تنفيذ توافق TIC 3.0

Azure Firewall

Azure Application Gateway

Azure Front Door

Azure Log Analytics

Azure Event Hubs

توضح هذه المقالة كيفية تحقيق التوافق الموثوق به الاتصال الإنترنت (TIC) 3.0 لتطبيقات وخدمات Azure التي تواجه الإنترنت. ويوفر حلولا وموارد لمساعدة المؤسسات الحكومية على تلبية توافق TIC 3.0. كما يصف كيفية نشر الأصول المطلوبة وكيفية دمج الحلول في الأنظمة الحالية.

إشعار

توفر Microsoft هذه المعلومات إلى الإدارات والوكالات التابعة للفرع التنفيذي المدني الاتحادي (FCEB) كجزء من التكوين المقترح لتسهيل المشاركة في إمكانية مستودع تجميع سجل السحابة (CLAW) في وكالة الأمن السيبراني وأمن البنية التحتية (CISA). تحتفظ Microsoft بالتكوينات المقترحة وتخضع للتغيير.

بناء الأنظمة

قم بتنزيل ملف Visio لهذه البنية.

تدفق البيانات

جدار حمايه
- يمكن أن يكون جدار الحماية أي جدار حماية من الطبقة 3 أو الطبقة 7.
  - جدار حماية Azure وبعض جدران الحماية التابعة لجهات خارجية، والمعروفة أيضا باسم الأجهزة الظاهرية للشبكة (NVAs)، هي جدران حماية من الطبقة 3.
  - بوابة تطبيق Azure مع جدار حماية تطبيق الويب (WAF) وAzure Front Door مع WAF هي جدران حماية من الطبقة 7.
  - توفر هذه المقالة حلول توزيع لجدار حماية Azure وبوابة التطبيق مع WAF وAzure Front Door مع عمليات توزيع WAF.
- يفرض جدار الحماية النُهج ويجمع القياسات ويسجل عمليات الاتصال بين خدمات الويب والمستخدمين والخدمات التي تصل إلى خدمات الويب.
سجلات جدار الحماية
- يرسل جدار حماية Azure وبوابة التطبيق مع WAF وAzure Front Door مع WAF سجلات إلى مساحة عمل Log Analytics.
- ترسل جدران الحماية التابعة لجهات خارجية سجلات بتنسيق Syslog إلى مساحة عمل Log Analytics عبر جهاز ظاهري لمعيد توجيه Syslog.
مساحة عمل Log Analytics
- مساحة عمل Log Analytics هي مستودع للسجلات.
- يمكنه استضافة خدمة توفر تحليلاً مخصصاً لبيانات نسبة استخدام الشبكة من جدار الحماية.
كيان الخدمة (التطبيق المسجل)
Azure Event Hubs Standard
سيسا تالون

