Architektura SACA (Secure Azure Computing Architecture)

Zákazníci ministerstva obrany USA ( DoD), kteří nasazují úlohy do Azure, požádali o pokyny k nastavení zabezpečených virtuálních sítí a konfiguraci nástrojů a služeb zabezpečení, které jsou stanoveny standardy a postupy DoD.

V roce 2017 zveřejnila agentura DISA (Defense Information System Agency) dokument funkčních požadavků architektury SCCA (Secure Cloud Computing Architecture). SCCA popisuje funkční cíle zabezpečení sítě DISN (Defense Information System Network) a spojovacích bodů poskytovatele komerčního cloudu. SCCA také popisuje, jak vlastníci mise zabezpečují cloudové aplikace na hranici připojení. Každá entita DoD, která se připojuje ke komerčnímu cloudu, musí dodržovat pokyny stanovené v SCCA FRD.

SCCA má čtyři komponenty:

  • Hraniční cloudový přístupový bod (BCAP)
  • Virtual Datacenter Security Stack (VDSS)
  • Spravované služby virtuálního datacentra (VDMS)
  • Trusted Cloud Credential Manager (TCCM)

Společnost Microsoft vyvinula řešení, které vám pomůže splnit požadavky SCCA pro úlohy DoD IL4 i DoD IL5 , které běží v Azure. Toto řešení specifické pro Azure se nazývá Secure Azure Computing Architecture (SACA) a pomůže vám s dodržováním SCCA FRD. Po připojení vám to umožní přesunout úlohy do Azure.

Pokyny a architektury SCCA jsou specifické pro zákazníky DoD, ale pomáhají také civilním zákazníkům dodržovat pokyny k důvěryhodným internetovým připojením (TIC) a pomáhají komerčním zákazníkům, kteří chtějí implementovat zabezpečené DMZ pro ochranu svých prostředí Azure.

Součásti architektury zabezpečeného cloud computingu

Hraniční cloudový přístupový bod (BCAP)

Účelem BCAP je chránit DISN před útoky, které pocházejí z cloudového prostředí. BCAP provádí detekci a prevenci neoprávněných vniknutí. Také filtruje neautorizovaný provoz. Tato komponenta může být umístěna spolu s dalšími komponentami SCCA. Doporučujeme nasadit tuto komponentu pomocí fyzického hardwaru. Požadavky na zabezpečení BCAP jsou uvedeny v následující tabulce.

Požadavky na zabezpečení BCAP

Matice požadavků BCAP.

Virtual Datacenter Security Stack (VDSS)

Účelem VDSS je chránit aplikace vlastníka mise DoD hostované v Azure. VDSS provádí většinu operací zabezpečení v SCCA. Provádí kontrolu provozu za účelem zabezpečení aplikací, které běží v Azure. Tuto komponentu je možné poskytnout ve vašem prostředí Azure.

Požadavky na zabezpečení VDSS

Matice požadavků VDSS

Spravované služby virtuálního datacentra (VDMS)

Účelem VDMS je poskytovat služby zabezpečení hostitele a sdílených datových center. Funkce VDMS se můžou spouštět buď v centru vaší služby SCCA, nebo může vlastník mise nasadit jeho části ve svém vlastním předplatném Azure. Tuto komponentu je možné poskytnout ve vašem prostředí Azure.

Požadavky na zabezpečení VDMS

Matice požadavků na VDMS

Trusted Cloud Credential Manager (TCCM)

TCCM je obchodní role. Tento člověk je zodpovědný za správu SCCA. Jejich povinností je:

  • Vytvořte plány a zásady pro přístup k účtu do cloudového prostředí.
  • Ujistěte se, že správa identit a přístupu funguje správně.
  • Udržujte plán správy přihlašovacích údajů cloudu.

Tento jednotlivec je jmenován pověřujícím úředníkem. BCAP, VDSS a VDMS poskytují možnosti, které TCCM potřebuje k provedení své úlohy.

Požadavky na zabezpečení TCCM

Matice požadavků TCCM.

Aspekty plánování a komponenty SACA

Referenční architektura SACA je navržená k nasazení komponent VDSS a VDMS v Azure a k povolení TCCM. Tato architektura je modulární. Všechny části VDSS a VDMS mohou být umístěny v centralizovaném ústředně nebo v několika virtuálních sítích. Některé kontroly mohou být splněny v prostoru vlastníka mise nebo dokonce místně. Následující diagram znázorňuje tuto architekturu:

Diagram architektury, který znázorňuje komponenty VDSS a VDMS, které se společně přidělují do centrální virtuální sítě

Při plánování strategie dodržování předpisů SCCA a technické architektury zvažte následující témata od začátku, protože ovlivňují každého zákazníka. Následující problémy se týkají zákazníků DoD a mají tendenci zpomalit plánování a provádění.

Kterou BCAP bude vaše organizace používat?

