Ochrana před malwarem pro regulovaný cluster AKS pro PCI DSS 4.0.1

Tento článek popisuje aspekty ochrany před malwarem pro cluster Azure Kubernetes Service (AKS), který je nakonfigurovaný v souladu se standardem PCI DSS 4.0.1 (Payment Card Industry Data Security Standard).

Tento článek je součástí série. Přečtěte si úvod.

Stejně jako jakékoli cloudové řešení podléhá úloha PCI síťové hrozby, identitě a datovým hrozbám. PCI DSS 4.0.1 rozšiřuje požadavky na ochranu před malwarem a správu ohrožení zabezpečení, zejména v cloudových a kontejnerových prostředích. Včas detekovat hrozby a reagovat na jejich zmírnění. Vytvořte kritická upozornění pro aktivity úloh a tyto výstrahy můžete rozšířit na základní systémové procesy. Antivirová ochrana, antimalwarové nástroje a nástroje pro monitorování integrity souborů (FIM) musí být vždy spuštěné. Mít zodpovědný plán reakce a tým, který prošetřuje výstrahy a podniká akce.

Důležité

Pokyny a doprovodná implementace vycházejí ze základní architektury AKS, která je založená na hvězdicové síťové topologii. Virtuální síť hubu obsahuje firewall pro řízení odchozího provozu, provozu z brány propojující místní sítě a třetí síť pro účely údržby. Paprsková virtuální síť obsahuje cluster AKS, který poskytuje prostředí pro držitele karet (CDE) a hostuje úlohu PCI DSS.

GitHub logo Referenční implementace brzy k dispozici: Základní cluster Azure Kubernetes Service (AKS) pro regulované úlohy, referenční implementace pro PCI DSS 4.0.1, se v současné době aktualizuje a brzy bude k dispozici. Tato implementace předvede regulovanou infrastrukturu, která ilustruje nastavení nástrojů zabezpečení v různých fázích životního cyklu architektury a vývoje a bude obsahovat příklady agentů zabezpečení v clusteru a nástrojů zabezpečení poskytovaných Azure, jako je Microsoft Defender pro cloud. Zahrne také aplikaci, která předvede interakce mezi prostředím a ukázkovou úlohou. Cílem tohoto článku je infrastruktura. Vzorek nebude indikovat skutečnou zátěž podle PCI-DSS verze 4.0.1.

Udržování programu správy zranitelností

Požadavek 5: Ochrana všech systémů a sítí před škodlivým softwarem

Podpora funkcí AKS

AKS se nechová jako tradiční hostitel aplikací. Virtuální počítače uzlů v clusteru AKS mají omezenou expozici a jsou navržené tak, aby k němu neměly přímý přístup. Vzhledem k tomu, že virtuální počítače uzlů se neshodují s tradičními virtuálními počítači, nemůžete použít běžné nástroje virtuálních počítačů, takže doporučení v této části se použijí prostřednictvím nativních konstruktorů Kubernetes. Použití těchto požadavků přímo na úrovni virtuálního počítače může způsobit, že váš cluster ztratí podporu.

V daemonSets, který se bude spouštět v podu na všech uzlech, budete muset nasadit antimalwarový software podle vašeho výběru. PCI DSS 4.0.1 vyžaduje antimalwarová řešení schopná automatických aktualizací a ochrany v reálném čase, včetně pro kontejnerizované úlohy.

Vaše odpovědnosti

Ujistěte se, že je software specializovaný na Kubernetes a kontejnery. Existuje několik možností softwaru třetích stran. Mezi oblíbené volby patří Prisma Cloud, Aquasec a opensourcové možnosti, jako je Falco. Je vaší zodpovědností zajistit, aby software třetích stran byl aktuální a aby monitorování a upozorňování probíhalo. Využijte ochranu proti malwaru založenou na hostiteli a nástroje zabezpečení modulu runtime navržené pro kontejnerizovaná prostředí. Průběžné monitorování imagí kontejnerů kvůli ohrožením zabezpečení a malwaru před nasazením pomocí nástrojů pro kontrolu imagí

Požadavek Odpovědnost
Požadavek 5.1 Nasaďte antimalwarový software ve všech systémech, které jsou běžně ovlivněné škodlivým softwarem, včetně kontejnerizovaných úloh.
Požadavek 5.2 Ujistěte se, že všechny mechanismy antimalwaru jsou udržovány, aktualizovány a funkční podle očekávání.
Požadavek 5.3 Ujistěte se, že jsou aktivně spuštěné mechanismy antimalwaru a uživatelé je nemůžou zakázat ani měnit, pokud je výslovně neautorizuje správa.
Požadavek 5.4 Zajistěte, aby zásady zabezpečení a provozní postupy pro ochranu systémů před malwarem byly zdokumentované, používané a známé všem postiženým stranám.

