Security Center:Onboard aset Azure

Langkah 1: Buat kredensial aplikasi di Azure

Langkah ini membuat aplikasi dan service principal-nya di portal Azure serta menghasilkan client secret untuk autentikasi API. Anda perlu mendapatkan kredensial berikut: Application (client) ID, Directory (tenant) ID, dan Value dari client secret.

1. Buat aplikasi

   1. Login ke Azure console.

   2. Di panel navigasi kiri, pilih All services. Di kategori layanan Identity, klik App registrations, atau cari dan buka App registrations di bilah pencarian atas.

   3. Di halaman App registrations, klik New registration.

   4. Di halaman pendaftaran aplikasi, konfigurasikan parameter berikut lalu klik Register.

      • Name: Masukkan nama yang mudah dikenali, misalnya aliyun-sasc-connector, agar lebih mudah dicari dan dikelola nanti.

        Penting

        Nama ini akan muncul sebagai nama anggota pada langkah penugasan peran selanjutnya.

      • Supported account types: Konfigurasikan cakupan akun yang dapat mengakses aplikasi ini sesuai kebutuhan izin Anda.

   5. Setelah aplikasi dibuat, halaman ikhtisar akan menampilkan informasi aplikasi. Salin dan simpan Application (client) ID dan Directory (tenant) ID. Anda akan menggunakannya pada langkah-langkah berikutnya.

2. Buat rahasia Klien

   1. Di halaman detail aplikasi yang dibuat pada Langkah 1, klik Manage di panel navigasi kiri, lalu klik Certificates & secrets.

   2. Di tab Client secrets, klik + New client secret dan konfigurasikan parameter berikut.

      • Description: Masukkan deskripsi untuk client secret ini.

      • Expires: Periode validitas client secret. Kami menyarankan Anda mengaturnya menjadi 180 hari.

        Penting

        Buat rencana rotasi kredensial dan perbarui secret sebelum masa berlakunya habis untuk menghindari gangguan layanan akibat kedaluwarsa kredensial.

   3. Setelah Anda mengklik Add, Value dari client secret akan ditampilkan.

      Peringatan

      Value dari client secret hanya terlihat sekali saat pembuatan. Setelah Anda meninggalkan halaman ini, Anda tidak dapat melihatnya lagi. Segera salin dan simpan sebelum melanjutkan.

Langkah 2: Berikan akses langganan kepada kredensial aplikasi

Untuk memastikan Security Center dapat membaca informasi aset, Anda harus memberikan izin read-only terhadap langganan Azure kepada aplikasi yang dibuat pada langkah sebelumnya.

1. Buka halaman Role assignment.

   1. Login ke Azure console.

   2. Di panel navigasi kiri, pilih All services. Di kategori layanan General, klik Subscriptions, atau cari dan buka Subscriptions di bilah pencarian atas.

   3. Klik nama langganan target untuk membuka halaman detail langganan. Di halaman detail tersebut, klik Access control (IAM).

      Catatan

      Jika Anda belum mengaktifkan langganan, buat terlebih dahulu dan pilih layanan yang diperlukan.

   4. Di halaman Access control (IAM), klik Add di pojok kiri atas dan pilih Add role assignment.

2. Tugaskan peran: Di halaman penugasan peran, pilih peran yang sesuai dan klik Next.

   Fitur	Peran	Catatan
   Host	Reader	None
   CSPM (CSPM)	Reader	None
   Agentic SOC	Reader Custom role: Memerlukan izin Microsoft.Network. Untuk langkah pembuatannya, lihat Konfigurasi lanjutan Azure (Agentic SOC).	Untuk mengaktifkan respons ancaman otomatis (misalnya, integrasi dengan Azure Firewall melalui Response Rules), Anda harus memberikan izin tambahan Microsoft.Network. Untuk informasi lebih lanjut, lihat Komponen cloud pihak ketiga (OpenAPI). Penting Anda harus menyelesaikan penugasan untuk setiap peran secara terpisah. Azure hanya mengizinkan satu penugasan peran dalam satu waktu.
   Agentless Detection	Reader Disk Snapshot Contributor	None

   Di halaman Access control (IAM) di portal Azure, klik Add role assignment, pilih peran yang tercantum dalam tabel di atas, lalu selesaikan penugasan.

