Zabezpečení Azure government

Azure Government poskytuje celou řadu funkcí a služeb, které můžete použít k vytváření cloudových řešení, aby vyhovovala vašim regulovaným a řízeným datům. Vyhovující zákaznické řešení může být kombinací efektivní implementace předpřipravených funkcí Azure Government a pevným postupem zabezpečení dat.

Při hostování řešení ve službě Azure Government zpracovává Microsoft řadu těchto požadavků na úrovni cloudové infrastruktury.

Následující diagram znázorňuje model hloubkové ochrany Azure. Microsoft například poskytuje základní ochranu DDoS (Distributed Denial of Service) cloudové infrastruktury spolu s možnostmi zákazníků, jako je Azure DDoS Protection nebo bezpečnostní zařízení pro potřeby DDoS aplikací specifických pro zákazníky.

Podrobný model ochrany Azure

Tento článek popisuje základní principy zabezpečení služeb a aplikací. Poskytuje pokyny a osvědčené postupy týkající se uplatňování těchto zásad. Například vysvětluje, jak efektivně využít Azure Government k naplnění požadavků na řešení, které zpracovává informace podléhající mezinárodním předpisům o obchodu se zbraněmi (ITAR). Další podrobnosti o zabezpečení a implementaci, které vám pomůžou zlepšit stav zabezpečení s ohledem na prostředky Azure, najdete v srovnávacím testu zabezpečení Azure.

Mezi nadlimitní principy zabezpečení zákaznických dat patří:

  • Chraňte data pomocí šifrování.
  • Správa tajemství
  • Použijte izolaci k omezení přístupu k datům.

Tyto principy platí pro Azure i Azure Government. Jak je popsáno v tématu Principy izolace, Azure Government poskytuje dodatečnou fyzickou izolaci sítí a splňuje náročné požadavky na dodržování předpisů státní správy USA.

Šifrování dat

Zmírnění rizik a splnění zákonných povinností řídí rostoucí zaměření a důležitost šifrování dat. Použijte efektivní implementaci šifrování k vylepšení aktuálních bezpečnostních opatření sítě a aplikací a snížení celkového rizika cloudového prostředí. Azure má rozsáhlou podporu k ochraně zákaznických dat pomocí šifrování dat, včetně různých modelů šifrování:

  • Šifrování na straně serveru, které používá klíče spravované službou, klíče spravované zákazníkem (CMK) v Azure nebo CMK v hardwaru řízeném zákazníkem.
  • Šifrování na straně klienta, které umožňuje spravovat a ukládat klíče místně nebo v jiném zabezpečeném umístění. Šifrování na straně klienta je integrované do klientských knihoven úložiště Java a .NET, které můžou používat rozhraní API služby Azure Key Vault, což usnadňuje implementaci. Pomocí ID Microsoft Entra můžete poskytnout konkrétním jednotlivcům přístup k tajným kódům služby Azure Key Vault.

Šifrování dat poskytuje záruky izolace, které jsou svázané přímo s přístupem k šifrovacímu klíči. Protože Azure používá silné šifry pro šifrování dat, přístup k datům mohou mít pouze subjekty s přístupem k šifrovacím klíčům. Odstranění nebo odvolání šifrovacích klíčů způsobí, že odpovídající data budou nepřístupnými.

Šifrování dat v klidu

Azure nabízí rozsáhlé možnosti šifrování neaktivních uložených dat , které vám pomůžou zabezpečit data a splnit požadavky na dodržování předpisů pomocí šifrovacích klíčů spravovaných Microsoftem i šifrovacích klíčů spravovaných zákazníkem. Tento proces spoléhá na několik šifrovacích klíčů a služeb, jako je Azure Key Vault a Microsoft Entra ID, aby se zajistil zabezpečený přístup k klíčům a centralizovaná správa klíčů. Další informace o šifrování služby Azure Storage a šifrování disků Azure najdete v tématu Šifrování neaktivních uložených dat.

Šifrování během přenosu

Azure nabízí řadu možností šifrování přenášených dat. Šifrování dat při přenosu izoluje síťový provoz od jiného provozu a pomáhá chránit data před zachycením. Další informace najdete v tématu Šifrování dat při přenosu.

Základní šifrování dostupné pro připojení k Azure Government podporuje protokol TLS (Transport Layer Security) 1.2 a certifikáty X.509. Kryptografické algoritmy ověřené standardem FIPS (Federal Information Processing Standard) 140 se používají také pro síťová připojení infrastruktury mezi datovými centry Azure Government. Sdílené složky Windows, Windows Server a Azure můžou k šifrování mezi virtuálním počítačem a sdílenou složkou používat protokol SMB 3.0. Použijte šifrování na straně klienta k zašifrování dat před jejich přenosem do úložiště v klientské aplikaci a k jejich dešifrování po jejich vynesení z úložiště.