Požadavek 5.1

Nasaďte antivirový software na všechny systémy, které běžně ovlivňuje škodlivý software, zejména osobní počítače a servery.

Vaše odpovědnosti

Je vaší zodpovědností chránit úlohy, infrastrukturu a kanály nasazení výběrem vhodného antimalwarového softwaru.

Vzhledem k tomu, že přístup k virtuálním počítačům uzlů AKS je omezený, chraňte systém ze každé vrstvy, kde by mohl být do virtuálních počítačů uzlů vložen malware. Zahrnuje detekci a prevenci na uzlech clusteru, v imagích kontejnerů a interakce za běhu se serverem rozhraní API Kubernetes. Kromě clusteru chraňte komponenty, které s clusterem pracují, a můžou mít antivirový software nainstalovaný tradičním způsobem, jako jsou jump boxy a agenti sestavení.

Srovnejte své aktivity kontroly s životním cyklem SDL (Security Development Lifecycle). Dodržováním SDL zajišťujete, že prozkoumávání různých komponent architektury začíná v počátečních fázích vývoje a že bezpečnostní mezery jsou pokryty co nejdříve.

Požadavek 5.1.1

Ujistěte se, že antivirové programy jsou schopné detekovat, odebírat a chránit před všemi známými typy škodlivého softwaru.

Vaše odpovědnosti

Seznamte se se sadou funkcí jednotlivých nabídek softwaru a hloubkou kontroly, kterou může provádět. Software by měl blokovat běžné hrozby a monitorovat nové hrozby. Ujistěte se, že se software pravidelně aktualizuje, testuje a nahrazuje, pokud je nalezen nevhodný. Zvažte software vyvinutý důvěryhodnými dodavateli.

  • Monitorovací nástroje, které detekují ohrožení zabezpečení clusteru.

    V AKS nemůžete spouštět tradiční řešení virtuálních počítačů založených na agentech přímo na virtuálních počítačích uzlů. V daemonSets budete muset nasadit antimalwarový software, který se bude spouštět v podu na každém uzlu.

    Zvolte software, který je specializovaný pro kubernetes a kontejnerizované úlohy. Existuje několik možností softwaru třetích stran. Mezi oblíbené volby patří Prisma Cloud a Aquasec. K dispozici jsou také opensourcové možnosti, jako je Falco. Při nasazení se spustí jako agenti v clusteru, kteří prohledají všechny fondy uživatelských a systémových uzlů. I když AKS používá systémové uzlové fondy pro binární soubory runtime systému, základní výpočetní infrastruktura je stále vaší odpovědností.

    Účelem spuštění agenta je detekovat neobvyklé aktivity clusteru. Pokouší se například aplikace vytvořit spojení se serverem API? Některá řešení generují protokol volání rozhraní API mezi pody, generují sestavy a generují výstrahy. Zkontrolujte tyto protokoly a proveďte nezbytné akce.

    Okamžitě po spuštění clusteru nainstalujte agenty zabezpečení, abyste minimalizovali nesledované mezery mezi clusterem a nasazením prostředků AKS. Agenti zabezpečení běží s vysokými oprávněními a kontrolují vše, co běží v clusteru, a ne jenom úlohy. Nesmí se stát zdrojem exfiltrace dat. Útoky na dodavatelský řetězec jsou také běžné pro kontejnery. Použijte strategie hloubkové ochrany a ujistěte se, že software a všechny závislosti jsou důvěryhodné.

    Také spusťte antivirový software na externích prostředcích, které se účastní operací clusteru. Mezi příklady patří jump boxy, agenti sestavení a image kontejnerů, které komunikují s clusterem. Když agent prohledá, neměl by blokovat nebo rušit důležité operace clusteru, jako je například uzamčení souborů. Chybná konfigurace může způsobit problémy se stabilitou a může způsobit výpadky podpory clusteru.

    Důležité

    Referenční implementace poskytuje zástupné DaemonSet nasazení pro spuštění antimalwarového agenta. Agent se spustí na každém virtuálním počítači uzlu v clusteru. V tomto nasazení nainstalujte vybraný antimalwarový software.

  • Udržování bezpečnosti kontejnerů.

