 |
| Kubernetes 群集容器只应使用允许的 AppArmor 配置文件 | 容器只应使用 Kubernetes 群集中允许的 AppArmor 配置文件。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 6.2.1 |
| Kubernetes 群集容器只应使用允许的功能 | 限制功能以减小 Kubernetes 群集中容器的受攻击面。 此建议是旨在提高 Kubernetes 环境安全性的 CIS 5.2.8 和 CIS 5.2.9 的一部分。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 6.2.0 |
| Kubernetes 群集容器应只使用允许的映像 | 使用受信任注册表中的映像，以降低 Kubernetes 群集暴露于未知漏洞、安全问题和恶意映像的风险。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 9.3.0 |
| Kubernetes 群集容器应使用只读根文件系统运行 | 运行使用只读根文件系统的容器，以防止在运行时发生更改而导致恶意二进制文件添加到 Kubernetes 群集中的 PATH。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 6.3.0 |
| Kubernetes 群集 Pod hostPath 卷只应使用允许的主机路径 | 仅限将 Pod HostPath 卷装载到 Kubernetes 群集中允许的主机路径。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 6.3.0 |
| Kubernetes 群集 Pod 和容器只应使用批准的用户 ID 和组 ID 运行 | 限制 Pod 和容器在 Kubernetes 集群中运行时可以使用的用户 ID、主要组 ID、补充组 ID 和文件系统组 ID。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 6.2.0 |
| Kubernetes 群集中的 Pod 应仅使用经过批准的主机网络和端口列表 | 将 pod access限制为主机网络和 Kubernetes 群集中允许的主机端口。 此建议是 CIS 5.2.4 的一部分，旨在提高 Kubernetes 环境的安全性，并与 HostPorts 的 Pod 安全标准（PSS）保持一致。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | 审核、拒绝访问、禁用 | 7.0.0 |
| Kubernetes 群集服务应只侦听允许的端口 | 将服务限制为只侦听允许的端口，以保护对 Kubernetes 集群的访问。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 8.2.0 |
| Kubernetes 群集不应允许特权容器 | 不允许在 Kubernetes 群集中创建特权容器。 此建议是旨在提高 Kubernetes 环境安全性的 CIS 5.2.1 的一部分。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 9.2.0 |
| Kubernetes 群集应只可通过 HTTPS 进行访问 | 使用 HTTPS 可确保执行身份验证，并保护传输中的数据不受网络层窃听攻击威胁。 此功能目前已面向 Kubernetes 服务 (AKS) 正式发布，并面向已启用 Azure Arc 的 Kubernetes 提供预览版。 有关详细信息，请访问 https://aka.ms/kubepolicydoc | 审核、拒绝访问、禁用 | 9.0.0 |
| Kubernetes 群集应禁用自动装载 API 凭据 | 禁用自动装载 API 凭据，以防止可能泄露的 Pod 资源对 Kubernetes 群集运行 API 命令。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 4.2.0 |
| Kubernetes 群集不得允许容器特权提升 | 不允许容器在 Kubernetes 集群中通过特权升级获取 root 权限。 此建议是旨在提高 Kubernetes 环境安全性的 CIS 5.2.5 的一部分。 此策略通常适用于 Kubernetes 服务 (AKS) 以及已启用 Azure Arc 的 Kubernetes 的预览版。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | 审核、拒绝访问、禁用 | 8.0.0 |
| Kubernetes 群集不应授予 CAP_SYS_ADMIN 安全功能 | 为了减小容器的受攻击面，请限制 CAP_SYS_ADMIN Linux 功能。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 5.1.0 |
| Kubernetes 群集不应使用默认命名空间 | 防止在 Kubernetes 群集中使用默认命名空间，以防止对 ConfigMap、Pod、Secret、Service 和 ServiceAccount 资源类型进行的未经授权的访问。 有关详细信息，请参阅 https://aka.ms/kubepolicydoc。 | audit、Audit、deny、Deny、disabled、Disabled | 4.2.0 |
| Linux 计算机应符合 Azure 计算安全基线的要求 | 要求将先决条件部署到策略分配范围。 有关详细信息，请访问 https://aka.ms/gcpol。 如果计算机未正确配置，则计算机不符合Azure计算安全基线中的某个建议。 | AuditIfNotExists、Disabled | 2.3.1 |
| Linux 虚拟机应启用 Azure 磁盘加密或 EncryptionAtHost。 | 尽管虚拟机的 OS 和数据磁盘默认使用平台管理的密钥进行静态加密，但资源磁盘（临时磁盘）、数据缓存以及计算资源和存储资源之间流动的数据不加密。 使用 Azure 磁盘加密 或 EncryptionAtHost 进行修正。 访问 https://aka.ms/diskencryptioncomparison 以比较加密产品/服务。 此策略需要将两个先决条件部署到策略分配范围。 有关详细信息，请访问 https://aka.ms/gcpol。 | AuditIfNotExists、Disabled | 1.2.1 |
| 计算机应配置为定期检查是否缺少系统更新 | 为确保每 24 小时自动触发对缺失系统更新的定期评估，AssessmentMode 属性应设置为“AutomaticByPlatform”。 了解有关 Windows 的 AssessmentMode 属性的详细信息：适用于 Linux 的 https://aka.ms/computevm-windowspatchassessmentmode，：https://aka.ms/computevm-linuxpatchassessmentmode。 | 审核、拒绝访问、禁用 | 3.9.0 |
| 计算机应已解决机密结果 | 审核虚拟机以检测它们是否包含虚拟机上机密扫描解决方案的机密发现结果。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应通过即时网络访问控制来保护虚拟机的管理端口 | 建议通过 Azure 安全中心监视可能的网络适时 (JIT) 访问 | AuditIfNotExists、Disabled | 3.0.0 |
| 应关闭虚拟机上的管理端口 | 打开远程管理端口会使 VM 暴露在较高级别的 Internet 攻击风险之下。 此类攻击试图暴力破解凭据，来获取对计算机的管理员访问权限。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应启用 Microsoft Defender CSPM | Defender云安全状况管理（CSPM）提供增强的姿态功能和新的智能云安全图，以帮助识别、确定优先级和降低风险。 除了默认在Defender for Cloud中启用的免费基础安全状况功能外，还提供Defender CSPM。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 API 的 Microsoft Defender | MICROSOFT DEFENDER API 带来了新的发现、保护、检测和响应覆盖范围，用于监视常见的基于 API 的攻击和安全配置错误。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用 Microsoft Defender for Containers | Microsoft Defender for Containers 为 Azure、混合和多云 Kubernetes 环境提供强化、漏洞评估和运行时保护。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应为未受保护的 Synapse 工作区启用 Microsoft Defender for SQL | 启用 Defender for SQL 以保护 Synapse 工作区。 Defender for SQL 监视 Synapse SQL 以检测异常活动，这些活动表明数据库遭到了异常的访问或利用尝试并且可能会造成损害。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用存储Microsoft Defender | 存储Microsoft Defender可检测对存储帐户的潜在威胁。 它有助于避免威胁对数据和工作负载产生三个重大影响：恶意文件上传、敏感数据外泄和数据损坏。 存储计划的新Defender包括恶意软件扫描和敏感数据威胁检测。 此计划还提供了可预测的定价结构（按存储帐户），以便更好地控制覆盖范围和成本。 | AuditIfNotExists、Disabled | 1.0.0 |
| MySQL 服务器应使用客户管理的密钥进行静态数据加密 | 使用客户管理的密钥来管理 MySQL 服务器的静态加密。 默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许您使用由您创建和拥有的 Azure 密钥保管库 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 | AuditIfNotExists、Disabled | 1.0.4 |