3. Tambahkan anggota: Buka halaman manajemen Members, klik Select members, lalu pilih aplikasi yang dibuat pada Langkah 1.

   Catatan

   Anda dapat dengan cepat mencari dan menemukan aplikasi target berdasarkan nama aplikasi.

   Untuk peran Reader yang dipilih, berikan akses kepada User, group, or service principal.

4. Setelah mengonfirmasi anggota, klik Review + assign di pojok kiri bawah untuk menyelesaikan otorisasi.

   Catatan

   Otorisasi mungkin memerlukan waktu. Harap tunggu.

Langkah 3: Selesaikan konfigurasi onboarding di Security Center

1. Buka halaman otorisasi

   1. Jalur yang direkomendasikan:

      1. Login keSecurity Center console.

      2. Di panel navigasi kiri, pilihSystem Settings > Feature Settings. Di pojok kiri atas konsol, pilih wilayah tempat aset yang akan dilindungi berada:Chinese MainlandatauOutside Chinese Mainland.

      3. Di tabMulti-cloud Configuration Management > Multi-cloud Assets, klik Grant Permission, lalu pilih Azure.

   2. Jalur alternatif:

      Di halaman-halaman berikut, pada bagian Multi-cloud Service Access atau Add Multi-cloud Asset, temukan dan klik tombol Onboard atau Authorize di bawah ikon :

      • Assets > Host

      • Risk Governance > CSPM > Cloud Service Configuration Risk

      • Protection Configuration > Host Protection > Agentless Detection

2. Konfigurasikan kredensial akses

   1. Di panel Add Assets Outside Cloud, pilih fitur yang akan di-onboard lalu klik Next.

      • Host: Memungkinkan Security Center untuk secara otomatis menemukan dan menyinkronkan aset host Azure.

      • CSPM: Gunakan Cloud Security Posture Management untuk memindai konfigurasi produk cloud Azure guna menemukan dan mengelola risiko konfigurasi.

      • Agentic SOC: Bekerja sama dengan fitur orkestrasi Response Rules Script untuk mengotomatiskan penanganan ancaman event keamanan. Untuk informasi lebih lanjut, lihat Komponen cloud pihak ketiga (OpenAPI).

      • Host Protection Agentless Detection: Mendeteksi risiko keamanan pada mesin virtual Azure, termasuk kerentanan, risiko garis dasar, dan file berbahaya, tanpa menginstal klien dengan menggunakan pemindaian snapshot.

   2. Di halaman Submit AccessKey Pair, masukkan informasi kredensial yang telah Anda buat sebelumnya.

      • Enter an AppID: Masukkan Application (client) ID yang diperoleh dari pendaftaran aplikasi Azure.

      • Enter a password: Masukkan client secret yang diperoleh dari pendaftaran aplikasi Azure.

      • tenant: Masukkan Directory (tenant) ID yang diperoleh dari pendaftaran aplikasi Azure.

      • Domain (Select Chinese Edition for China and International Edition for others): Untuk pengguna 21Vianet, pilih Chinese Edition.

3. Konfigurasikan kebijakan sinkronisasi

   Di halaman Policy Configuration, konfigurasikan pengaturan sesuai kebutuhan manajemen Anda:

   • Select region: Pilih wilayah tempat aset Azure yang akan di-onboard berada.

     Catatan

     Data aset secara otomatis disimpan di pusat data yang sesuai dengan wilayah yang dipilih di pojok kiri atas konsol Security Center.

     • Chinese Mainland: Pusat data di Tiongkok daratan.

     • Outside Chinese Mainland: Pusat data di Singapura (Singapura).

   • Region Management: Kami menyarankan Anda memilih opsi ini. Setelah memilih opsi ini, aset di wilayah baru yang ditambahkan ke akun Azure ini di masa depan akan secara otomatis disinkronkan tanpa perlu konfigurasi manual.

   • Host Asset Synchronization Frequency: Atur interval untuk menyinkronkan aset host Azure secara otomatis. Jika Anda tidak memerlukan sinkronisasi, Anda dapat mengaturnya ke Off.

     Catatan

     Parameter ini hanya diperlukan jika fitur yang di-onboard mencakup Host.

   • Cloud Service Synchronization Frequency: Atur interval untuk menyinkronkan konfigurasi produk cloud Azure secara otomatis. Jika Anda tidak memerlukan sinkronisasi, Anda dapat mengaturnya ke Off.