    Spusťte nástroje pro skenování kontejnerů v kanálu, abyste detekovali hrozby, které mohou přijít skrze kontejnerové obrazy, jako je CI/CD skenování zranitelností v programu Microsoft Defender for Containers. Mezi možnosti třetích stran patří Trivy a Clair. Při vytváření obrazů se vždy snažte o obrazy bez distribuce. Tyto image obsahují jenom základní binární soubory v základní imagi Linuxu a snižují prostor pro útoky. Použijte řešení kontinuálního skenování, jako je posouzení zranitelností v Microsoft Defender for Containers pro průběžné skenování imagí uložených ve vašich úložištích.

Požadavek 5.1.2

U systémů, které nejsou běžně zacílené nebo ovlivněné škodlivým softwarem, proveďte pravidelné vyhodnocení, abyste identifikovali a vyhodnotili vyvíjející se malwarové hrozby, abyste ověřili, jestli nadále nevyžadují antivirový software.

Vaše odpovědnosti

Běžná ohrožení zabezpečení můžou mít vliv na komponenty mimo cluster. Sledujte ohrožení zabezpečení sledováním CVE a dalších výstrah zabezpečení z platformy Azure. Vyhledejte aktualizace Azure pro nové funkce, které můžou detekovat ohrožení zabezpečení a spouštět antivirová řešení ve službách hostovaných v Azure.

Úložiště objektů blob by například mělo mít kontrolu reputace malwaru, aby detekovaly podezřelé nahrávání. Microsoft Defender for Storage zahrnuje blokování reputace malwaru. Zvažte také, jestli je pro takovou službu vyžadováno antivirové řešení.

Požadavek 5.2

Ujistěte se, že jsou zachovány všechny antivirové mechanismy následujícím způsobem:

  • Udržují se aktuální.
  • Proveďte pravidelné kontroly.
  • Vygenerujte protokoly auditu, které se uchovávají podle požadavku PCI DSS 10.7.

Vaše odpovědnosti

  • Ujistěte se, že je cluster chráněný proti novým útokům pomocí nejnovější verze antivirového softwaru. Je potřeba vzít v úvahu dva typy aktualizací:
    • Antivirový software musí držet krok s nejnovějšími aktualizacemi funkcí. Jedním ze způsobů je naplánovat aktualizace jako součást aktualizací platformy.
    • Aktualizace analýzy zabezpečení je potřeba použít hned, jakmile budou k dispozici, aby bylo možné detekovat a identifikovat nejnovější hrozby. Zvolte automatické aktualizace.
  • Ověřte, že kontroly ohrožení zabezpečení běží podle plánu.
  • Zachovejte všechny protokoly, které se vygenerují v důsledku skenování a které ukazují na zdravé a nezdravé komponenty. Doporučená doba uchovávání je uvedena v požadavku 10,7, což je rok.
  • Mějte na místě proces, který provádí třídění a opravuje zjištěné problémy.

Informace o tom, jak se používají antivirové aktualizace v programu Microsoft Defender for Endpoint, najdete v tématu Antivirová ochrana v programu Microsoft Defender informace o zabezpečení a aktualizacích produktů.

Požadavek 5.3

Antivirové funkce by měly být aktivně spuštěné a uživatelé je nemůžou zakázat ani měnit. S výjimkou případů, kdy je vedení oprávněno na základě jednotlivého posouzení po omezenou dobu.

Vaše odpovědnosti

Zodpovídáte za nastavení monitorování a upozorňování agenta zabezpečení. Vytvářejte kritická upozornění nejen pro úlohy, ale také základní systémové procesy. Agent musí být vždy spuštěný. Reagujte na výstrahy vyvolané antimalwarovým softwarem.

  • Uchovávejte protokol o aktivitách skenování. Ujistěte se, že proces kontroly nezapíše z disku nebo paměti žádná data o držitelích karet.
  • Nastavte výstrahy pro aktivity, které můžou způsobit neočekávané výpadky dodržování předpisů. Upozornění by se neměla neúmyslně vypnout.
  • Omezte oprávnění k úpravě nasazení agenta a všech dalších důležitých nástrojů zabezpečení. Tato oprávnění nechte oddělená od oprávnění nasazení úloh.
  • Nerozmísťujte úlohy, pokud agenti zabezpečení neběží podle očekávání.

Požadavek 5.4

Ověřte, že zásady zabezpečení a provozní postupy pro ochranu systémů před malwarem jsou zdokumentované, používané a komunikované všem ovlivněným stranám.