Osvědčené postupy pro šifrování

  • Virtuální počítače IaaS: Použijte šifrování disků Azure. Zapněte šifrování služby Storage a zašifrujte soubory VHD, které se používají k zálohování těchto disků ve službě Azure Storage. Tento přístup šifruje pouze nově zapsaná data. Pokud vytvoříte virtuální počítač a potom povolíte šifrování služby Storage v účtu úložiště, který obsahuje soubor VHD, budou zašifrovány pouze změny, nikoli původní soubor VHD.
  • Šifrování na straně klienta: Šifrování na straně klienta je nejbezpečnější metodou pro šifrování vašich dat, protože šifruje data před přenosem a šifruje data v klidu. Nicméně vyžaduje, abyste přidávali kód do aplikací, které využívají úložiště, což možná nebudete chtít dělat. V takových případech můžete pomocí protokolu HTTPS chránit data při přenosu a pomocí šifrování služby Storage šifrovat data v klidu. Šifrování na straně klienta také znamená větší zátěž na klienta, kterou musíte zohlednit ve svých plánech škálovatelnosti, zejména pokud šifrujete a přenášíte velké množství dat.

Správa tajemství

Pro zabezpečení dat je nezbytná správná ochrana a správa šifrovacích klíčů. Měli byste se snažit zjednodušit správu klíčů a udržovat kontrolu nad klíči používanými cloudovými aplikacemi a službami k šifrování dat. Azure Key Vault je cloudová služba pro bezpečné ukládání a správu tajných kódů. Key Vault umožňuje ukládat šifrovací klíče do modulů hardwarového zabezpečení (HSM), které jsou ověřené protokolem FIPS 140 . Další informace najdete v tématu Správa šifrovacích klíčů dat.

Osvědčené postupy pro správu tajemství

  • Pomocí služby Key Vault můžete minimalizovat rizika zpřístupnění tajných kódů prostřednictvím pevně zakódovaných konfiguračních souborů, skriptů nebo zdrojového kódu. Pro zvýšení záruky můžete importovat nebo generovat klíče v modulech HSM služby Azure Key Vault.
  • Aplikační kód a šablony by měly obsahovat pouze URI odkazy na tajemství, což znamená, že skutečná tajemství nejsou v kódu, konfiguraci ani v repozitářích zdrojového kódu. Tento přístup brání phishingovým útokům na interní nebo externí úložiště, jako jsou například harvest-boti na GitHubu.
  • Používejte silné Azure řízení přístupu založené na rolích (RBAC) v rámci Key Vault. Důvěryhodný operátor, který opouští společnost nebo přechází do nové skupiny uvnitř společnosti, by měl být zabráněn v přístupu k tajemstvím.

Pochopení izolace

Izolace ve službě Azure Government se dosahuje prostřednictvím implementace hranic důvěryhodnosti, segmentace a kontejnerů, aby se omezil přístup k datům pouze na oprávněné uživatele, služby a aplikace. Azure Government podporuje ovládací prvky a možnosti izolace prostředí a tenantů.

Izolace prostředí

Vícenájemní cloudové prostředí Azure Government je autonomní systém (AS) založený na internetových standardech, který je fyzicky izolovaný a samostatně spravovaný od zbytku veřejného cloudu Azure. Jak definuje IETF RFC 4271, AS se skládá ze sady přepínačů a směrovačů v rámci jedné technické správy pomocí protokolu vnitřní brány a běžných metrik pro směrování paketů v rámci AS. Protokol vnější brány se používá ke směrování paketů do jiných AS prostřednictvím jedné a jasně definované zásady směrování.

Izolace prostředí Azure Government se dosahuje prostřednictvím řady fyzických a logických ovládacích prvků, které zahrnují:

  • Fyzicky izolovaný hardware.
  • Fyzické zabezpečení hardwaru pomocí biometrických zařízení a kamer.
  • Podmíněný přístup (Azure RBAC, workflow).
  • Specifické přihlašovací údaje a vícefaktorová autentizace pro logický přístup.
  • Infrastruktura pro Azure Government se nachází na území USA.

V rámci sítě Azure Government jsou komponenty interního síťového systému izolovány od ostatních systémových komponent prostřednictvím implementace samostatných podsítí a politik řízení přístupu na správcovských rozhraních. Azure Government přímo nekomunikuje s veřejným internetem ani s firemní sítí Microsoft. Azure Government přímo spolupracuje s komerční sítí Microsoft Azure, která má možnosti směrování a transportu na internet a firemní síť Microsoft. Azure Government omezuje svou vystavenou plochu přidáváním dodatečných ochran a komunikačních schopností z komerční sítě Azure. Azure Government ExpressRoute (ER) navíc využívá peering se zákaznickými sítěmi prostřednictvím soukromých okruhů mimo internet ke směrování zákaznických sítí „DMZ“ v rámci ER, přičemž jako hranici důvěry pro směrování aplikací a vynucování souvisejících zásad používá konkrétní peering BGP/AS.