| 应启用网络观察程序 | 网络观察程序是一个区域性服务，使您能够在网络场景级别监视和诊断 Azure 内部、传入和传出 Azure 的状态条件。 使用场景级别监控可以让您从端到端网络全局视图中诊断问题。 需要在存在虚拟网络的每个区域中创建一个网络观察程序资源组。 如果网络观察程序资源组在特定区域中不可用，则会启用警报。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应使用网络安全组来保护非面向 Internet 的虚拟机 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范非面向 Internet 的 VM 遭受潜在威胁。 如需详细了解如何使用 NSG 控制流量，请访问 https://aka.ms/nsg-doc | AuditIfNotExists、Disabled | 3.0.0 |
| 应仅启用与 Azure Redis 缓存的安全连接 | 审核是否仅启用通过 SSL 来与 Azure Redis 缓存建立连接。 使用安全连接可确保服务器和服务之间的身份验证并保护传输中的数据免受中间人攻击、窃听攻击和会话劫持等网络层攻击 | 审核、拒绝访问、禁用 | 1.0.0 |
| PostgreSQL 服务器应使用客户管理的密钥进行静态数据加密 | 使用客户管理的密钥来管理 PostgreSQL 服务器的静态加密。 默认情况下，使用服务管理的密钥对数据进行静态加密，但为了满足法规符合性标准，通常需要使用客户管理的密钥。 客户管理的密钥允许您使用由您创建和拥有的 Azure 密钥保管库 密钥对数据进行加密。 你可以完全控制并负责关键生命周期，包括轮换和管理。 | AuditIfNotExists、Disabled | 1.0.4 |
| 应启用 Azure SQL 数据库上的专用终结点连接 | 专用终结点连接通过实现专用连接到 Azure SQL 数据库来确保安全的通信。 | 审核、已禁用 | 1.1.0 |
| 应为 MariaDB 服务器启用专用终结点 | 专用终结点连接通过启用到 Azure Database for MariaDB 的专用连接来加强安全通信。 配置专用终结点连接，以启用对仅来自已知网络的流量的访问，并防止访问所有其他 IP 地址，包括 Azure 内的地址。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应为 MySQL 服务器启用专用终结点 | 专用终结点连接通过启用到 Azure Database for MySQL 的专用连接来加强安全通信。 配置专用终结点连接，以启用对仅来自已知网络的流量的访问，并防止访问所有其他 IP 地址，包括 Azure 内的地址。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应为 PostgreSQL 服务器启用专用终结点 | 专用终结点连接通过启用到 Azure Database for PostgreSQL 的专用连接来加强安全通信。 配置专用终结点连接，以启用对仅来自已知网络的流量的访问，并防止访问所有其他 IP 地址，包括 Azure 内的地址。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应禁用 Azure SQL 数据库上的公用网络访问 | 禁用公用网络访问属性可确保只能从专用终结点访问 Azure SQL 数据库，从而提高安全性。 此配置拒绝所有符合基于 IP 或虚拟网络的防火墙规则的登录。 | 审核、拒绝访问、禁用 | 1.1.0 |
| 应为 MariaDB 服务器禁用公用网络访问 | 禁用公用网络访问属性以提高安全性，并确保只能从专用终结点访问 Azure Database for MariaDB。 此配置严格禁止访问 Azure IP 范围之外的任何公共地址空间，并拒绝与 IP 或基于虚拟网络的防火墙规则匹配的所有登录。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 应为 MySQL 服务器禁用公用网络访问 | 禁用公用网络访问属性以提高安全性，并确保只能从专用终结点访问 Azure Database for MySQL。 此配置严格禁止访问 Azure IP 范围之外的任何公共地址空间，并拒绝与 IP 或基于虚拟网络的防火墙规则匹配的所有登录。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 应为 PostgreSQL 服务器禁用公用网络访问 | 禁用公用网络访问属性以提高安全性，并确保只能从专用终结点访问 Azure Database for PostgreSQL。 此配置禁止访问 Azure IP 范围之外的任何公共地址空间，并拒绝与 IP 或基于虚拟网络的防火墙规则匹配的所有登录。 | 审核、拒绝访问、禁用 | 2.0.1 |
| 应启用 Azure Data Lake Store 中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用 Azure Databricks 工作区中的资源日志 | 资源日志允许重新创建活动线索，以便在发生安全事件或网络遭到入侵时用于调查目的。 | AuditIfNotExists、Disabled | 1.0.1 |
| 应启用Azure Kubernetes 服务中的资源日志 | 在调查安全事件时，Azure Kubernetes 服务的资源日志可帮助重新创建活动线索。 启用日志可确保它们在需要时存在 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 Azure 机器学习工作区中的资源日志 | 资源日志允许重新创建活动线索，以便在发生安全事件或网络遭到入侵时用于调查目的。 | AuditIfNotExists、Disabled | 1.0.1 |
| 应启用 Azure 流分析中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用 Batch 帐户中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用 Data Lake Analytics 中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用事件中心内的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用 IoT 中心内的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 3.1.0 |
| 应启用 密钥保管库 中的资源日志 | 对启用资源日志进行审核。 使用此策略可在发生安全事件或网络受到安全威胁时重新创建用于调查的活动线索 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用逻辑应用中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.1.0 |
| 应启用搜索服务中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应启用服务总线中的资源日志 | 对启用资源日志进行审核。 这样便可以在发生安全事件或网络受到威胁时重新创建活动线索以用于调查目的 | AuditIfNotExists、Disabled | 5.0.0 |
| 应在 Kubernetes 服务中使用基于角色的访问控制 (RBAC) | 若要对用户可以执行的操作提供粒度筛选，请使用基于角色的访问控制 (RBAC) 来管理 Kubernetes 服务群集中的权限并配置相关授权策略。 | 审核、已禁用 | 1.1.0 |
| 应启用安全传输到存储帐户 | 审核存储帐户中安全传输的要求。 安全传输选项会强制存储帐户仅接受来自安全连接 (HTTPS) 的请求。 使用 HTTPS 可确保服务器和服务之间的身份验证并保护传输中的数据免受中间人攻击、窃听和会话劫持等网络层攻击 | 审核、拒绝访问、禁用 | 2.0.0 |
| Service Fabric 群集应将 ClusterProtectionLevel 属性设置为 EncryptAndSign | Service Fabric 使用主要群集证书为节点之间的通信提供三个保护级别（None、Sign 和 EncryptAndSign）。 设置保护级别以确保所有节点到节点消息均已进行加密和数字签名 | 审核、拒绝访问、禁用 | 1.1.0 |
| Service Fabric 群集应仅使用 Azure Active Directory 进行客户端身份验证 | 审核在 Service Fabric 中仅通过 Azure Active Directory 进行的客户端身份验证使用情况 | 审核、拒绝访问、禁用 | 1.1.0 |
| SQL 数据库应修复已发现的漏洞 | 监视漏洞评估扫描结果，并提供有关如何消除数据库漏洞的建议。 | AuditIfNotExists、Disabled | 4.1.0 |
| SQL 托管实例应使用客户管理的密钥进行静态数据加密 | 使用你自己的密钥实现透明数据加密 (TDE) 可增加透明度和对 TDE 保护器的控制，增强由 HSM 提供支持的外部服务的安全性，并促进职责划分。 此建议适用于具有相关合规性要求的组织。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 应为机器计划中的 SQL Server 启用针对 SQL Server 的自动预配 | 为了确保 SQL VM 和已启用 Arc 的 SQL Server 受到保护，请确保将针对 SQL 的 Azure 监视代理配置为自动进行部署。 如果你之前配置了 Microsoft 监视代理的自动预配，那么这也是必要的，因为该组件将被弃用。 了解详细信息：https://aka.ms/SQLAMAMigration | AuditIfNotExists、Disabled | 1.0.0 |
| 计算机上的 SQL 服务器应已修复漏洞发现项 | SQL 漏洞评估会扫描数据库中的安全漏洞，并显示与最佳做法之间的任何偏差，例如配置错误、权限过多和敏感数据未受保护。 解决发现的漏洞可以极大地改善数据库安全态势。 | AuditIfNotExists、Disabled | 1.0.0 |
| SQL Server 应使用客户管理的密钥进行静态数据加密 | 使用自己的密钥实现透明数据加密（TDE）可以提高对 TDE 保护程序的透明度和控制，通过 HSM 支持的外部服务提高安全性，以及促进职责分离。 此建议适用于具有相关合规性要求的组织。 | 审核、拒绝访问、禁用 | 2.0.1 |
| 对存储帐户目标进行审核的 SQL Server 应配置至少 90 天的保留期 | 为便于调查事件，建议将 SQL Server 审核数据在存储帐户目标中的数据保留期设置为至少 90 天。 确认你遵守所运营区域的必要保留规则。 为了符合监管标准，有时需要这样做。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应禁止存储帐户公共访问 | 对 Azure 存储中的容器和 blob 进行匿名公共读取访问虽然是共享数据的一种简便方法，但可能会带来安全风险。 为了防止因匿名访问而导致的数据泄露，Microsoft建议防止对存储帐户的公共访问，除非你的方案需要它。 | audit、Audit、deny、Deny、disabled、Disabled | 3.1.1 |