Vaše odpovědnosti

Je důležité udržovat důkladnou dokumentaci k procesu a zásadám, zejména podrobnosti o antivirovém řešení používaném k ochraně systému. Uveďte například informace o tom, kde se v cyklu produktu aktualizace bezpečnostních informací udržují, frekvence kontrol a informace o možnostech kontroly v reálném čase.

Máte politiky uchovávání dat pro ukládání protokolů. Pro účely dodržování předpisů můžete chtít mít dlouhodobé úložiště.

Udržujte dokumentaci ke standardním provozním postupům pro posouzení a nápravu problémů. Lidé, kteří pracují s regulovanými prostředími, musí být poučeni, informovaní a incentivizováni, aby podporovali záruky zabezpečení. To je důležité pro lidi, kteří jsou součástí procesu schvalování z pohledu politiky.

Požadavek 6: Vývoj a údržba zabezpečených systémů a aplikací

Podpora funkcí AKS

Podobně jako ostatní služby Azure se AKS řídí procesy microsoft Security Development Lifecycle (SDL) pro zabezpečení v průběhu fází procesu vývoje. V různých fázích vývoje se skenují různé komponenty a bezpečnostní mezery se pokrývají co nejdříve.

Obrázky AKS se řídí přístupem SLA FedRAMP, který vyžaduje opravu obrázků během 30 dnů. K vynucování tohoto požadavku jsou všechny image sanitovány v rámci DevSecOps pipeline.

AKS poskytuje nové obrazy pro uzlové pooly týdně. Je vaší zodpovědností je použít, aby se zajistilo opravy a aktualizace pracovních uzlů služby Virtual Machine Scale Sets. Další informace najdete v tématu aktualizace obrazu uzlu služby Azure Kubernetes (AKS).

Služba AKS nainstaluje nebo upgraduje opravy zabezpečení pro řídicí plochu AKS. Aktualizují se každých 24 hodin.

Řídicí rovina AKS a pracovní uzly jsou posíleny pomocí srovnávacích testů Center for Internet Security (CIS), konkrétně AKS CIS, Ubuntu CIS a Windows CIS.

AKS se integruje se službou Azure Container Registry. Azure Container Registry s funkcemi průběžné kontroly v programu Microsoft Defender for Cloud můžete použít k identifikaci ohrožených imagí a aplikací na různých úrovních rizika. Informace o kontrole obrázků a řízení rizik najdete v programu Microsoft Defender for Containers.

PCI DSS 4.0.1 vyžaduje pravidelnou identifikaci a zmírnění ohrožení zabezpečení v systémech, aplikacích a infrastruktuře. Patří sem běžné kontroly ohrožení zabezpečení, penetrační testování a postupy zabezpečeného kódování. Použijte automatizované nástroje ke kontrole imagí kontejnerů před nasazením a posouzení cloudových prostředí pomocí nástrojů pro správu ohrožení zabezpečení nativních pro cloud. Řešení chyb zabezpečení založených na konfiguraci v systémech infrastruktury jako kódu (IaC) a orchestrace kontejnerů

Vaše odpovědnosti

Požadavek Odpovědnost
Požadavek 6.1 Vytvořte proces pro identifikaci ohrožení zabezpečení, použití důvěryhodných externích zdrojů pro informace o ohrožení zabezpečení a přiřaďte hodnocení rizik (například "vysoká", "střední" nebo "nízká") nově zjištěným ohrožením zabezpečení.
Požadavek 6.2 Zajistěte, aby všechny systémové komponenty a software byly chráněny před známými ohroženími zabezpečení instalací příslušných oprav zabezpečení dodaného dodavatelem. Nainstalujte důležité opravy zabezpečení do jednoho měsíce od vydání.
Požadavek 6.3 Bezpečně vyvíjejte interní a externí softwarové aplikace (včetně webového přístupu pro správu k aplikacím) pomocí zabezpečených postupů kódování a kontrol kódu.
Požadavek 6.4 Pro všechny změny systémových komponent postupujte podle procesů a postupů řízení změn.
Požadavek 6.5 Řešení běžných ohrožení zabezpečení kódování v procesech vývoje softwaru
Požadavek 6.6 U veřejně přístupných webových aplikací vyřešte nové hrozby a ohrožení zabezpečení průběžně a zajistěte ochranu těchto aplikací před známými útoky.
Požadavek 6.7 Zajistěte, aby zásady zabezpečení a provozní postupy pro vývoj a údržbu zabezpečených systémů a aplikací byly zdokumentované, používané a známé všem postiženým stranám.