Azure Government udržuje následující autorizace:

  • FedRAMP Vysoké dočasné povolení k provozu (P-ATO) vydané FedRAMP Joint Authorization Board (JAB).
  • Prozatímní povolení (PA) SRG IL4 a IL5 DoD vydaná Agenturou pro obranné informační systémy (DISA).

Izolace nájemníka

Oddělení mezi zákazníky a nájemci je zásadním bezpečnostním mechanismem jak pro multitenantní cloudová prostředí Azure, tak Azure Government. Azure a Azure Government poskytují základní mechanismy izolace pro jednotlivé zákazníky nebo tenanty, včetně izolace hypervisoru, kořenového operačního systému a hostovaných virtuálních počítačů, izolace kontrolerů prostředků infrastruktury, filtrování paketů a izolace sítě VLAN. Další informace najdete v tématu Izolace výpočetních prostředků.

Můžete spravovat svou izolační pozici tak, aby vyhovovala individuálním požadavkům prostřednictvím řízení přístupu do sítě a segregace pomocí virtuálních strojů, virtuálních sítí, VLAN izolace, ACL, load balancerů a IP filtrů. Kromě toho můžete dále spravovat úrovně izolace vašich prostředků napříč předplatnými, skupinami prostředků, virtuálními sítěmi a podsítěmi. Logické izolační kontroly zákazníka a nájemce pomáhají zabránit tomu, aby jeden nájemce zasahoval do provozu jiného zákazníka nebo nájemce.

Screening

Všichni zaměstnanci Azure a Azure Government ve Spojených státech podléhají kontrolám minulosti prováděným Microsoftem. Pracovníci, kteří mají možnost získat přístup k zákaznickým datům pro účely řešení potíží ve službě Azure Government, se navíc řídí ověřením amerického občanství a dodatečnými požadavky na screening, pokud je to vhodné.

Microsoft prověřuje všechny operátory prověrkou 3. úrovně (dříve National Agency Check with Law and Credit, NACLC), jak je definována v oddílu 5.6.2.2 (strana 77) dokumentu DoD Cloud Computing SRG:

Poznámka:

Minimální šetření na pozadí, které je vyžadováno pro pracovníky CSP, kteří mají přístup k informacím úrovně 4 a 5 na základě „nekriticky citlivé“ (např. ADP-2 podle Ministerstva obrany (DoD)), je šetření 3. úrovně (pro „nekriticky citlivé“ dodavatele) nebo Střední šetření na pozadí rizika (MBI) pro označení pozice „střední riziko“.

Příslušné prověřování a kontrola minulosti Životní prostředí Četnost Popis
Kontrola nových zaměstnanců Azure
Azure Gov		 Při zaměstnání - Historie vzdělávání (nejvyšší titul)
- Historie zaměstnání (za posledních 7 let)
- Vyhledávání čísla sociálního zabezpečení
- Kontrola trestní minulosti (7letá historie)
- Seznam Úřadu pro kontrolu zahraničních aktiv (OFAC)
- Seznam Úřadu pro průmysl a bezpečnost (BIS)
- Seznam subjektů se zákazem činnosti vedený Úřadem pro kontrolu obranného obchodu (DDTC)
obrazovka cloudu Azure
Azure Gov		 Každé dva roky - Vyhledávání čísla sociálního zabezpečení
- Kontrola trestní minulosti (7letá historie)
- Seznam Úřadu pro kontrolu zahraničních aktiv (OFAC)
- Seznam Úřadu pro průmysl a bezpečnost (BIS)
- Seznam subjektů se zákazem činnosti vedený Úřadem pro kontrolu obranného obchodu (DDTC)
Americké občanství Azure Gov Při zaměstnání - Ověření amerického občanství
Informační služby trestního soudnictví (CJIS) Azure Gov Po podepsání dohody CJIS se státem - Přidává prověrku otisků prstů do databáze FBI
- Kontrola trestního rejstříku a úvěrové historie
Šetření vrstvy 3 Azure Gov Po podpisu smlouvy se sponzorskou agenturou - Podrobné vyšetřování historie trestných činů (SF 86)

Pro provozní pracovníky Azure platí následující zásady přístupu:

  • Povinnosti jsou jasně definovány, s samostatnou odpovědností za vyžádání, schvalování a nasazování změn.
  • Access je prostřednictvím definovaných rozhraní, která mají konkrétní funkce.
  • Přístup je just-in-time (JIT) a je udělován na základě jednotlivých incidentů nebo pro konkrétní údržbovou událost a na omezenou dobu.
  • Přístup je založen na pravidlech, s definovanými rolemi, kterým jsou přiřazena pouze oprávnění potřebná k řešení problémů.