| 存储帐户应迁移到新的 Azure 资源管理器资源 | 使用新的 Azure 资源管理器为存储帐户提供安全增强功能，例如：更强大的访问控制 (RBAC)、更好的审核、基于 Azure 资源管理器的部署和监管、对托管标识的访问权限、访问密钥保管库以获取机密、基于 Azure AD 的身份验证以及对标记和资源组的支持，以简化安全管理 | 审核、拒绝访问、禁用 | 1.0.0 |
| 存储帐户应阻止共享密钥访问 | 审核 Azure Active Directory (Azure AD) 授予存储帐户请求权限的要求。 默认情况下，可以使用 Azure Active Directory 凭据对请求进行授权，或使用帐户访问密钥对其进行共享密钥授权。 在这两种类型的授权中，与共享密钥相比，Azure AD 提供更高级别的安全性和易用性，是 Microsoft 推荐的授权方法。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 存储帐户应阻止共享密钥访问（不包括 Databricks 创建的存储帐户） | 审核 Azure Active Directory (Azure AD) 授予存储帐户请求权限的要求。 默认情况下，可以使用 Azure Active Directory 凭据对请求进行授权，或使用帐户访问密钥对其进行共享密钥授权。 在这两种类型的授权中，与共享密钥相比，Azure AD 提供更高级别的安全性和易用性，是 Microsoft 推荐的授权方法。 | 审核、拒绝访问、禁用 | 1.0.0 |
| 应限制对存储帐户的网络访问 | 应限制对存储帐户的网络访问。 配置网络规则，以便只允许来自允许的网络的应用程序访问存储帐户。 若要允许来自特定 Internet 或本地客户端的连接，可以向来自特定 Azure 虚拟网络的流量或公共 Internet IP 地址范围授予访问权限 | 审核、拒绝访问、禁用 | 1.1.1 |
| 存储帐户应使用虚拟网络规则来限制网络访问 | 使用虚拟网络规则作为首选方法（而不使用基于 IP 的筛选），保护存储帐户免受潜在威胁危害。 禁用基于 IP 的筛选可以阻止公共 IP 访问你的存储帐户。 | 审核、拒绝访问、禁用 | 1.0.1 |
| 存储帐户应使用虚拟网络规则限制网络访问（不包括 Databricks 创建的存储帐户） | 使用虚拟网络规则作为首选方法（而不使用基于 IP 的筛选），保护存储帐户免受潜在威胁危害。 禁用基于 IP 的筛选可以阻止公共 IP 访问你的存储帐户。 | 审核、拒绝访问、禁用 | 1.0.0 |
| 存储帐户应使用客户管理的密钥进行加密 | 使用由客户管理的密钥，更加灵活地保护您的 blob 和文件存储帐户。 指定客户托管密钥时，该密钥用于保护和控制对数据加密密钥的访问。 使用客户管理的密钥可提供附加功能来控制密钥加密密钥的轮换或以加密方式擦除数据。 | 审核、已禁用 | 1.0.3 |
| 存储帐户应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 将专用终结点映射到存储帐户可以降低数据泄露风险。 有关专用链接的详细信息，请访问 https://aka.ms/azureprivatelinkoverview。 | AuditIfNotExists、Disabled | 2.0.0 |
| 存储帐户应使用专用链接（不包括 Databricks 创建的存储帐户） | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 将专用终结点映射到存储帐户可以降低数据泄露风险。 有关专用链接的详细信息，请访问 https://aka.ms/azureprivatelinkoverview。 | AuditIfNotExists、Disabled | 1.0.0 |
| 子网应与网络安全组关联 | 使用网络安全组 (NSG) 限制对子网的访问，以保护您的子网免受潜在威胁。 NSG 包含一系列访问控制列表 (ACL) 规则，这些规则可以允许或拒绝流向子网的网络流量。 | AuditIfNotExists、Disabled | 3.0.0 |
| 订阅应有一个联系人电子邮件地址，用于接收安全问题通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请设置一个安全联系人，以接收来自安全中心的电子邮件通知。 | AuditIfNotExists、Disabled | 1.0.1 |
| Synapse 工作区应仅启用 Microsoft Entra 身份验证 | 要求 Synapse 工作区使用纯 Microsoft Entra 身份验证。 此策略不会阻止创建启用本地身份验证的工作区。 它确实会阻止在创建资源后启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/Synapse | 审核、拒绝访问、禁用 | 1.0.0 |
| Synapse 工作区应在工作区创建期间仅使用 Microsoft Entra 标识进行身份验证 | 要求使用纯 Microsoft Entra 身份验证创建 Synapse 工作区。 此策略不会阻止在创建资源后重新启用本地身份验证。 考虑使用“纯 Microsoft Entra 身份验证”计划，而不是同时要求使用这两者。 有关详细信息，请查看： https://aka.ms/Synapse | 审核、拒绝访问、禁用 | 1.2.0 |
| 应在计算机上安装系统更新（由更新中心提供技术支持） | 计算机缺少系统、安全和关键更新。 软件更新通常包括安全漏洞的关键补丁。 此类漏洞经常在恶意软件攻击中被利用，因此保持软件更新至关重要。 若要安装所有未完成的修补程序并保护计算机，请遵循修正步骤。 | AuditIfNotExists、Disabled | 1.0.1 |
| 您的订阅应被分配给多位所有者 | 建议指定多个订阅所有者，这样才会有管理员访问冗余。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应在 SQL 数据库上启用透明数据加密 | 应启用透明数据加密以保护静态数据并满足符合性要求 | AuditIfNotExists、Disabled | 2.0.0 |
| 虚拟机和虚拟机规模集应启用主机中加密 | 使用主机加密可对虚拟机和虚拟机规模集数据进行端到端加密。 主机中加密可对临时磁盘和 OS/数据磁盘缓存实现静态加密。 启用主机中加密后，将使用平台管理的密钥对临时 OS 磁盘进行加密。 OS/数据磁盘缓存使用客户管理的密钥或平台管理的密钥进行静态加密，具体取决于在磁盘中选择的加密类型。 更多信息请访问 https://aka.ms/vm-hbe。 | 审核、拒绝访问、禁用 | 1.0.0 |
| 应将虚拟机迁移到新的 Azure 资源管理器资源 | 对虚拟机使用新的 Azure 资源管理器以提供安全增强功能，例如：更强的访问控制 (RBAC)、更佳审核功能、基于 Azure 资源管理器的部署和治理、对托管标识的访问、访问密钥保管库以获取机密、基于 Azure AD 的身份验证以及支持使用标记和资源组简化安全管理 | 审核、拒绝访问、禁用 | 1.0.0 |
| 应使用系统分配的托管标识来部署虚拟机的来宾配置扩展 | 来宾配置扩展需要系统分配的托管标识。 如果安装了来宾配置扩展，但没有系统分配的托管标识，则此策略作用域内的 Azure 虚拟机是不合规的。 有关详细信息，请访问 https://aka.ms/gcpol | AuditIfNotExists、Disabled | 1.0.1 |
| VM 映像生成器模板应使用专用链接 | Azure 专用链接允许将虚拟网络连接到Azure服务，而无需在源或目标处使用公共 IP 地址。 专用链接平台通过Azure主干网络处理使用者和服务之间的连接。 将专用终结点映射到 VM 映像生成器生成资源可以降低数据泄露的风险。 有关专用链接的详细信息，请访问：https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet。 | 审核、已禁用、拒绝 | 1.1.0 |
| VPN 网关应仅对点到站点用户使用 Azure Active Directory (Azure AD) 身份验证 | 禁用本地身份验证方法可确保 VPN 网关仅使用 Azure Active Directory 标识进行身份验证，从而提高安全性。 在 https://docs.microsoft.com/azure/vpn-gateway/openvpn-azure-ad-tenant 详细了解 Azure AD 身份验证 | 审核、拒绝访问、禁用 | 1.0.0 |
| 应在 SQL 托管实例上启用漏洞评估 | 审核未正确配置漏洞评估的每个SQL 托管实例。 漏洞评估可发现、跟踪和帮助你修正潜在数据库漏洞。 | AuditIfNotExists、Disabled | 1.1.0 |
| 应在 SQL 服务器上启用漏洞评估 | 审核未正确配置漏洞评估的 Azure SQL 服务器。 漏洞评估可发现、跟踪和帮助你修正潜在数据库漏洞。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应为应用程序网关启用 Web 应用程序防火墙 （WAF | 在面向公众的 Web 应用程序前部署Azure Web 应用程序防火墙（WAF），以进一步检查传入流量。 Web 应用程序防火墙（WAF）可集中保护 Web 应用程序免受 SQL 注入、跨站点脚本、本地和远程文件执行等常见攻击和漏洞的集中保护。 还可以通过自定义规则，按国家/地区、IP 地址范围和其他 http(s) 参数限制对 Web 应用程序的访问。 | 审核、拒绝访问、禁用 | 2.0.0 |
| 应在计算机上启用 Windows Defender 攻击防护 | Windows Defender 攻击防护使用 Azure Policy 来宾配置代理。 攻击防护服务具有 4 个组件，旨在锁定设备来阻隔各种攻击途径，并阻止恶意软件攻击中常用的行为，同时让企业能够平衡其安全风险和生产力要求（仅限 Windows）。 | AuditIfNotExists、Disabled | 2.0.0 |
| 应将 Windows 计算机配置为使用安全通信协议 | 为了保护通过 Internet 进行通信的信息的隐私，计算机应使用最新版本的行业标准加密协议，即传输层安全性 (TLS)。 TLS 通过加密计算机之间的连接来保护网络上的通信。 | AuditIfNotExists、Disabled | 4.1.1 |