Požadavek 6.1

Vytvořte proces pro identifikaci ohrožení zabezpečení, použití důvěryhodných externích zdrojů pro informace o ohrožení zabezpečení a přiřaďte hodnocení rizik (například vysoké, střední nebo nízké) nově zjištěným ohrožením zabezpečení.

Vaše odpovědnosti

Mají procesy, které kontrolují zjištěná ohrožení zabezpečení a které jsou správně seřazené. Microsoft Defender for Cloud zobrazuje doporučení a výstrahy na základě typu prostředku, jeho závažnosti a prostředí. Většina výstrah má taktiku MITRE ATT&CK®, která vám můžou pomoct pochopit záměr kill chain. Ujistěte se, že máte plán nápravy pro zkoumání a zmírnění problému.

V AKS můžete azure Container Registry používat v kombinaci s průběžnou kontrolou k identifikaci ohrožených imagí a aplikací na různých úrovních rizika. Výsledky můžete zobrazit v programu Microsoft Defender for Cloud.

Další informace najdete v tématu Ochrana kontejneru v defenderu pro cloud.

Požadavek 6.2

Zajistěte, aby všechny systémové komponenty a software byly chráněny před známými ohroženími zabezpečení instalací příslušných oprav zabezpečení dodaného dodavatelem. Nainstalujte důležité opravy zabezpečení do jednoho měsíce od vydání.

Vaše odpovědnosti

  • Pokud chcete zabránit útokům dodavatelského řetězce od dodavatelů třetích stran, ujistěte se, že jsou všechny závislosti důvěryhodné. Je důležité, abyste zvolili důvěryhodné dodavatele.

  • AKS poskytuje nové obrazy pro fondy uzlů každý týden. Tyto obrázky se nepoužijí automaticky. Použijte je, jakmile budou k dispozici. Obraz uzlu můžete aktualizovat ručně nebo automaticky. Další informace najdete o upgradu image pro uzel Azure Kubernetes Service (AKS).

    Pro řídicí rovinu AKS instalace nebo aktualizace bezpečnostních záplat provádí služba AKS.

  • Uzly AKS každých 24 hodin automaticky stahují a instalují operační systém a opravy zabezpečení jednotlivě. Pokud chcete tyto aktualizace dostávat, brána firewall nesmí tento provoz blokovat.

    Zvažte umoření funkce reportování v bezpečnostním agentu, abyste získali informace o použitých aktualizacích. Některé aktualizace zabezpečení vyžadují restartování. Nezapomeňte zkontrolovat upozornění a provést akci, abyste zajistili minimální nebo nulový výpadek aplikace při těchto restartováních. Možnost open-source pro provádění restartů kontrolovaným způsobem je Kured (Kubernetes reboot daem).

  • Rozšiřte proces oprav na prostředky mimo cluster, který zřídíte, například jump boxy a agenty sestavení.

  • Mějte aktuální přehled o podporovaných verzích AKS. Pokud váš návrh používá verzi, která dosáhla konce životnosti, upgradujte na aktuální verzi. Další informace naleznete v tématu Podporované verze AKS.

Požadavek 6.3

Vyvíjejte interní a externí softwarové aplikace (včetně webového přístupu pro správu k aplikacím) bezpečně, a to následujícím způsobem:

  • V souladu s PCI DSS (například zabezpečené ověřování a protokolování).
  • Na základě oborových standardů a/nebo osvědčených postupů.
  • Začlenění zabezpečení informací v rámci celého životního cyklu vývoje softwaru, které se vztahuje na veškerý software vyvinutý interně, včetně vlastního softwaru vyvinutého třetí stranou.

Vaše odpovědnosti

Integrujte a upřednostněte volby zabezpečení v rámci životního cyklu a provozu úloh.

Několik oborových frameworků odpovídá životnímu cyklu, například framework NIST. Funkce NIST – Identifikace, ochrana, detekce, reakce a obnovení – poskytují strategie pro preventivní kontroly v jednotlivých fázích.

Microsoft SDL poskytuje osvědčené postupy, nástroje a procesy pro zabezpečení v průběhu fází procesu vývoje. Postupy MicrosoftU SDL se řídí pro všechny služby Azure, včetně AKS. Sledujeme také architekturu OSA (Operational Security Assurance) pro provoz cloudových služeb. Ujistěte se, že máte podobný proces. Tyto postupy se publikují, aby vám pomohly zabezpečit vaše aplikace.

Další informace najdete v následujících zdrojích informací:

Požadavek 6.3.1

Odeberte vývoj, testování a/nebo vlastní účty aplikací, ID uživatelů a hesla předtím, než se aplikace stanou aktivními nebo uvolněné zákazníkům.