  • DISA BCAP:
    • DISA má dva BCAPs Gen 2, které v současné době provozují a udržují, přičemž tři nové BCAPs Gen 3 budou brzy online.
    • Všechny BCAPy DISA mají okruhy Azure ExpressRoute do Azure, které mohou vládní a DoD zákazníci využívat pro připojení.
    • DISA má partnerskou relaci s Microsoftem na podnikové úrovni pro zákazníky, kteří si chtějí předplatit nástroje SaaS (Software as a Service), například Microsoft 365. Pomocí DISA BCAP můžete umožnit připojení a peering k vaší instanci SACA.
    • Doporučujeme použít DISA BCAP. Tato možnost je snadno dostupná, má integrovanou redundanci a má zákazníky, kteří s ní pracují v současnosti v produkčním prostředí.
  • Vytvořte si vlastní BCAP:
    • Tato možnost vyžaduje, abyste zapůjčili prostor v společnělokovaném datovém centru a nastavili okruh ExpressRoute do Azure.
    • Tato možnost vyžaduje další schválení od CIO Ministerstva obrany.
    • Vzhledem k dodatečnému schválení a realizaci tato možnost trvá nejvíce času a je obtížné ji zrealizovat.
  • Směrovatelný prostor IP adres DoD:
    • Na hraničním rozhraní musíte použít směrovatelný IP prostor DoD. Možnost použití překladu adres (NAT) k připojení těchto prostorů k soukromému prostoru IP v Azure je k dispozici.
    • Pro získání IP prostoru kontaktujte DoD Network Information Center (NIC). Potřebujete ho jako součást svoji žádosti v rámci procesu schválení systému/sítě (SNAP) s DISA.
    • Pokud plánujete použít NAT pro připojení privátního adresního prostoru v Azure, potřebujete mít pro každou oblast, kde plánujete nasadit SACA, minimálně podsíť adresního prostoru /24 přiřazenou ze síťové karty.
  • Nadbytečnost:
    • Nasaďte instanci SACA do alespoň dvou oblastí pro možnosti převzetí služeb při selhání.
    • Prostřednictvím samostatných okruhů ExpressRoute se připojte k alespoň dvěma BCAP. Obě připojení ExpressRoute se pak dají propojit s instancí SACA každé oblasti.
  • Požadavky specifické pro komponentu DoD:
    • Má vaše organizace nějaké specifické požadavky mimo požadavky SCCA? Některé organizace mají specifické požadavky NA IPS.
  • SACA je modulární architektura:
    • Používejte pouze komponenty, které potřebujete pro vaše prostředí.
      • Nasaďte síťová virtuální zařízení v jedné nebo vícevrstvé vrstvě.
      • Použijte nativní cloudovou IPS nebo vlastní IPS.

Které automatizované řešení použijete k nasazení VDSS?

Jak už bylo zmíněno dříve, můžete vytvořit odkaz SACA pomocí různých zařízení a služeb Azure. Microsoft má automatizované šablony řešení pro nasazení SACA s nativními službami nebo řešeními od partnerů, jako jsou Palo Alto Networks, F5 a Citrix. Tato řešení jsou popsána v následující části.

Které služby Azure budete používat?

  • Existují služby Azure, které můžou splňovat požadavky na log analytics, ochranu na základě hostitele a funkce IDS. Je možné, že některé služby nejsou obecně dostupné v oblastech Microsoft Azure DoD. V takovém případě možná budete muset použít nástroje třetích stran, pokud tyto služby Azure nesplňují vaše požadavky. Podívejte se na nástroje, se kterými jste obeznámeni, a proveditelnost používání nativních nástrojů Azure.

  • Doporučujeme používat co nejvíce nativních nástrojů Azure. Jsou vytvořené s ohledem na zabezpečení cloudu a bezproblémově se integrují se zbytkem platformy Azure. Pomocí nativních nástrojů Azure v následujícím seznamu můžete splňovat různé požadavky SCCA:

  • Dimenzování

    • Je nutné dokončit úlohu zaměřenou na stanovení velikosti. Podívejte se na počet souběžných připojení, která můžete mít prostřednictvím instance SACA, a požadavků na propustnost sítě.
    • Tento krok je kritický. Pomáhá určit velikost virtuálních počítačů, okruhů ExpressRoute a identifikovat licence, které jsou potřeba od různých dodavatelů, které používáte ve svém nasazení SACA.
    • Není možné provést dobrou analýzu nákladů bez nástroje pro odhad velikosti. Správná velikost také umožňuje nejlepší výkon.

Nejběžnější scénář nasazení

Několik zákazníků Microsoftu prošlo celým nasazením nebo alespoň fázemi plánování prostředí SACA. Jejich zkušenosti odhalily přehled o nejběžnějším scénáři nasazení. Následující diagram znázorňuje nejběžnější architekturu:

Diagram referenční architektury SACA.