المكونات

جدار الحماية. ستستخدم بنيتك جدار حماية واحدا أو أكثر من جدران الحماية التالية. (لمزيد من المعلومات، راجع قسم البدائل من هذه المقالة.)
- Azure Firewall هي خدمة أمان جدار حماية شبكة ذكية أصلية على السحابة توفر حماية محسنة من التهديدات لأحمال العمل السحابية التي تعمل على Azure. تتسم هذه الخدمة بأنها جدار حماية ذي حالة خاصة بالكامل ذي قابلية وصول عالية مضمنة وقابلية توسع سحابة غير مقيدة. وهي متوفرة في مستويين من الأداء: Standard وPremium. يتضمن Azure Firewall Premium جميع وظائف Azure Firewall Standard ويوفر ميزات إضافية مثل فحص أمان طبقة النقل (TLS) ونظام الكشف عن التسلل والوقاية (IDPS).
- بوابة التطبيق مع WAF هي موازن تحميل حركة مرور الويب الإقليمية التي تمكنك من إدارة نسبة استخدام الشبكة إلى تطبيقات الويب الخاصة بك. يوفر WAF حماية مركزية محسنة لتطبيقات الويب الخاصة بك من عمليات الاستغلال والثغرات الأمنية الشائعة.
- Azure Front Door مع WAF هو موازن تحميل نسبة استخدام شبكة الويب العالمية التي تمكنك من إدارة نسبة استخدام الشبكة إلى تطبيقات الويب الخاصة بك. يوفر إمكانات شبكة تسليم المحتوى (CDN) لتسريع وتحديث تطبيقاتك. يوفر WAF حماية مركزية محسنة لتطبيقات الويب الخاصة بك من عمليات الاستغلال والثغرات الأمنية الشائعة.
- جدار الحماية التابع لجهة خارجية هو NVA يعمل على جهاز ظاهري Azure ويستخدم خدمات جدار الحماية من موردين غير تابعين ل Microsoft. تدعم Microsoft نظام بيئي كبير من موردي الجهات الخارجية الذين يقدمون خدمات جدار الحماية.
التسجيل والمصادقة.
- Log Analytics هي أداة متوفرة في مدخل Microsoft Azure يمكنك استخدامها لتحرير استعلامات السجل وتشغيلها مقابل سجلات Azure Monitor. لمزيد من المعلومات، راجع نظرة عامة على Log Analytics في Azure Monitor.
- يعد Azure Monitor حلاً شاملاً للتجميع والتحليل والعمل على القياس عن بعد.
- يوفر معرف Microsoft Entra خدمات الهوية وتسجيل الدخول الأحادي والمصادقة متعددة العوامل عبر أحمال عمل Azure.
- كيان الخدمة (التطبيق المسجل) هو كيان يحدد نهج الوصول والأذونات لمستخدم أو تطبيق في مستأجر Microsoft Entra.
- Event Hubs Standard هو نظام أساسي حديث لتدفق البيانات الضخمة وخدمة استيعاب الأحداث.
- CISA TALON هي خدمة تديرها CISA تعمل على Azure. يتصل TALON بخدمة Event Hubs الخاصة بك، ويصادق باستخدام شهادة توفرها CISA مرتبطة بكيان الخدمة الخاص بك، ويجمع سجلات لاستهلاك CLAW.

البدائل

هناك بعض البدائل التي يمكنك استخدامها في هذه الحلول:

يمكنك فصل جمع السجلات في مناطق المسؤولية. على سبيل المثال، يمكنك إرسال سجلات Microsoft Entra إلى مساحة عمل Log Analytics التي يديرها فريق الهوية، وإرسال سجلات الشبكة إلى مساحة عمل Log Analytics مختلفة يديرها فريق الشبكة.
تستخدم الأمثلة في هذه المقالة جدار حماية واحدا، ولكن تتطلب بعض المتطلبات التنظيمية أو البنيات اثنين أو أكثر. على سبيل المثال، يمكن أن تتضمن البنية مثيل جدار حماية Azure ومثيل Application Gateway مع WAF. يجب جمع سجلات كل جدار حماية وإتاحتها لتجميع CISA TALON.
إذا كانت بيئتك تتطلب خروج الإنترنت من الأجهزة الظاهرية المستندة إلى Azure، يمكنك استخدام حل الطبقة 3 مثل جدار حماية Azure أو جدار حماية تابع لجهة خارجية لمراقبة وتسجيل نسبة استخدام الشبكة الصادرة.

تفاصيل السيناريو

ينقل TIC 3.0 TIC من جمع البيانات المحلية إلى نهج قائم على السحابة يدعم التطبيقات والأنظمة الحديثة بشكل أفضل. إنه يحسن الأداء لأنه يمكنك الوصول مباشرة إلى تطبيقات Azure. باستخدام TIC 2.x، تحتاج إلى الوصول إلى تطبيقات Azure عبر جهاز TIC 2.x Managed Trusted Internet Protocol Service (MTIPS)، مما يؤدي إلى إبطاء الاستجابة.