Vaše odpovědnosti

V rámci vytváření clusteru se ve výchozím nastavení vytvoří více místních uživatelů Kubernetes. Tito uživatelé se nedají auditovat, protože nepředstavují jedinečnou identitu. Některé z nich mají vysoká oprávnění. Zakažte tyto uživatele pomocí funkce Zakázat místní účty AKS.

Další aspekty najdete v pokynech v oficiální normě PCI DSS 4.0.1.

Požadavek 6.3.2

Projděte si vlastní kód před vydáním do produkčního prostředí nebo zákazníků, abyste identifikovali potenciální ohrožení zabezpečení kódu (pomocí ručních nebo automatizovaných procesů), aby zahrnovalo následující:

  • Změny kódu jsou zkontrolovány jinými osobami než původním autorem kódu a jednotlivci znalí technik kontroly kódu a postupů bezpečného kódování.
  • Kontroly kódu zajišťují, že se kód vyvíjí podle bezpečnostních pokynů pro kódování.
  • Před vydáním se implementují příslušné opravy.
  • Výsledky kontroly kódu se před vydáním kontrolují a schvalují ve správě.
Vaše odpovědnosti

  • Veškerý software nainstalovaný v clusteru je zdrojový z vašeho registru kontejneru. Podobně jako kód aplikace by měly procesy a lidé kontrolovat obrázky služby Azure a obrázky třetích stran (např. ve formátech Dockerfile a OCI).

  • Při vytváření clusteru začněte skenovat image kontejneru z počátečních fází. Zahrňte proces skenování jako součást kanálů kontinuální integrace a průběžného nasazování.

    Zajistěte, aby kanály nasazení byly opatřeny bránou, která zajistí, že jak inicializační image clusteru, tak vaše pracovní zátěž prošly kontrolou a/nebo karanténní bránou. Udržujte historii o tom, jak a jaké procesy byly použity před jejich získáním do clusteru.

  • Zmenšete velikost obrázku. Obrázky obvykle obsahují více binárních souborů, než vyžadují. Zmenšení velikosti image má nejen výhody výkonu, ale také omezuje prostor pro útoky. Například použití bitových kopií bez distribuce minimalizuje prostor pro útoky základních imagí Linuxu.

  • Použijte nástroje statické analýzy, které ověřují integritu souboru Dockerfile a manifestů. Mezi možnosti třetích stran patří Dockle a Trivy.

  • Používejte jenom podepsané obrázky.

  • Seznamte se s základní imagí poskytovanou Azure (a přijměte ji) a zjistěte, jak vyhovuje srovnávacím testům CIS. Další informace naleznete v Center for Internet Security (CIS) benchmarky.

Azure Container Registry s průběžnou kontrolou v Programu Microsoft Defender pro cloud pomůže identifikovat zranitelné image a různá rizika, která může představovat pro danou úlohu. Další informace o kontrole imagí a řízení rizik najdete v tématu Zabezpečení kontejneru.

Požadavek 6.4

Pro všechny změny systémových komponent postupujte podle procesů a postupů řízení změn.

Vaše odpovědnosti

Ujistěte se, že dokumentujete procesy řízení změn a navrhnete kanály nasazení podle těchto procesů. Zahrňte další procesy pro detekci situací, kdy se procesy a skutečné kanály neshodují.

Požadavky 6.4.1 a 6.4.2

  • Oddělte vývojová a testovací prostředí od produkčních prostředí a vynucujte oddělení pomocí řízení přístupu.
  • Oddělení povinností mezi vývojovými/testovacími a produkčními prostředími
Vaše odpovědnosti

Udržujte samostatná produkční a předprodukční prostředí a role, které v těchto prostředích pracují.

  • Nepoužívejte produkční cluster pro účely vývoje a testování. Neinstalujte například do produkčních clusterů Bridge to Kubernetes. Používejte vyhrazené clustery pro neprodukční úlohy.

  • Ujistěte se, že vaše produkční prostředí nepovoluje síťový přístup k předprodukčním prostředím a naopak.

  • Nepoužívejte systémové identity v předprodukčním a produkčním prostředí.

    Použijte skupiny Microsoft Entra pro skupiny, jako jsou správci clusteru nebo hlavní objekty kanálu. Nepoužívejte generalizované ani běžné skupiny jako řízení přístupu. Tyto skupiny nepoužívejte mezi předprodukčními a produkčními klastry. Jedním ze způsobů je použít název clusteru (nebo jiný neprůhlásný identifikátor) v názvu skupiny, aby byl explicitní pro členství.