| Windows 计算机应符合 Azure 计算安全基线的要求 | 要求将先决条件部署到策略分配范围。 有关详细信息，请访问 https://aka.ms/gcpol。 如果计算机未正确配置，则计算机不符合Azure计算安全基线中的某个建议。 | AuditIfNotExists、Disabled | 2.1.1 |
| Windows 虚拟机应启用 Azure 磁盘加密或 EncryptionAtHost。 | 尽管虚拟机的 OS 和数据磁盘默认使用平台管理的密钥进行静态加密，但资源磁盘（临时磁盘）、数据缓存以及计算资源和存储资源之间流动的数据不加密。 使用 Azure 磁盘加密 或 EncryptionAtHost 进行修正。 访问 https://aka.ms/diskencryptioncomparison 以比较加密产品/服务。 此策略需要将两个先决条件部署到策略分配范围。 有关详细信息，请访问 https://aka.ms/gcpol。 | AuditIfNotExists、Disabled | 1.1.1 |
Microsoft Defender for Cloud类别
| Name （Azure portal） |
Description | Effect(s) | 版本 (GitHub) |
|---|---|---|---|
| [预览版]：应在 Linux Arc 计算机上安装 ChangeTracking 扩展 | 在 Linux Arc 计算机上安装 ChangeTracking 扩展，以便在 Azure 安全中心 中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览版]：应在 Linux 虚拟机上安装 ChangeTracking 扩展 | 在 Linux 虚拟机上安装 ChangeTracking 扩展，以便在 Azure 安全中心 中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 2.0.0-preview |
| [预览]：应在 Windows Arc 计算机上安装 ChangeTracking 扩展 | 在 Windows Arc 计算机上安装 ChangeTracking 扩展，以便在Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览]：应在Windows虚拟机上安装 ChangeTracking 扩展 | 在Windows虚拟机上安装 ChangeTracking 扩展，以便在Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 2.0.0-preview |
| [预览]：为虚拟机上的 SQL 代理配置Azure Defender | 将Windows计算机配置为自动安装安装Azure Monitor代理的 SQL 代理的Azure Defender。 安全中心从代理收集事件，并使用这些事件来提供安全警报和定制的强化任务（建议）。 在计算机所在的同一区域中创建一个资源组和 Log Analytics 工作区。 目标虚拟机必须位于受支持的位置。 | DeployIfNotExists，已禁用 | 1.0.0-preview |
| [预览版]：配置支持的 Linux 虚拟机规模集以自动安装来宾证明扩展 | 配置支持的 Linux 虚拟机规模集以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 6.1.0-preview |
| [预览版]：配置支持的 Linux 虚拟机以自动启用安全启动 | 配置受支持的 Linux 虚拟机以自动启用安全启动，从而减少对启动链的恶意和未经授权的更改。 启用后，只允许运行受信任的启动加载程序、内核和内核驱动程序。 | DeployIfNotExists，已禁用 | 5.0.0-preview |
| [预览版]：配置支持的 Linux 虚拟机以自动安装来宾证明扩展 | 配置支持的 Linux 虚拟机以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 7.1.0-preview |
| [预览版]：配置支持的虚拟机以自动启用 vTPM | 配置受支持的虚拟机以自动启用 vTPM，从而帮助实现受度量启动和其他需要 TPM 的 OS 安全功能。 启用后，vTPM 可用于证明引导完整性。 | DeployIfNotExists，已禁用 | 2.0.0-preview |
| [预览]：配置受支持的Windows虚拟机规模集以自动安装来宾证明扩展 | 配置受支持的Windows虚拟机规模集以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 4.1.0-preview |
| [预览]：配置受支持的Windows虚拟机以自动启用安全启动 | 配置支持的Windows虚拟机，以自动启用安全启动，以防范对启动链的恶意和未经授权的更改。 启用后，只允许运行受信任的启动加载程序、内核和内核驱动程序。 | DeployIfNotExists，已禁用 | 3.0.0-preview |
| [预览]：配置受支持的Windows虚拟机以自动安装来宾证明扩展 | 配置受支持的Windows虚拟机以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 5.1.0-preview |
| [预览]：配置使用共享映像库映像创建的 VM 以安装来宾证明扩展 | 配置使用共享映像库映像创建的虚拟机以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 2.0.0-preview |
| [预览]：配置使用 共享映像库 映像创建的 VMSS 以安装来宾证明扩展 | 配置使用共享映像库映像创建的 VMSS 以自动安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 启动完整性是通过远程证明来证明的。 | DeployIfNotExists，已禁用 | 2.1.0-preview |
| [预览]：在 Linux 混合计算机上部署Microsoft Defender for Endpoint代理 | 在 Linux 混合计算机上部署Microsoft Defender for Endpoint代理 | DeployIfNotExists、AuditIfNotExists、Disabled | 2.0.1-preview |
| [预览]：在 Linux 虚拟机上部署Microsoft Defender for Endpoint代理 | 在适用的 Linux VM 映像上部署Microsoft Defender for Endpoint代理。 | DeployIfNotExists、AuditIfNotExists、Disabled | 3.0.0-preview |
| [预览]：在Windows Azure Arc计算机上部署Microsoft Defender for Endpoint代理 | 在Windows Azure Arc计算机上部署Microsoft Defender for Endpoint。 | DeployIfNotExists、AuditIfNotExists、Disabled | 2.0.1-preview |
| [预览]：在Windows虚拟机上部署Microsoft Defender for Endpoint代理 | 在适用的Windows VM 映像上部署Microsoft Defender for Endpoint。 | DeployIfNotExists、AuditIfNotExists、Disabled | 2.0.1-preview |
| [预览]：应在支持的 Linux 虚拟机上安装来宾证明扩展 | 在支持的 Linux 虚拟机上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任启动和机密 Linux 虚拟机。 | AuditIfNotExists、Disabled | 6.0.0-preview |
| [预览]：应在受支持的 Linux 虚拟机规模集上安装来宾证明扩展 | 在受支持的 Linux 虚拟机规模集上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任启动和机密 Linux 虚拟机规模集。 | AuditIfNotExists、Disabled | 5.1.0-preview |
| [预览]：应在支持的 Windows 虚拟机上安装来宾证明扩展 | 在支持的虚拟机上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任的启动和机密Windows虚拟机。 | AuditIfNotExists、Disabled | 4.0.0-preview |
| [预览]：应在受支持的 Windows 虚拟机规模集上安装来宾证明扩展 | 在支持的虚拟机规模集上安装来宾证明扩展，以允许Azure 安全中心主动证明和监视启动完整性。 安装后，将通过远程证明来证明启动完整性。 此评估适用于受信任的启动和机密Windows虚拟机规模集。 | AuditIfNotExists、Disabled | 3.1.0-preview |
| [预览]：Linux 虚拟机应仅使用已签名且受信任的启动组件 | 所有 OS 启动组件（启动加载程序、内核、内核驱动程序）都必须由受信任的发布者签名。 Defender for Cloud已在一个或多个 Linux 计算机上标识了不受信任的 OS 启动组件。 若要保护计算机免受潜在恶意组件的攻击，请将它们添加到你的允许列表，或删除已识别的组件。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览版]：Linux 虚拟机应使用安全启动 | 若要防止安装基于恶意软件的 Rootkit 和引导工具包，请在受支持的 Linux 虚拟机上启用安全引导。 安全引导可确保仅允许运行已签名的操作系统和驱动程序。 此评估仅适用于安装了Azure Monitor代理的 Linux 虚拟机。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览]：计算机应关闭可能暴露攻击途径的端口 | Azure使用条款禁止使用Azure服务的方式可能会损害、禁用、过度负担或损害任何Microsoft服务器或网络。 为了持续安全，需要关闭此建议确定的暴露端口。 对于每个确定的端口，该建议还提供了对潜在威胁的解释。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览版]：应在支持的 Windows 虚拟机上启用安全启动 | 在受支持的Windows虚拟机上启用安全启动，以防范对启动链的恶意和未经授权的更改。 启用后，只允许运行受信任的启动加载程序、内核和内核驱动程序。 此评估适用于受信任的启动和机密Windows虚拟机。 | 审核、已禁用 | 4.0.0-preview |