توجيه حركة مرور التطبيق من خلال جدار حماية وتسجيل أن نسبة استخدام الشبكة هي الوظيفة الأساسية الموضحة في الحلول المعروضة هنا. يمكن أن يكون جدار الحماية Azure Firewall أو Azure Front Door مع WAF أو Application Gateway مع WAF أو NVA لجهة خارجية. يساعد جدار الحماية على تأمين محيط السحابة ويحفظ سجلات كل معاملة. بشكل مستقل عن طبقة جدار الحماية، يتطلب حل جمع السجل وتسليمه مساحة عمل Log Analytics وتطبيقا مسجلا ومركز أحداث. ترسل مساحة عمل Log Analytics سجلات إلى مركز الأحداث.

CLAW هي خدمة مدارة من CISA. في أواخر عام 2022، أصدرت CISA TALON. TALON هي خدمة مدارة من CISA تستخدم قدرات Azure الأصلية. يتم تشغيل مثيل TALON في كل منطقة Azure. يتصل TALON بمراكز الأحداث التي تديرها الوكالات الحكومية لسحب جدار حماية الوكالة وسجلات Microsoft Entra في CISA CLAW.

لمزيد من المعلومات حول CLAW وTIC 3.0 وMTIPS، راجع:

حالات الاستخدام المحتملة

تستخدم حلول التوافق TIC 3.0 عادة من قبل المنظمات الفيدرالية والوكالات الحكومية لتطبيقات الويب وخدمات واجهة برمجة التطبيقات المستندة إلى Azure.

الاعتبارات

تطبق هذه الاعتبارات ركائز إطار العمل جيد التصميم في Azure، وهي مجموعة من المبادئ التوجيهية التي يمكنك استخدامها لتحسين جودة حمل العمل. لمزيد من المعلومات، يرجى مراجعةMicrosoft Azure Well-Architected Framework.

قم بتقييم بنيتك الحالية لتحديد أي من الحلول المقدمة هنا يوفر أفضل نهج لتوافق TIC 3.0.
اتصل بممثل CISA لطلب الوصول إلى CLAW.
استخدم أزرار Deploy to Azure في هذه المقالة لنشر حل واحد أو أكثر في بيئة اختبار. من المفترض أن يساعدك القيام بذلك على التعرف على العملية والموارد المنشورة.
راجع توافق TIC 3.0 للتطبيقات التي تواجه الإنترنت، وهي مقالة تكميلية توفر المزيد من التفاصيل والأصول ل TIC 3.0:
- معلومات إضافية حول تحقيق التوافق.
- قوالب ARM لتبسيط التوزيع.
- معلومات للمساعدة في دمج الموارد الموجودة في الحل.
- أنواع السجلات التي تم جمعها لكل طبقة خدمة واستعلامات Kusto لمراجعة السجلات التي تم جمعها بواسطة CISA. يمكنك استخدام الاستعلامات لمتطلبات الأمان الخاصة بمؤسستك.

الموثوقيه

تضمن الموثوقية أن التطبيق الخاص بك يمكن أن يفي بالالتزامات التي تتعهد بها لعملائك. لمزيد من المعلومات، يرجى مراجعة نظرة عامة على ركيزة الموثوقية.

يتكامل Azure Firewall Standard وPremium مع مناطق التوفر لزيادة التوفر.
يدعم Application Gateway v2 مناطق التحجيم التلقائي والتوفر لزيادة الموثوقية.
يمكن أن تؤدي عمليات التنفيذ متعددة المناطق التي تتضمن خدمات موازنة التحميل مثل Azure Front Door إلى تحسين الموثوقية والمرونة.
توفر مراكز الأحداث القياسية والمميزة إقران التعافي من الكوارث الجغرافية التي تمكن مساحة الاسم من تجاوز الفشل إلى منطقة ثانوية.

الأمان

ويوفر عامل الأمان ضمانات للحماية من الهجمات المتعمدة واستغلال البيانات والأنظمة القيمة الخاصة بك. للمزيد من المعلومات، يرجى الرجوع إلى نظرة عامة على ركيزة الأمان.