    Role řízení přístupu na základě role v Azure (RBAC) můžete použít správně mezi prostředími. V předprodukčním prostředí se obvykle přiřazují další role a práva.

    Identitám v předprodukčním prostředí (poskytnuté automatizovaným procesům nebo týmům softwarového inženýrství) by neměly být uděleny přístupy v produkčním prostředí. Naopak žádné produkční identity (například potrubí) by neměly mít udělený přístup v předprodukčních clusterech.

    Nepoužívejte stejnou spravovanou identitu přiřazenou uživatelem pro žádný prostředek v předprodukčním i produkčním prostředí. Toto doporučení platí pro všechny prostředky, které podporují spravované identity přiřazené uživatelem, nejen prostředek nasazený ve vašem clusteru. Prostředky Azure, které vyžadují identity, by měly mít vlastní jedinečnou identitu, namísto sdílení s jinými prostředky.

  • Přístup pomocí just-in-time (JIT) použijte pro přístup s vysokým oprávněním, včetně předprodukčních clusterů, když je to možné. Zásady podmíněného přístupu používejte v předprodukčním i produkčním clusteru.

Požadavek 6.4.3

Produkční data (živé pany) se nepoužívají k testování ani vývoji.

Vaše odpovědnosti

Ujistěte se, že data CHD neprotékají do vývojového/testovacího prostředí. Získáte jasnou dokumentaci, která poskytuje postup pro přesun dat z produkčního prostředí na vývoj/testování. Odstranění skutečných údajů musí být součástí tohoto postupu a schváleno odpovědnými stranami.

Požadavek 6.4.4

Odebrání testovacích dat a účtů ze systémových komponent před tím, než se systém aktivuje nebo přejde do produkčního prostředí.

Vaše odpovědnosti

Před nasazením do produkčního prostředí odeberte výchozí konfigurační data, ukázková data a dobře známá testovací data v systému. Nepoužívejte data držitelů karet pro testovací účely.

Požadavek 6.4.5

Postupy řízení změn pro implementaci oprav zabezpečení a úprav softwaru musí zahrnovat následující:

  • 6.4.5.1: Dokumentace dopadu.
  • 6.4.5.2: Zdokumentované schválení změn autorizovanými stranami.
  • 6.4.5.3: Testování funkčnosti pro ověření, že změna nemá nepříznivý vliv na zabezpečení systému.
  • 6.4.5.4: Postupy zálohování.
Vaše odpovědnosti

Tyto pokyny mapují předchozí požadavky:

  • Zdokumentujte změny infrastruktury, které se očekávají v důsledku oprav zabezpečení a úprav softwaru. Tento proces je jednodušší díky přístupu IaC (infrastructure-as-code). Například pomocí souboru Bicep nebo šablony Azure Resource Manageru (šablona ARM) můžete zobrazit náhled změn nasazení pomocí operace co-kdyby. Pro více informací viz operace typu what-if nasazení pomocí Bicep pro změny infrastruktury.

  • Implementujte brány v kanálech nasazení, které ověřují schválení změn pro běžná nasazení. Zdokumentujte odůvodnění nouzových nasazení, u kterých mohlo dojít k obejití bran.

    Definujte úrovně a hloubku změn. Ujistěte se, že tým souhlasí s definicí významných změn na rozdíl od menších změn. Pokud je to praktické, automatizujte zjišťování některých těchto změn. Recenzenti zatížení, infrastruktury a potrubí musí mít jasné porozumění úrovním a ověřit je podle těchto kritérií.

  • Otestujte cenovou dostupnost zabezpečení. Ujistěte se, že syntetické transakce testují obavy ohledně zabezpečení (povolit i odepřít). Ujistěte se také, že tyto syntetické testy běží v předprodukčním prostředí.

  • Mějte připravený proces pro návrat k předchozímu stavu pro případ, že by oprava zabezpečení měla neočekávané výsledky. Běžnou strategií je nasazení při zachování předchozího stavu pomocí blue-green nasazení. Pro úlohy, včetně databází, máte strategii, která funguje pro vaši konkrétní topologii a je vymezená na jednotky nasazení.

Požadavek 6.5

Běžné chyby zabezpečení kódování v procesech vývoje softwaru řešíte následujícím způsobem:

  • Vytrénujte vývojáře alespoň ročně v aktuálních technikách bezpečného kódování, včetně toho, jak se vyhnout běžným chybám zabezpečení kódu.
  • Vyvíjejte aplikace na základě pokynů pro zabezpečené kódování.