| [预览版]：虚拟机来宾证明状态应为正常 | 通过向证明服务器发送受信任的日志 (TCGLog) 来执行来宾证明。 服务器使用这些日志来确定引导组件是否可信。 这项评估旨在检测引导链的泄漏，这可能是引导工具包或 Rootkit 感染所导致的。 这项评估仅适用于安装了来宾证明扩展且支持受信任启动的虚拟机。 | AuditIfNotExists、Disabled | 1.0.0-preview |
| [预览版]：应在支持的虚拟机上启用 vTPM | 在受支持的虚拟机上启用虚拟 TPM 设备，以帮助实现受度量启动和其他需要 TPM 的 OS 安全功能。 启用后，vTPM 可用于证明引导完整性。 此评估仅适用于已启用受信任启动的虚拟机。 | 审核、已禁用 | 2.0.0-preview |
| 最多应为订阅指定 3 个所有者 | 建议最多指定 3 个订阅所有者，以减少可能出现的已遭入侵的所有者做出的违规行为。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应在虚拟机上启用漏洞评估解决方案 | 审核虚拟机，以检测它们是否正在运行受支持的漏洞评估解决方案。 每个网络风险和安全计划的核心部分都是识别和分析漏洞。 Azure 安全中心的标准定价层包括对虚拟机进行漏洞扫描，无需额外付费。 此外，安全中心可以自动为你部署此工具。 | AuditIfNotExists、Disabled | 3.0.0 |
| 关联到虚拟机的网络安全组应限制所有网络端口 | Azure 安全中心已识别到网络安全组的某些入站规则过于宽松。 入站规则不应允许从“任何”或“Internet”范围进行访问。 这有可能使得攻击者能够将你的资源定为攻击目标。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应对Azure API 管理中的 API 终结点进行身份验证 | Azure API 管理中发布的 API 终结点应强制实施身份验证，以帮助最大程度地降低安全风险。 有时，身份验证机制的实现会不正确或缺失。 这允许攻击者利用实施缺陷并access数据。 请在此处详细了解用户身份验证中断的 OWASP API 威胁：https://learn.microsoft.com/azure/api-management/mitigate-owasp-api-threats#broken-user-authentication | AuditIfNotExists、Disabled | 1.0.1 |
| 应禁用未使用的 API 终结点，并将其从 Azure API 管理 服务中删除 | 作为安全最佳做法，未收到流量 30 天的 API 终结点被视为未使用，应从Azure API 管理服务中删除。 保留未使用的 API 终结点可能会给组织带来安全风险。 这些 API 可能已从 Azure API 管理 服务弃用，但可能意外地保持活动状态。 此类 API 通常不会受到最新的安全保护。 | AuditIfNotExists、Disabled | 1.0.1 |
| 将系统分配的标识分配给 SQL 虚拟机 | 大规模分配系统分配标识以Windows SQL 虚拟机。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 应在 Kubernetes 服务上定义经授权的 IP 范围 | 通过仅向特定范围内的 IP 地址授予 API 访问权限，来限制对 Kubernetes 服务管理 API 的访问。 建议将访问权限限制给已获授权的 IP 范围，以确保只有受允许网络中的应用程序可以访问群集。 | 审核、已禁用 | 2.0.1 |
| 应启用 Azure DDoS 防护 | 应对具有相关子网（属于具有公共 IP 的应用程序网关）的所有虚拟网络启用 DDoS 防护。 | AuditIfNotExists、Disabled | 3.0.1 |
| 应启用适用于应用服务的 Azure Defender | 适用于应用服务的 Azure Defender 利用云的规模以及 Azure 作为云提供商的可见性来监视常见的 Web 应用攻击。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用适用于 Azure SQL 数据库服务器的 Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应启用密钥保管库的 Azure Defender | 密钥保管库的Azure Defender通过检测访问或利用key vault帐户的异常和潜在有害尝试，提供了额外的保护和安全智能层。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用开放源代码关系数据库的 Azure Defender | 开源关系数据库的Azure Defender可检测异常活动，这些活动指示访问或利用数据库的异常和潜在有害尝试。 在 https://aka.ms/AzDforOpenSourceDBsDocu 了解有关开放源代码关系数据库Azure Defender功能的详细信息。 重要提示：启用此计划将产生保护开源关系数据库的费用。 若要了解定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 Azure Defender for 资源管理器 | Azure Defender for 资源管理器 会自动监视组织中的资源管理操作。 Azure Defender 会检测威胁，并向你发出有关可疑活动的警报。 若要详细了解 Azure Defender for 资源管理器 的功能，请参阅 https://aka.ms/defender-for-resource-manager。 启用此 Azure Defender 计划会产生费用。 若要了解各区域的定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用适用于服务器的 Azure Defender | 适用于服务器的 Azure Defender 可为服务器工作负载提供实时威胁防护，并生成强化建议以及有关可疑活动的警报。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应为计算机上的 SQL Server 启用 Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应为未受保护的 MySQL 灵活服务器启用 sql Azure Defender | 审核没有高级数据安全的 MySQL 灵活服务器 | AuditIfNotExists、Disabled | 1.0.0 |
| 应为未受保护的 PostgreSQL 灵活服务器启用 Azure Defender for SQL | 在没有高级数据安全的情况下审核 PostgreSQL 灵活服务器 | AuditIfNotExists、Disabled | 1.0.0 |
| Azure 注册表容器映像应已解决漏洞（由 Microsoft Defender 漏洞管理提供支持） | 容器映像漏洞评估会扫描注册表中的常见漏洞 (CVE)，并为每个映像提供详细的漏洞报告。 解决漏洞可以极大地改善安全状况，确保在部署之前可以安全地使用映像。 | AuditIfNotExists、Disabled | 1.0.1 |
| 在 Azure 上运行的容器映像应已修复漏洞（由 Microsoft Defender 漏洞管理驱动） | 容器映像漏洞评估会扫描注册表中的常见漏洞 (CVE)，并为每个映像提供详细的漏洞报告。 此建议可显示出 Kubernetes 群集中当前运行的易受攻击映像。 修正当前正在运行的容器映像中的漏洞是改善安全状况的关键，可显著减少容器化工作负载的攻击面。 | AuditIfNotExists、Disabled | 1.0.1 |
| 应删除对 Azure 资源拥有所有者权限的已封锁帐户 | 应从订阅中删除拥有所有者权限的已弃用帐户。 已弃用帐户是已阻止登录的帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有读取和写入权限的已封锁帐户 | 应从订阅中删除弃用的帐户。 已弃用帐户是已阻止登录的帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应在 Linux 虚拟机规模集上安装 ChangeTracking 扩展 | 在 Linux 虚拟机规模集上安装 ChangeTracking 扩展，以便在 Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 2.0.1 |
| ChangeTracking 扩展应安装在Windows虚拟机规模集上 | 在Windows虚拟机规模集上安装 ChangeTracking 扩展，以便在Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitoring Agent 支持的虚拟机和位置。 | AuditIfNotExists、Disabled | 2.0.1 |
| 应安全配置云服务（外延支持）角色实例 | 确保云服务（外延支持）角色实例未暴露于任何 OS 漏洞下，以防止这些实例受到攻击。 | AuditIfNotExists、Disabled | 1.0.0 |
| 云服务（外延支持）角色实例应安装系统更新 | 确保已在云服务（外延支持）角色实例上安装最新的安全更新和关键更新，从而对这些实例进行保护。 | AuditIfNotExists、Disabled | 1.0.0 |
| 在 mySQL 灵活服务器的Azure数据库上启用配置Advanced Threat Protection | 在 Azure Database for MySQL 灵活服务器上启用Advanced Threat Protection，以检测异常活动，指示访问或利用数据库的异常和潜在有害尝试。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 在 postgreSQL 灵活服务器Azure数据库上启用配置Advanced Threat Protection | 在 Azure Database for PostgreSQL 灵活服务器上启用Advanced Threat Protection，以检测异常活动，指示访问或利用数据库的异常和潜在有害尝试。 | DeployIfNotExists，已禁用 | 1.1.0 |
| 配置已启用 Arc 的 SQL Server 以自动安装Azure Monitor代理 | 在已启用 Arc 的 SQL Server 上自动部署 Windows Azure Monitor代理扩展。 了解详细信息：https://aka.ms/AMAOverview。 | DeployIfNotExists，已禁用 | 1.3.0 |
