Características
Lo que anota el ledger.
Guardrail Ledger sigue la deriva de guardrails de Azure — asignaciones de directivas, exenciones, RBAC y etiquetas — frente a una línea base almacenada. Cada desviación se puede aceptar con un responsable, un aprobador y una fecha de caducidad registrados, para que los auditores vean quién aprobó, no solo qué cambió.
-
Deriva de Azure Policy
Diferencia diaria de asignaciones de políticas y exenciones frente a la última línea base, por suscripción y ámbito.
-
Deriva de RBAC
Los cambios en las asignaciones de roles se comparan a diario para que la deriva de acceso quede visible con el ámbito donde se produjo.
-
Deriva de etiquetas
Los cambios de etiquetas de recursos se rastrean frente a la línea base para que la deriva de etiquetado sea visible junto con la de políticas y RBAC.
-
Mapeo de Defender for Cloud
Las recomendaciones llegan con el nombre del control al que afectan, no con un ID de recomendación sin procesar, además de indicadores de desviación de la zona de aterrizaje.
-
Detección de patrones de exposición
Las IPs públicas, las cuentas de almacenamiento orientadas a Internet y el acceso ampliado a Key Vault se marcan según ISO 27001:2022 A.8.20.
-
Registro de excepciones
Cada desviación aceptada obtiene un propietario, aprobador, fecha de caducidad y motivo registrado: mapeado a CIS Azure Foundations e ISO 27001:2022 A.8.9.
-
Resumen de deriva de ITSM
Las nuevas desviaciones del análisis diario abren tickets en su ITSM para que el enrutamiento y la responsabilidad comiencen en la detección.
-
Paquetes de auditoría mensuales
Las exportaciones firmadas se escriben en Cloudflare R2 con URL de descarga de duración limitada: historial de deriva y registros de aprobación en un solo archivo.
-
Recopiladores de solo lectura
Los recopiladores asistidos leen Azure Policy, exenciones, RBAC y etiquetas. No se escribe nada en su entorno de Azure.
Cómo funciona.
-
Conecte sus suscripciones
La configuración asistida del recopilador concede acceso de lectura a Azure Policy, exenciones, RBAC y etiquetas. No se escribe nada en su entorno.
-
La desviación se detecta y se enruta
Cada análisis compara el estado actual con la última línea base. Las nuevas desviaciones y los hallazgos de Defender se asignan a controles, y el resumen de desviaciones abre tickets de ITSM.
-
Las excepciones y los registros de auditoría llegan
Las desviaciones aceptadas entran en el libro de excepciones con propietario, aprobador y fecha de vencimiento. Al final del mes, un paquete de auditoría firmado está listo para tu auditor.
Empiece a seguir la deriva de los guardrails.
Conecte sus suscripciones de Azure, registre excepciones con aprobadores documentados y entregue a los auditores un paquete mensual firmado.