عند تسجيل تطبيق مؤسسة، يتم إنشاء كيان خدمة. استخدم نظام تسمية لكيانات الخدمة التي تشير إلى الغرض من كل منها.
قم بإجراء عمليات تدقيق لتحديد نشاط مديري الخدمة وحالة مالكي الخدمة الرئيسيين.
يحتوي Azure Firewall على نُهج قياسية. قامت WAFs المقترنة ب Application Gateway وAzure Front Door بإدارة مجموعات القواعد للمساعدة في تأمين خدمة الويب الخاصة بك. ابدأ بمجموعات القواعد هذه وأنشئ سياسات تنظيمية بمرور الوقت استنادا إلى متطلبات الصناعة وأفضل الممارسات واللوائح الحكومية.
يتم تخويل الوصول إلى مراكز الأحداث عبر الهويات المدارة من Microsoft Entra وشهادة مقدمة من CISA.

تحسين التكلفة

يتعلق تحسين التكلفة بخفض النفقات غير الضرورية وتحسين الكفاءة التشغيلية. لمزيد من المعلومات، راجع نظرة عامة على ركيزة تحسين التكلفة.

تتراجع تكلفة كل حل مع زيادة الموارد. يستند التسعير في سيناريو مثال حاسبة تسعير Azure هذا إلى حل Azure Firewall. إذا قمت بتغيير التكوين، فقد تزيد التكاليف. في بعض الخطط، تزداد التكاليف مع زيادة عدد السجلات المستوعبة.

إشعار

استخدم حاسبة تسعير Azure للحصول على أسعار محدثة تستند إلى الموارد التي يتم نشرها للحل المحدد.

التميز التشغيلي

يغطي التميز التشغيلي عمليات التشغيل التي تحافظ على تشغيل التطبيق في الإنتاج. لمزيد من المعلومات، يرجى مراجعةنظرة عامة على ركيزة التميز التشغيلي.

يتم تضمين تنبيهات Azure Monitor في الحلول لإعلامك عند فشل التحميل في تسليم السجلات إلى CLAW. تحتاج إلى تحديد خطورة التنبيهات وكيفية الاستجابة.
يمكنك استخدام قوالب ARM لتسريع نشر بنيات TIC 3.0 للتطبيقات الجديدة.

كفاءة الأداء

كفاءة الأداء هي قدرة حمل عملك على تغيير الحجم لتلبية المطالب التي يضعها المستخدمون عليها بطريقة فعالة. لمزيد من المعلومات، يرجى مراجعةأنماط كفاءة الأداء.

يتدرج أداء Azure Firewall وApplication Gateway وAzure Front Door ومراكز الأحداث مع زيادة الاستخدام.
يسمح Azure Firewall Premium باتصالات TCP أكثر من Standard ويوفر نطاقا تردديا متزايدا.
يضمن Application Gateway v2 تلقائيا انتشار المثيلات الجديدة عبر مجالات الخطأ وتحديث المجالات.
يوفر Azure Front Door التخزين المؤقت والضغط وتسريع حركة المرور وإنهاء TLS لتحسين الأداء.
يوفر Event Hubs Standard وPremium تضخيما تلقائيا لتوسيع نطاقه مع زيادة التحميل.

توزيع حل Azure Firewall

يستخدم الحل التالي Azure Firewall لإدارة نسبة استخدام الشبكة التي تدخل بيئة تطبيق Azure. يتضمن الحل جميع الموارد لإنشاء السجلات وجمعها وتسليمها إلى CLAW. كما يتضمن خدمة تطبيق لتتبع أنواع بيانات تتبع الاستخدام التي جمعها جدار الحماية.