| 配置已启用 Arc 的 SQL Server 以自动安装 Microsoft Defender for SQL | 配置已启用 Arc 的 SQL Server Windows，以自动安装 SQL 代理的Microsoft Defender。 SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 | DeployIfNotExists，已禁用 | 1.2.0 |
| 配置已启用 Arc 的 SQL Server 以使用 Log Analytics 工作区自动安装 Microsoft Defender for SQL 和 DCR | SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 在计算机所在的同一区域中创建资源组、数据收集规则和Log Analytics工作区。 | DeployIfNotExists，已禁用 | 1.6.0 |
| 配置已启用 Arc 的 SQL Server 以使用用户定义的 LA 工作区自动安装 Microsoft Defender for SQL 和 DCR | SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 在用户定义的Log Analytics工作区所在的同一区域中创建资源组和数据收集规则。 | DeployIfNotExists，已禁用 | 1.8.0 |
| 使用数据收集规则关联将已启用 Arc 的 SQL Server 配置为 Microsoft Defender for SQL DCR | 配置已启用 Arc 的 SQL Server 与 SQL DCR Microsoft Defender之间的关联。 删除此关联将中断对此已启用 Arc 的 SQL Server 的安全漏洞检测。 | DeployIfNotExists，已禁用 | 1.1.0 |
| 使用数据收集规则关联将已启用 Arc 的 SQL Server 配置为 Microsoft Defender for SQL 用户定义的 DCR | 配置已启用 Arc 的 SQL Server 与 SQL 用户定义的 DCR Microsoft Defender之间的关联。 删除此关联将中断对此已启用 Arc 的 SQL Server 的安全漏洞检测。 | DeployIfNotExists，已禁用 | 1.3.0 |
| 将适用于应用服务的 Azure Defender 配置为启用 | 适用于应用服务的 Azure Defender 利用云的规模以及 Azure 作为云提供商的可见性来监视常见的 Web 应用攻击。 | DeployIfNotExists，已禁用 | 1.0.1 |
| 将适用于 Azure SQL 数据库的 Azure Defender 配置为启用状态 | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | DeployIfNotExists，已禁用 | 1.0.1 |
| 为要启用的开源关系数据库配置Azure Defender | 开源关系数据库的Azure Defender可检测异常活动，这些活动指示访问或利用数据库的异常和潜在有害尝试。 在 https://aka.ms/AzDforOpenSourceDBsDocu 了解有关开放源代码关系数据库Azure Defender功能的详细信息。 重要提示：启用此计划将产生保护开源关系数据库的费用。 若要了解定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center | DeployIfNotExists，已禁用 | 1.0.0 |
| 配置Azure Defender以启用资源管理器 | Azure Defender for 资源管理器 会自动监视组织中的资源管理操作。 Azure Defender 会检测威胁，并向你发出有关可疑活动的警报。 若要详细了解 Azure Defender for 资源管理器 的功能，请参阅 https://aka.ms/defender-for-resource-manager。 启用此 Azure Defender 计划会产生费用。 若要了解各区域的定价详细信息，请访问安全中心的定价页：https://aka.ms/pricing-security-center。 | DeployIfNotExists，已禁用 | 1.1.0 |
| 为要启用的服务器配置Azure Defender | 适用于服务器的 Azure Defender 可为服务器工作负载提供实时威胁防护，并生成强化建议以及有关可疑活动的警报。 | DeployIfNotExists，已禁用 | 1.0.1 |
| 为要启用的计算机上的 SQL Server 配置Azure Defender | Azure Defender for SQL 提供了以下功能：呈现和缓解潜在数据库漏洞、检测可能指示对 SQL 数据库产生威胁的异常活动，以及发现敏感数据并对其进行分类。 | DeployIfNotExists，已禁用 | 1.0.1 |
| 配置存储的基本Microsoft Defender（仅限活动监视） | Microsoft Defender for Storage 为存储帐户提供 Azure 本机威胁检测。 此策略启用基本功能（活动监视）。 若要获得完整保护，包括恶意软件扫描和敏感数据发现，请使用 aka.ms/DFStoragePolicy。 主要版本更新：2025 年 2 月 5 日之后，新启用不再支持 PerTransaction。 使用它的现有帐户仍受支持。 了解详细信息：aka.ms/DF-Storage/NewPlanMigration。 | DeployIfNotExists，已禁用 | 2.0.0 |
| 为 Linux Arc 计算机配置 ChangeTracking 扩展 | 将 Linux Arc 计算机配置为自动安装 ChangeTracking 扩展，以便在Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.1.0 |
| 为 Linux 虚拟机规模集配置 ChangeTracking 扩展 | 配置 Linux 虚拟机规模集以自动安装 ChangeTracking 扩展以在Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.1.0 |
| 为 Linux 虚拟机配置 ChangeTracking 扩展 | 配置 Linux 虚拟机以自动安装 ChangeTracking 扩展以在 Azure 安全中心 中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.2.0 |
| 为 Windows Arc 计算机配置 ChangeTracking 扩展 | 配置 Windows Arc 计算机以自动安装 ChangeTracking 扩展以在 Azure 安全中心 中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.1.0 |
| 为Windows虚拟机规模集配置 ChangeTracking 扩展 | 配置Windows虚拟机规模集以自动安装 ChangeTracking 扩展以在 Azure 安全中心 中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.1.0 |
| 为 Windows 虚拟机配置 ChangeTracking 扩展 | 配置Windows虚拟机以自动安装 ChangeTracking 扩展以在 Azure 安全中心中启用文件完整性监视（FIM）。 FIM 检查操作系统文件、Windows注册表、应用程序软件、Linux 系统文件等，了解可能表示攻击的更改。 该扩展可以安装在 Azure Monitor 代理支持的虚拟机和位置中。 | DeployIfNotExists，已禁用 | 2.2.0 |
| 配置计算机以接收漏洞评估提供程序 | Azure Defender包括对计算机的漏洞扫描，无需额外付费。 你无需具备 Qualys 许可证，甚至还不需要 Qualys 帐户 - 所有操作都在安全中心内无缝执行。 启用此策略时，Azure Defender会自动将 Qualys 漏洞评估提供程序部署到尚未安装它的所有受支持计算机。 | DeployIfNotExists，已禁用 | 4.0.0 |
| 配置Defender CSPM计划Microsoft | Defender云安全状况管理（CSPM）提供增强的姿态功能和新的智能云安全图，以帮助识别、确定优先级和降低风险。 除了默认在Defender for Cloud中启用的免费基础安全状况功能外，还提供Defender CSPM。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 配置Microsoft启用Defender CSPM | Defender云安全状况管理（CSPM）提供增强的姿态功能和新的智能云安全图，以帮助识别、确定优先级和降低风险。 除了默认在Defender for Cloud中启用的免费基础安全状况功能外，还提供Defender CSPM。 | DeployIfNotExists，已禁用 | 1.0.2 |
| 将 Microsoft Defender for Azure Cosmos DB 配置为启用 | Azure Cosmos DB的Microsoft Defender是一个Azure本机安全层，用于检测尝试利用Azure Cosmos DB帐户中的数据库。 Defender，Azure Cosmos DB会根据Microsoft威胁情报、可疑访问模式以及通过泄露的标识或恶意内部人员对数据库的潜在攻击来检测潜在的 SQL 注入、已知不良参与者。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 容器计划的配置Microsoft Defender | 将新功能持续添加到容器计划的Defender，这可能需要用户的显式启用。 使用此策略可确保将启用所有新功能。 | DeployIfNotExists，已禁用 | 1.6.0 |
| 将 Microsoft Defender for Containers 配置为已启用 | Microsoft Defender for Containers 为 Azure、混合和多云 Kubernetes 环境提供强化、漏洞评估和运行时保护。 | DeployIfNotExists，已禁用 | 1.0.1 |