     Catatan

     Parameter ini hanya diperlukan jika fitur yang di-onboard mencakup Cloud Security Posture Management.

   • AK Service Status Check: Atur interval bagi Security Center untuk secara otomatis memeriksa validitas kredensial akun Azure. Anda dapat memilih Off untuk menonaktifkan pemeriksaan ini.

4. Setelah konfigurasi selesai, klik Synchronize Assets. Sistem akan secara otomatis menyinkronkan data dari akun Azure ke Security Center.

Langkah 4: Verifikasi bahwa aset Azure telah di-onboard

Setelah menyelesaikan konfigurasi onboarding, verifikasi bahwa aset Azure muncul di Security Center:

1. Tunggu hingga sinkronisasi data awal selesai. Proses ini mungkin memerlukan beberapa menit.

2. Buka Assets > Host dan filter berdasarkan Azure untuk memastikan aset host Azure muncul.

3. Jika Anda meng-onboard CSPM, buka Risk Governance > CSPM > Cloud Service Configuration Risk dan filter berdasarkan Azure untuk memastikan sumber daya cloud Azure muncul.

Host

Buka halaman Assets > Host. Di bagian Add Multi-cloud Asset, klik ikon untuk melihat host Azure yang telah di-onboard. Anda dapat mengikuti langkah-langkah berikut untuk menerapkan perlindungan dan manajemen mendalam pada host yang telah di-onboard.

1. Instal agent: Instal agent Security Center pada host Azure. Saat menjalankan perintah instalasi, pilih Azure untuk Service Provider. Untuk langkah-langkah detailnya, lihat Instal agent.

2. Tingkatkan untuk mendapatkan perlindungan lengkap: Edisi Free default hanya menyediakan deteksi keamanan dasar. Untuk mendapatkan kemampuan perlindungan keamanan lengkap (seperti anti-virus, perbaikan kerentanan, dan pencegahan intrusi), ikat edisi berbayar (Anti-virus atau lebih tinggi) ke host Azure. Untuk langkah-langkah detailnya, lihat Kelola kuota keamanan host dan kontainer.

CSPM

Buka halaman Assets > Overview > Cloud Product. Di panel navigasi kiri All Alibaba Cloud Services, klik Azure untuk melihat aset Azure yang telah di-onboard. Untuk aset Azure yang telah di-onboard, Anda dapat menggunakan fitur CSPM berikut:

1. Jalankan pemeriksaan risiko konfigurasi: Periksa risiko konfigurasi pada produk Azure. Untuk langkah-langkah detailnya, lihat Siapkan dan jalankan kebijakan pemeriksaan risiko konfigurasi platform cloud.

2. Tangani item risiko: Lihat dan perbaiki item pemeriksaan risiko yang gagal berdasarkan hasil pemeriksaan untuk meningkatkan kepatuhan dan keamanan aset cloud. Untuk langkah-langkah detailnya, lihat Lihat dan tangani pemeriksaan risiko konfigurasi platform cloud yang gagal.

Agentic SOC

Buka Agentic SOC > Response Rules. Saat membuat playbook kustom, Anda dapat memilih komponen Azure dari Komponen cloud pihak ketiga (OpenAPI) untuk mengotomatiskan penanganan event keamanan aset Azure yang terdeteksi.

Host Protection Agentless Detection

Buka Protection Configuration > Host Protection > Agentless Detection. Di tab Server Check, Server Check, atau Custom Image Check, di bagian Add Multi-cloud Asset, klik ikon untuk melihat item risiko yang telah dipindai. Operasi berikut tersedia:

1. Jalankan tugas deteksi: Lakukan deteksi keamanan multidimensi pada server Azure untuk kerentanan, perangkat lunak berbahaya, garis dasar konfigurasi, file sensitif, dan dimensi keamanan lainnya guna menemukan potensi risiko keamanan.

2. Analisis dan tangani risiko:

   1. Risiko kerentanan: Mendukung Add to Whitelist.

      Peringatan

      Deteksi tanpa agen tidak mendukung perbaikan kerentanan.

   2. Risiko pemeriksaan garis dasar: Mendukung Add to Whitelist.

   3. Risiko sampel berbahaya dan risiko file sensitif: Mendukung Add to Whitelist, Manually Handled, Mark as False Positive, dan Ignore.