Jak můžete vidět v diagramu, zákazníci obvykle odebírají dvě z DISA BCAPs. Privátní peer ExpressRoute je povolen v rámci Azure v každém umístění DISA BCAP. Tyto partneři ExpressRoute se pak propojují s bránou virtuální sítě v každé oblasti Azure. Veškerý příchozí a výchozí provoz prochází přes SACA přes připojení ExpressRoute k DISA BCAP.

Vlastníci mise pak vyberou oblasti Azure, ve kterých plánují nasazení svých aplikací. Používají virtuální propojení sítí k připojení virtuální sítě své aplikace k SACA virtuální síti. Pak přinutí veškerý síťový provoz k tunelování přes instanci VDSS.

Tuto architekturu doporučujeme, protože splňuje požadavky SCCA. Je vysoce dostupná, škáluje se snadno a zjednodušuje nasazení a správu.

Možnosti automatizovaného nasazení SACA

Jak už bylo zmíněno dříve, Microsoft spolupracuje s dodavateli na vytváření automatizovaných šablon infrastruktury SACA. Tyto šablony nasazují následující komponenty Azure:

  • Virtuální síť SACA
    • Podsíť VDMS
      • V této podsíti se nasazují virtuální počítače a služby používané pro VDMS, včetně virtuálních počítačů typu jump box.
    • Nedůvěryhodné podsítě, důvěryhodné podsítě, spravovatelské podsítě nebo podsítě AzureFirewallSubnet
      • Tyto podsítě jsou místa, kde se nasazují virtuální zařízení nebo Azure Firewall.
  • Virtuální počítače pro správu typu jump box
    • Používají se k vzdálené správě prostředí.
  • Síťová virtuální zařízení
  • Azure Bastion
    • Bastion se používá k zabezpečenému připojení k virtuálním počítačům přes SSL.
  • Veřejné IP adresy
    • Používají se pro front-end, dokud se ExpressRoute nepřenese do online režimu. Tyto IP adresy se překládají do back-endového privátního adresního prostoru Azure.
  • Směrovací tabulky
    • Tyto směrovací tabulky se používají během automatizace a vynucují tunelování veškerého provozu přes virtuální zařízení prostřednictvím interního nástroje pro vyrovnávání zatížení.
  • Vyrovnávače zatížení Azure - Standard SKU
    • Používají se k vyrovnávání zatížení provozu mezi zařízeními třetích stran.
  • Skupiny zabezpečení sítě
    • Používají se k řízení toho, které typy provozu mohou procházet do určitých koncových bodů.

Nasazení Azure SACA

Šablonu nasazení Mission Landing Zone můžete použít k nasazení do jednoho, nebo více předplatných, v závislosti na konkrétních požadavcích vašeho prostředí. Používá integrované služby Azure, které nemají žádné závislosti na licencích třetích stran. Šablona používá Azure Firewall a další služby zabezpečení k nasazení architektury, která je kompatibilní s SCCA.

Diagram cílové zóny přistání mise SACA

Dokumentaci k Azure a skripty nasazení najdete v části Cílová zóna mise.

Nasazení Palo Alto Networks SACA

Šablona nasazení Palo Alto Networks nasadí od jednoho po mnoho zařízení řady VM-Series a rovněž zahrnuje přípravu a směrování VDMS, což umožňuje jednovrstvou architekturu kompatibilní s VDSS. Tato architektura splňuje požadavky SCCA.

Palo Alto SACA diagram.

Dokumentaci k Palo Alto Networks a skript nasazení najdete v tématu Implementace SACA pro Palo Alto Networks v Azure.

Nasazení F5 Networks SACA

Dvě samostatné šablony nasazení F5 pokrývají dvě různé architektury. První šablona má pouze jednu vrstvu zařízení F5 v konfiguraci s vysokou dostupností v režimu aktivní-aktivní. Tato architektura splňuje požadavky SCCA. Druhá šablona přidá druhou vrstvu vysoce dostupných zařízení F5 v režimu aktivní-aktivní. Tato druhá vrstva vám umožňuje přidat mezi vrstvy F5 váš vlastní IPS, který je oddělený od F5. Ne všechny součásti DoD mají specifické IPS předepsané pro použití. V takovém případě postačuje většině jedna vrstva F5 zařízení, protože tato architektura zahrnuje IPS na zařízeních F5.

F5 SACA diagram.

Dokumentaci k F5 a skript nasazení najdete v tématu F5 a Azure SACA.

Nasazení Citrix SACA

Šablona nasazení Citrixu nasazuje dvě vrstvy vysoce dostupných zařízení Citrix ADC. Tato architektura splňuje požadavky VDSS.

Citrix SACA diagram.

Dokumentaci a skript nasazení Citrixu najdete v tématu Nasazení založeném na SACA.

Další kroky

  • Poslední aktualizace v