| 配置Microsoft Defender for Endpoint与Microsoft Defender for Cloud集成设置（WDATP_EXCLUDE_LINUX...） | 在 Microsoft Defender for Cloud（也称为WDATP_EXCLUDE_LINUX_...）中配置Microsoft Defender for Endpoint集成设置，以便为 Linux 服务器启用 MDE 的自动预配。 必须打开 WDATP 设置才能应用此设置。 有关详细信息，请参阅 https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 在 Microsoft Defender for Cloud（也称为WDATP_UNIFIED_SOLUTION）内配置Microsoft Defender for Endpoint集成设置，以便为 Windows Server 2012R2 和 2016 启用 MDE 统一代理的自动预配。 必须打开 WDATP 设置才能应用此设置。 有关详细信息，请参阅 https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint。 | DeployIfNotExists，已禁用 | 1.0.0 | |
| 在 Microsoft Defender for Cloud（也称为 WDATP）内配置Microsoft Defender for Endpoint集成设置，以Windows通过 MMA 载入 MDE 的下层计算机，并在 Windows Server 2019 上自动预配 MDE，Windows虚拟桌面及更高版本。 必须开启才能使其他设置（WDATP_UNIFIED 等）正常工作。 有关详细信息，请参阅 https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint。 | DeployIfNotExists，已禁用 | 1.0.0 | |
| 配置密钥保管库计划的Microsoft Defender | 密钥保管库 Microsoft Defender通过检测访问或利用key vault帐户的异常和潜在有害尝试，提供额外的保护和安全智能层。 | DeployIfNotExists，已禁用 | 1.1.0 |
| 服务器计划的配置Microsoft Defender | 不断向服务器Defender添加新功能，这可能需要用户的显式启用。 使用此策略可确保将启用所有新功能。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 确保在订阅级别启用服务器子计划（P1 或 P2）的所选Microsoft Defender。 此策略支持通过参数进行动态选择，并强制实施部署（如果尚未配置）。 | DeployIfNotExists，已禁用 | 1.1.0 | |
| 在 Synapse 工作区上启用 SQL 的配置Microsoft Defender | 为Azure Synapse工作区上的 SQL 启用Microsoft Defender，以检测异常活动，指示访问或利用 SQL 数据库的异常和潜在有害尝试。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 要启用存储的配置Microsoft Defender | Microsoft Defender for Storage 是一个 Azure 原生的安全智能功能层，用于检测存储帐户可能面临的潜在威胁。 此策略将启用存储功能的所有Defender;活动监视、恶意软件扫描和敏感数据威胁检测。 若要详细了解存储功能和优势Defender，请访问 aka.ms/DefenderForStorage。 | DeployIfNotExists，已禁用 | 1.5.0 |
| 为 AI 服务配置 Microsoft Defender 威胁防护 | 为 AI Services 的威胁防护不断添加了新功能，这可能需要用户的显式启用。 使用此策略可确保将启用所有新功能。 | DeployIfNotExists，已禁用 | 1.1.0 |
| 配置 SQL 虚拟机以自动安装Azure Monitor代理 | 在 Windows SQL 虚拟机 上自动部署 Azure Monitor 代理扩展。 了解详细信息：https://aka.ms/AMAOverview。 | DeployIfNotExists，已禁用 | 1.6.0 |
| 配置 SQL 虚拟机以自动安装 SQL Microsoft Defender | 配置 Windows SQL 虚拟机以自动安装 SQL 扩展的Microsoft Defender。 SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 | DeployIfNotExists，已禁用 | 1.6.0 |
| 配置 SQL 虚拟机以使用 Log Analytics 工作区自动安装 Microsoft Defender for SQL 和 DCR | SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 在计算机所在的同一区域中创建资源组、数据收集规则和Log Analytics工作区。 | DeployIfNotExists，已禁用 | 1.9.0 |
| 配置 SQL 虚拟机，使用用户定义的 LA 工作区自动安装 SQL 和 DCR Microsoft Defender | SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 在用户定义的Log Analytics工作区所在的同一区域中创建资源组和数据收集规则。 | DeployIfNotExists，已禁用 | 1.10.0 |
| 配置 SQL 虚拟机以自动安装 SQL 扩展Microsoft Defender | 配置 Windows SQL 虚拟机以自动安装 SQL 扩展的Microsoft Defender。 SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 | DeployIfNotExists，已禁用 | 1.0.0 |
| 配置 Microsoft Defender for SQL Log Analytics 工作区 | SQL Microsoft Defender从代理收集事件，并使用这些事件来提供安全警报和定制强化任务（建议）。 在计算机所在的同一区域中创建资源组并Log Analytics工作区。 | DeployIfNotExists，已禁用 | 1.5.0 |
| 创建和分配内置用户分配的托管标识 | 创建内置用户分配的托管标识，并将其大规模分配给 SQL 虚拟机。 | AuditIfNotExists、DeployIfNotExists、Disabled | 1.8.0 |
| Deploy - 为Azure 安全中心警报配置抑制规则 | 通过对管理组或订阅部署抑制规则来取消Azure 安全中心警报，以减少警报疲劳。 | deployIfNotExists | 1.0.0 |
| Deploy 作为受信任的服务导出到事件中心，用于Microsoft Defender for Cloud数据 | 将事件中心作为受信任的Microsoft Defender for Cloud数据服务启用导出。 此策略会在分配的范围上使用所设定的条件和目标事件中心将“导出到事件中心”部署为受信任的服务配置。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | DeployIfNotExists，已禁用 | 1.0.0 |
| Deploy 导出到事件中心以获取Microsoft Defender for Cloud数据 | 启用导出到Microsoft Defender for Cloud数据的事件中心。 此策略会在分配的作用域上使用所设定的条件和目标事件中心来部署“导出到事件中心”配置。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | deployIfNotExists | 4.2.0 |
| Deploy 导出到Microsoft Defender for Cloud数据的Log Analytics工作区 | 启用导出到Microsoft Defender for Cloud数据的Log Analytics工作区。 此策略将导出部署到Log Analytics工作区配置，并在分配的作用域上使用条件和目标工作区。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | deployIfNotExists | 4.1.0 |
| 为 Microsoft Defender for Cloud 警报部署工作流自动化 | 启用Microsoft Defender for Cloud警报自动化。 此策略会在分配的作用域上使用所设定的条件和触发器来部署工作流自动化。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | deployIfNotExists | 5.0.1 |
| 为 Microsoft Defender for Cloud 的建议部署工作流自动化 | 启用Microsoft Defender for Cloud建议的自动化。 此策略会在分配的作用域上使用所设定的条件和触发器来部署工作流自动化。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | deployIfNotExists | 5.0.1 |
| 用于Microsoft Defender for Cloud法规合规性的部署工作流自动化 | 实现Microsoft Defender for Cloud法规合规性的自动化。 此策略会在分配的作用域上使用所设定的条件和触发器来部署工作流自动化。 若要在新建的订阅上部署此策略，请打开“合规性”选项卡，选择相关的不合规分配，并创建修正任务。 | deployIfNotExists | 5.0.1 |
| 应启用高严重性警报的电子邮件通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请在安全中心为高严重性警报启用电子邮件通知。 | AuditIfNotExists、Disabled | 1.2.0 |
| 应启用向订阅所有者发送高严重性警报的电子邮件通知 | 当订阅中存在潜在的安全漏洞时，若要确保订阅所有者收到通知，请在安全中心设置向订阅所有者发送高严重性警报的电子邮件通知。 | AuditIfNotExists、Disabled | 2.1.0 |
| 订阅上启用Microsoft Defender for Cloud | 标识Microsoft Defender for Cloud不监视的现有订阅，并使用Defender for Cloud的免费功能保护这些订阅。 已监视的订阅将被视为合规。 要注册新创建的订阅，请打开“合规性”选项卡，选择相关的不合规分配，然后创建修正任务。 | deployIfNotExists | 1.0.1 |
| 允许安全中心在订阅上自动预配Log Analytics代理，以使用自定义工作区监视和收集安全数据。 | DeployIfNotExists，已禁用 | 1.0.0 | |