الحل يشمل:

شبكة ظاهرية تحتوي على شبكات فرعية منفصلة لجدار الحماية والخوادم.
مساحة عمل Log Analytics.
Azure Firewall مع نهج الشبكة للوصول إلى الإنترنت.
إعدادات تشخيص Azure Firewall التي ترسل السجلات إلى مساحة عمل Log Analytics.
جدول توجيه مقترن بمجموعة موارد التطبيق لتوجيه خدمة التطبيق إلى جدار الحماية للسجلات التي تنشئها.
تطبيق مسجل.
مركز أحداث.
قاعدة تنبيه ترسل بريداً إلكترونياً في حالة فشل إحدى الوظائف.

من أجل البساطة، يتم توزيع جميع الموارد إلى اشتراك واحد وشبكة ظاهرية. يمكنك نشر الموارد في أي مجموعة من مجموعات الموارد أو عبر شبكات ظاهرية متعددة.

مهام ما بعد التوزيع

بعد التوزيع، تنفذ بيئتك قدرات جدار الحماية واتصالات التسجيل. لتلبية التوافق مع نهج TIC 3.0 لجمع بيانات تتبع الاستخدام للشبكة، تحتاج إلى التأكد من أن السجلات تجعلها إلى CISA CLAW. تنتهي خطوات ما بعد التوزيع من المهام لتمكين التوافق. لإكمال هذه الخطوات، تحتاج إلى التنسيق مع CISA لأن CISA تحتاج إلى توفير شهادة لإقرانها بكيان الخدمة. للحصول على تفاصيل خطوة بخطوة، راجع مهام ما بعد التوزيع.

تحتاج إلى تنفيذ المهام التالية يدويا بعد التوزيع. لا يمكنك إكمالها باستخدام قالب ARM.

الحصول على شهادة مفتاح عام من CISA.
إنشاء كيان خدمة (تسجيل التطبيق).
أضف شهادة المفتاح العام إلى تسجيل التطبيق.
تعيين التطبيق دور متلقي بيانات مراكز الأحداث في نطاق مساحة اسم مراكز الأحداث.
قم بتنشيط الموجز عن طريق إرسال معرف مستأجر Azure ومعرف التطبيق (العميل) واسم مساحة اسم مركز الأحداث واسم مركز الحدث واسم مجموعة المستهلكين إلى CISA.

نشر حل يستخدم Application Gateway مع WAF

يستخدم الحل التالي Application Gateway مع WAF لإدارة نسبة استخدام الشبكة التي تدخل بيئة تطبيق Azure. يتضمن الحل جميع الموارد لإنشاء السجلات وجمعها وتسليمها إلى CLAW. كما يتضمن خدمة تطبيق لتتبع أنواع بيانات تتبع الاستخدام التي جمعها جدار الحماية.

الحل يشمل:

شبكة ظاهرية تحتوي على شبكات فرعية منفصلة لجدار الحماية والخوادم.
مساحة عمل Log Analytics.
مثيل Application Gateway v2 مع WAF. تم تكوين WAF باستخدام نهج الروبوت ونهج Microsoft المدارة.
إعدادات تشخيص Application Gateway v2 التي ترسل سجلات إلى مساحة عمل Log Analytics.
تطبيق مسجل.
مركز أحداث.
قاعدة تنبيه ترسل بريداً إلكترونياً في حالة فشل إحدى الوظائف.

مهام ما بعد التوزيع

تحتاج إلى تنفيذ المهام التالية يدويا بعد التوزيع. لا يمكنك إكمالها باستخدام قالب ARM.

الحصول على شهادة مفتاح عام من CISA.
إنشاء كيان خدمة (تسجيل التطبيق).
أضف شهادة المفتاح العام إلى تسجيل التطبيق.
تعيين التطبيق دور متلقي بيانات مراكز الأحداث في نطاق مساحة اسم مراكز الأحداث.
قم بتنشيط الموجز عن طريق إرسال معرف مستأجر Azure ومعرف التطبيق (العميل) واسم مساحة اسم مركز الأحداث واسم مركز الحدث واسم مجموعة المستهلكين إلى CISA.