Vaše odpovědnosti

Je důležité, aby aplikační týmy a provozní týmy byly poučeny, informovány a motivovány, aby podporovaly skenování úloh a infrastruktury. Další informace najdete v následujících zdrojích informací:

Požadavek 6.6

U veřejných webových aplikací průběžně řešíte nové hrozby a ohrožení zabezpečení. Ujistěte se, že jsou tyto aplikace chráněné proti známým útokům některou z následujících metod:

  • Projděte si veřejně přístupné webové aplikace pomocí ručních nebo automatizovaných nástrojů nebo metod posouzení ohrožení zabezpečení aplikací. Proveďte posouzení ohrožení zabezpečení alespoň ročně a po jakýchkoli změnách.

    Poznámka:

    Toto posouzení není stejné jako kontroly ohrožení zabezpečení prováděné jako součást požadavku 11.2.

  • Nainstalujte automatizované řešení, které detekuje a brání webovým útokům. Například firewall webových aplikací. Nasaďte před veřejně přístupné webové aplikace a aktivně vyhodnoťte veškerý provoz.

Vaše odpovědnosti

Kontrolujte provoz přicházející z veřejného internetu pomocí firewallu webových aplikací (WAF). V této architektuře Azure Application Gateway kontroluje veškerý příchozí provoz pomocí integrovaného WAF. WAF je založen na Core Rule Set (CRS) z Open Web Application Security Project (OWASP). Pokud nejsou zavedeny technické kontroly, mají kompenzační ovládací prvky. Jedním ze způsobů je ruční kontrola kódu.

Ujistěte se, že používáte nejnovější verze sady pravidel, a použijte pravidla, která jsou pro vaši úlohu relevantní. Pravidla by měla běžet v režimu prevence. Tento požadavek můžete vynutit přidáním instance služby Azure Policy, která kontroluje, jestli je povolený WAF a funguje v tomto režimu.

Uchovávejte protokoly vygenerované WAF služby Application Gateway, abyste získali podrobnosti o detekovaných hrozbách. Vylaďte pravidla podle potřeby.

Testování průniku se zaměřuje na kód aplikace. Díky tomu odborníci, kteří nejsou součástí aplikačního týmu, najdou mezery v zabezpečení (například injektáž SQL a procházení adresářů) shromažďováním informací, analýzou zranitelností a podáváním zpráv. V tomto cvičení můžou odborníci potřebovat přístup k citlivým datům. Pokud chcete zajistit, aby záměr nebyl zneužit, postupujte podle pokynů uvedených v Pravidlech zapojení při penetračních testech.

Požadavek 6.7

Ujistěte se, že zásady zabezpečení a provozní postupy pro vývoj a údržbu zabezpečených systémů a aplikací jsou zdokumentované, používané a známé všem postiženým stranám.

Vaše odpovědnosti

Je důležité udržovat důkladnou dokumentaci k procesům a zásadám. Vaše týmy by měly být vytrénované tak, aby v rámci životního cyklu a provozu úloh upřednostňovaly volby zabezpečení.

Microsoft SDL poskytuje osvědčené postupy, nástroje a procesy pro zabezpečení v průběhu fází procesu vývoje. Postupy Microsoft SDL se řídí výhradně při sestavování softwaru v Microsoftu. Sledujeme také architekturu OSA (Operational Security Assurance) pro provoz cloudových služeb. Tyto postupy se publikují, aby vám pomohly zabezpečit vaše aplikace.

Další informace najdete v následujících zdrojích informací:

Udržujte důkladnou dokumentaci pro penetrační testování, která popisuje rozsah procesů testování, třídění a strategii nápravy zjištěných problémů. Pokud dojde k incidentu, začlente vyhodnocení požadavku 6 jako součást analýzy původní příčiny. Pokud se zjistí mezery (například zjistí se porušení pravidla OWASP), zavřete tyto mezery.

V dokumentaci máte jasné pokyny týkající se očekávaného stavu ochrany WAF.

Lidé, kteří pracují s regulovanými prostředími, musí být poučeni, informovaní a incentivizováni, aby podporovali bezpečnostní záruky. Je důležité pro lidi, kteří jsou součástí procesu schvalování z pohledu politiky.

Další kroky

Sledujte a monitorujte veškerý přístup k síťovým prostředkům a datům držitelů karet. Pravidelně testujte systémy a procesy zabezpečení.

Implementace monitorování a protokolování

  • Poslední aktualizace v