CIS Benchmarks para Windows Server chegam ao Azure: o que muda na conformidade de ambientes híbridos
TL;DR: O artigo anuncia a chegada dos CIS Benchmarks nativos para Windows Server no Azure Policy e Machine Configuration (preview). A novidade permite auditar e configurar conformidade de segurança em VMs Azure e máquinas Arc-enabled com paridade total aos benchmarks oficiais, suporte a compliance as code e integração com GitOps. A conclusão: empresas brasileiras que operam ambientes híbridos com Windows Server ganham um caminho mais simples e automatizado para atender requisitos de segurança, com início em Windows Server 2025 e planos de auto-remediação futura.
Para clientes com máquinas gerenciadas pelo Azure (Arc-enabled machines e Azure VMs), a Microsoft já havia disponibilizado no ano passado os CIS Benchmarks nativos para Linux. O feedback foi claro: “Excelente, agora façam o mesmo para Windows”. E é exatamente isso que está sendo entregue agora – os CIS Benchmarks para Windows Server estão chegando ao Azure Policy e ao Machine Configuration.
A edição suportada inicialmente é apenas Windows Server 2025. Versões anteriores estão no roadmap.
Fluxo de trabalho familiar
Se você já adotou a nova experiência do catálogo Machine Configuration com os benchmarks CIS para Linux, a adoção no Windows seguirá o mesmo padrão.
Também são consistentes entre Windows e Linux:
- Paridade total com o conteúdo oficial dos CIS Benchmarks – tradução precisa dos formatos CIS para os formatos Machine Configuration.
- Configuração flexível – ajuste de parâmetros, exclusão de configurações.
- Compliance as code – as seleções e customizações dos benchmarks podem ser exportadas como JSON, suportando versionamento, workflows de aprovação e padrões de deployment centrados em arquivo, como GitOps e pipelines de build.
- Atribuição única de política – compatível com Azure VMs e Arc-enabled machines; não é necessário tratar Azure VMs de um jeito e Arc de outro.
- Audit-first – o Public Preview começa em modo audit-only; a remediação e o enforcement virão em seguida.
Especificidades do Windows
Embora a Microsoft busque consistência, também capricha nos detalhes específicos de plataforma. A nova experiência lida automaticamente com nuances de frotas heterogêneas de Windows, como:
- Variação nas configurações recomendadas pelos CIS por versão do SO (quando disponível).
- Variação nas configurações recomendadas por função (domain controller, member server).
- Variação nas APIs de gerenciamento por versão do SO.
O que vem a seguir?
Além do preview atual, a Microsoft está focada em:
- Auto-remediação e enforcement granulares por regra – para aumentar gradualmente a segurança e conformidade em toda a frota, de forma segura.
- Desativação de definições de policy sobrepostas – por exemplo, implementações não mantidas de CIS benchmarks mais antigos serão removidas.
- Adição de cobertura STIG e outras baselines – para que um único plano de controle do Azure gerencie toda a postura de conformidade.
Como começar
- Fique de olho em aka.ms/cis-windows-azure para documentação e recursos.
- No Azure Policy > Authoring > Machine Configuration, procure pelos CIS benchmarks para Windows como opção nativa.
- Interessado no preview de auto-remediação? Acesse o formulário de inscrição: remediation preview sign-up.
Perguntas Frequentes
-
Quais versões do Windows Server são suportadas no preview?
O preview inicial suporta apenas Windows Server 2025. Versões anteriores do Windows Server estão planejadas para futuras releases, conforme a Microsoft. -
O preview já permite correção automática de não conformidades?
Não. O Public Preview começa em modo audit-only. A auto-remediação granular por regra (enforcement) virá em etapa posterior – há um formulário de inscrição para quem quiser participar dessa fase. -
Como a funcionalidade se integra com GitOps?
As seleções e customizações dos benchmarks podem ser exportadas como JSON. Isso permite versionamento, workflows de aprovação e deployments baseados em arquivo, como GitOps e pipelines de build. -
A solução funciona tanto para Azure VMs quanto para máquinas on-premises via Arc?
Sim. A política (policy/assignment) é única e compatível com Azure VMs e máquinas Arc-enabled, eliminando a necessidade de tratar cada tipo separadamente. -
O que acontecerá com implementações antigas de CIS benchmarks no Azure?
A Microsoft planeja retirar definições de policy sobrepostas e desatualizadas (como implementações antigas de CIS benchmarks), consolidando tudo na nova experiência unificada do Machine Configuration.
Artigo originalmente publicado por AmirB em Azure Updates - Latest from Azure Charts.