نشر حل يستخدم Azure Front Door مع WAF

يستخدم الحل التالي Azure Front Door مع WAF لإدارة نسبة استخدام الشبكة التي تدخل بيئة تطبيق Azure. يتضمن الحل جميع الموارد لإنشاء السجلات وجمعها وتسليمها إلى CLAW. كما يتضمن خدمة تطبيق لتتبع أنواع بيانات تتبع الاستخدام التي جمعها جدار الحماية.

الحل يشمل:

شبكة ظاهرية تحتوي على شبكات فرعية منفصلة لجدار الحماية والخوادم.
مساحة عمل Log Analytics.
مثيل Azure Front Door مع WAF. تم تكوين WAF باستخدام نهج الروبوت ونهج Microsoft المدارة.
إعدادات تشخيص Azure Front Door التي ترسل سجلات إلى مساحة عمل Log Analytics.
تطبيق مسجل.
مركز أحداث.
قاعدة تنبيه ترسل بريداً إلكترونياً في حالة فشل إحدى الوظائف.

مهام ما بعد التوزيع

تحتاج إلى تنفيذ المهام التالية يدويا بعد التوزيع. لا يمكنك إكمالها باستخدام قالب ARM.

الحصول على شهادة مفتاح عام من CISA.
إنشاء كيان خدمة (تسجيل التطبيق).
أضف شهادة المفتاح العام إلى تسجيل التطبيق.
تعيين التطبيق دور متلقي بيانات مراكز الأحداث في نطاق مساحة اسم مراكز الأحداث.
قم بتنشيط الموجز عن طريق إرسال معرف مستأجر Azure ومعرف التطبيق (العميل) واسم مساحة اسم مركز الأحداث واسم مركز الحدث واسم مجموعة المستهلكين إلى CISA.

حل جدار الحماية (NVA) التابع لجهة خارجية

إشعار

لا يتم توفير موارد النشر لهذا الحل. يتم تضمينه فقط لتوفير الإرشادات.

يوضح الحل التالي كيفية استخدام جدار حماية تابع لجهة خارجية لإدارة نسبة استخدام الشبكة التي تدخل بيئة تطبيق Azure وتنفيذ توافق TIC 3.0. تتطلب جدران الحماية التابعة لجهات خارجية استخدام جهاز ظاهري لمحول Syslog. يجب تسجيل وكلائها في مساحة عمل Log Analytics. تم تكوين جدار الحماية التابع لجهة خارجية لتصدير سجلاته بتنسيق Syslog إلى الجهاز الظاهري لإعادة توجيه Syslog. تم تكوين العامل لإرسال سجلاته إلى مساحة عمل Log Analytics. بعد أن تكون السجلات في مساحة عمل Log Analytics، يتم إرسالها إلى مراكز الأحداث ومعالجتها كما هي في الحلول الأخرى الموضحة في هذه المقالة.

مهام ما بعد التوزيع

تحتاج إلى تنفيذ المهام التالية يدويا بعد التوزيع. لا يمكنك إكمالها باستخدام قالب ARM.

الحصول على شهادة مفتاح عام من CISA.
إنشاء كيان خدمة (تسجيل التطبيق).
أضف شهادة المفتاح العام إلى تسجيل التطبيق.
تعيين التطبيق دور متلقي بيانات مراكز الأحداث في نطاق مساحة اسم مراكز الأحداث.
قم بتنشيط الموجز عن طريق إرسال معرف مستأجر Azure ومعرف التطبيق (العميل) واسم مساحة اسم مركز الأحداث واسم مركز الحدث واسم مجموعة المستهلكين إلى CISA.

المساهمون

تحتفظ Microsoft بهذه المقالة. وهي مكتوبة في الأصل من قبل المساهمين التاليين.

الكاتب الرئيسي:

بول ليزر | مهندس حلول سحابي أول

المساهم الآخر:

مايكل ألبرتس | كاتب تقني

لمشاهدة ملفات تعريف LinkedIn غير العامة، سجل الدخول إلى LinkedIn.

مشاركة عبر

تنفيذ توافق TIC 3.0