| 允许安全中心在订阅上自动预配Log Analytics代理，以使用 ASC 默认工作区监视和收集安全数据。 | DeployIfNotExists，已禁用 | 1.0.0 | |
| 为 AI 工作负载启用威胁防护 | Microsoft AI 工作负载的威胁防护提供上下文化、基于证据的安全警报，旨在保护本土的生成 AI 提供支持的应用程序 | DeployIfNotExists，已禁用 | 1.0.0 |
| 应删除对 Azure 资源拥有所有者权限的来宾帐户 | 为了防止发生未受监视的访问，应从订阅中删除拥有所有者权限的外部帐户。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有读取权限的来宾帐户 | 应从订阅中删除拥有读取特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应删除对 Azure 资源拥有写入权限的来宾帐户 | 应从订阅中删除拥有写入特权的外部帐户，以防发生未受监视的访问。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应在计算机上安装来宾配置扩展 | 若要确保安全配置计算机的来宾内设置，请安装来宾配置扩展。 该扩展监视的来宾内设置包括操作系统的配置、应用程序配置或状态以及环境设置。 安装后，来宾系统内策略将可用，如“应启用 Windows 漏洞防护”。 更多信息请访问 https://aka.ms/gcpol。 | AuditIfNotExists、Disabled | 1.0.3 |
| 面向 Internet 的虚拟机应使用网络安全组进行保护 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范 VM 遭受潜在威胁。 如需详细了解如何使用 NSG 控制流量，请访问 https://aka.ms/nsg-doc | AuditIfNotExists、Disabled | 3.0.0 |
| 应禁用虚拟机上的 IP 转发 | 在虚拟机的 NIC 上启用 IP 转发可让该计算机接收发往其他目标的流量。 极少需要启用 IP 转发（例如，将 VM 用作网络虚拟设备时），因此，此策略应由网络安全团队评审。 | AuditIfNotExists、Disabled | 3.0.0 |
| Kubernetes 服务应升级到不易受攻击的 Kubernetes 版本 | 将 Kubernetes 服务群集升级到更高 Kubernetes 版本，以抵御当前 Kubernetes 版本中的已知漏洞。 Kubernetes 版本 1.11.9+、1.12.7+、1.13.5+ 和 1.14.0+ 中已修补漏洞 CVE-2019-9946 | 审核、已禁用 | 1.0.2 |
| 应在云服务（外延支持）角色实例上安装 Log Analytics 代理 | 安全中心会从云服务（外延支持）角色实例中收集数据，以监视是否存在安全漏洞和威胁。 | AuditIfNotExists、Disabled | 2.0.0 |
| 计算机应已解决机密结果 | 审核虚拟机以检测它们是否包含虚拟机上机密扫描解决方案的机密发现结果。 | AuditIfNotExists、Disabled | 1.0.2 |
| 应通过即时网络访问控制来保护虚拟机的管理端口 | 建议通过 Azure 安全中心监视可能的网络适时 (JIT) 访问 | AuditIfNotExists、Disabled | 3.0.0 |
| 应关闭虚拟机上的管理端口 | 打开远程管理端口会使 VM 暴露在较高级别的 Internet 攻击风险之下。 此类攻击试图暴力破解凭据，来获取对计算机的管理员访问权限。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应启用 Microsoft Defender CSPM | Defender云安全状况管理（CSPM）提供增强的姿态功能和新的智能云安全图，以帮助识别、确定优先级和降低风险。 除了默认在Defender for Cloud中启用的免费基础安全状况功能外，还提供Defender CSPM。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 适用于 AI 服务的 Microsoft Defender | 审核以查看订阅上是否启用了适用于 AI 服务的 Microsoft Defender。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 API 的 Microsoft Defender | MICROSOFT DEFENDER API 带来了新的发现、保护、检测和响应覆盖范围，用于监视常见的基于 API 的攻击和安全配置错误。 | AuditIfNotExists、Disabled | 1.0.3 |
| 应启用Azure Cosmos DB的 Microsoft Defender | Azure Cosmos DB的Microsoft Defender是一个Azure本机安全层，用于检测尝试利用Azure Cosmos DB帐户中的数据库。 Defender，Azure Cosmos DB会根据Microsoft威胁情报、可疑访问模式以及通过泄露的标识或恶意内部人员对数据库的潜在攻击来检测潜在的 SQL 注入、已知不良参与者。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用 Microsoft Defender for Containers | Microsoft Defender for Containers 为 Azure、混合和多云 Kubernetes 环境提供强化、漏洞评估和运行时保护。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应为未受保护的 Synapse 工作区启用 Microsoft Defender for SQL | 启用 Defender for SQL 以保护 Synapse 工作区。 Defender for SQL 监视 Synapse SQL 以检测异常活动，这些活动表明数据库遭到了异常的访问或利用尝试并且可能会造成损害。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应启用存储Microsoft Defender | 存储Microsoft Defender可检测对存储帐户的潜在威胁。 它有助于避免威胁对数据和工作负载产生三个重大影响：恶意文件上传、敏感数据外泄和数据损坏。 存储计划的新Defender包括恶意软件扫描和敏感数据威胁检测。 此计划还提供了可预测的定价结构（按存储帐户），以便更好地控制覆盖范围和成本。 | AuditIfNotExists、Disabled | 1.0.0 |
| 应使用网络安全组来保护非面向 Internet 的虚拟机 | 使用网络安全组 (NSG) 限制对 VM 的访问，以此防范非面向 Internet 的 VM 遭受潜在威胁。 如需详细了解如何使用 NSG 控制流量，请访问 https://aka.ms/nsg-doc | AuditIfNotExists、Disabled | 3.0.0 |
| 应在 Kubernetes 服务中使用基于角色的访问控制 (RBAC) | 若要对用户可以执行的操作提供粒度筛选，请使用基于角色的访问控制 (RBAC) 来管理 Kubernetes 服务群集中的权限并配置相关授权策略。 | 审核、已禁用 | 1.1.0 |
| 应选择安全中心标准定价层 | 标准定价层为网络和虚拟机启用威胁检测，从而在Azure 安全中心中提供威胁情报、异常检测和行为分析 | 审核、已禁用 | 1.1.0 |
| 设置订阅以过渡到备用漏洞评估解决方案 | Microsoft Defender云提供对计算机的漏洞扫描，无需额外付费。 启用此策略将导致Defender for Cloud自动将发现从内置Microsoft Defender漏洞管理解决方案传播到所有受支持的计算机。 | DeployIfNotExists，已禁用 | 1.0.0-preview |
| SQL 数据库应修复已发现的漏洞 | 监视漏洞评估扫描结果，并提供有关如何消除数据库漏洞的建议。 | AuditIfNotExists、Disabled | 4.1.0 |
| 应为机器计划中的 SQL Server 启用针对 SQL Server 的自动预配 | 为了确保 SQL VM 和已启用 Arc 的 SQL Server 受到保护，请确保将针对 SQL 的 Azure 监视代理配置为自动进行部署。 如果你之前配置了 Microsoft 监视代理的自动预配，那么这也是必要的，因为该组件将被弃用。 了解详细信息：https://aka.ms/SQLAMAMigration | AuditIfNotExists、Disabled | 1.0.0 |
| 计算机上的 SQL 服务器应已修复漏洞发现项 | SQL 漏洞评估会扫描数据库中的安全漏洞，并显示与最佳做法之间的任何偏差，例如配置错误、权限过多和敏感数据未受保护。 解决发现的漏洞可以极大地改善数据库安全态势。 | AuditIfNotExists、Disabled | 1.0.0 |
| 子网应与网络安全组关联 | 使用网络安全组 (NSG) 限制对子网的访问，以保护您的子网免受潜在威胁。 NSG 包含一系列访问控制列表 (ACL) 规则，这些规则可以允许或拒绝流向子网的网络流量。 | AuditIfNotExists、Disabled | 3.0.0 |
| 订阅应有一个联系人电子邮件地址，用于接收安全问题通知 | 当某个订阅中存在潜在的安全漏洞时，若要确保组织中的相关人员收到通知，请设置一个安全联系人，以接收来自安全中心的电子邮件通知。 | AuditIfNotExists、Disabled | 1.0.1 |
| 应在计算机上安装系统更新（由更新中心提供技术支持） | 计算机缺少系统、安全和关键更新。 软件更新通常包括安全漏洞的关键补丁。 此类漏洞经常在恶意软件攻击中被利用，因此保持软件更新至关重要。 若要安装所有未完成的修补程序并保护计算机，请遵循修正步骤。 | AuditIfNotExists、Disabled | 1.0.1 |
| 您的订阅应被分配给多位所有者 | 建议指定多个订阅所有者，这样才会有管理员访问冗余。 | AuditIfNotExists、Disabled | 3.0.0 |
| 应使用系统分配的托管标识来部署虚拟机的来宾配置扩展 | 来宾配置扩展需要系统分配的托管标识。 如果安装了来宾配置扩展，但没有系统分配的托管标识，则此策略作用域内的 Azure 虚拟机是不合规的。 有关详细信息，请访问 https://aka.ms/gcpol | AuditIfNotExists、Disabled | 1.0.1 |
后续步骤
本文介绍了Defender for Cloud中的Azure Policy安全策略定义。 若要了解有关计划、策略及其与Defender for Cloud建议的关系的详细信息，请参阅 什么是安全策略、计划和建议？。