Standardy screeningu zahrnují ověření amerického občanství všech pracovníků podpory a provozního personálu Microsoftu před udělením přístupu k systémům hostovaným v Azure Government. Pracovníci podpory, kteří potřebují přenášet data, používají zabezpečené funkce v rámci Azure Government. Zabezpečený přenos dat vyžaduje pro získání přístupu samostatnou sadu ověřovacích přihlašovacích údajů.

Omezení přístupu v programu Insider

Ovládací prvky pro omezení přístupu insiderů k zákaznickým datům jsou pro Azure i Azure Government stejné. Jak je popsáno v předchozí části, Azure Government ukládá dodatečné požadavky na prověřování na pozadí personálu, včetně ověření amerického občanství.

Poznámka:

Hrozba zevnitř je charakterizována jako potenciál pro poskytování zadních vrátek a privilegovaného administrátorského přístupu poskytovatelů cloudových služeb (CSP) k systémům a datům zákazníků. Microsoft poskytuje silné závazky zákazníků týkající se toho, kdo má přístup k zákaznickým datům a jaké podmínky. Přístup k zákaznickým datům provozem Microsoftu a pracovníky podpory je ve výchozím nastavení odepřen. Přístup k datům zákazníků není nutný pro provoz Azure. Navíc ve většině případů podpory zahrnujících zákaznické tikety týkající se řešení potíží není přístup k zákaznickým datům potřeba.

Nepřidělování výchozích přístupových práv a mechanismy přístupu Just-in-Time (JIT) výrazně snižují rizika spojená s tradičními zvýšenými přístupovými právy místních administrátorů, jež obvykle přetrvávají po celou dobu zaměstnání. Microsoft výrazně ztěžuje manipulaci s vašimi aplikacemi a daty pro účastníky se zlými úmysly. Stejná omezení a procesy řízení přístupu se ukládají všem technikům Microsoftu, včetně zaměstnanců na plný úvazek i dílčích zpracovatelů/dodavatelů. Pokud chcete omezit přístup insiderů k vašim datům, použijte následující ovládací prvky:

  • Interní Microsoft kontroly, které brání přístupu k produkčním systémům, pokud nejsou autorizovány prostřednictvím systému správy privilegovaného přístupu Just-in-Time (JIT), jak je popsáno v této části.
  • Vynucení Customer Lockbox, které vám dává kontrolu nad schvalováním interního přístupu při podpoře a řešení potíží, jak je popsáno v této části. Ve většině podpůrných situací není přístup k vašim datům vyžadován.
  • Šifrování dat s možností šifrovacích klíčů spravovaných zákazníkem – šifrovaná data jsou přístupná pouze subjektům, které mají klíč, jak bylo popsáno dříve.
  • Zákaznické monitorování externího přístupu ke zřízeným prostředkům Azure, zahrnující výstrahy zabezpečení, jak je to popsáno v další části.

Požadavky na řízení přístupu

Microsoft přijímá silná opatření k ochraně vašich dat před nevhodným přístupem nebo používáním neoprávněnými osobami. Inženýři Microsoft (včetně zaměstnanců na plný úvazek a subprocesorů/dodavatelů) nemají výchozí přístup k vašim datům v cloudu. Místo toho jim vedení uděluje přístup pouze tehdy, když je to nutné. Workflow s omezeným přístupem pečlivě kontroluje, zaznamenává a odebírá přístup k vašim datům, když již nejsou potřeba. Například přístup k datům může být nutný k vyřešení žádostí o řešení potíží, které jste zahájili. Požadavky na řízení přístupu jsou stanoveny v následující politice:

  • Ve výchozím nastavení nemáte přístup k zákaznickým datům.
  • Žádné účty uživatelů nebo správců na virtuálních počítačích zákazníků.
  • Udělit co nejmenší oprávnění potřebná k dokončení úkolů a k auditu a zaznamenání žádostí o přístup.

Microsoft může inženýrům poskytnout přístup k zákaznickým datům prostřednictvím dočasných přihlašovacích údajů pomocí přístupu Just-in-Time (JIT). Incident musí být zaznamenán v systému Azure Incident Management, který popisuje důvod přístupu, schvalovací záznam a jaká data byla přístupná. Tento přístup zajišťuje, že je zajištěn odpovídající dohled nad veškerým přístupem k datům zákazníků a že všechny akce JIT (souhlas a přístup) jsou zaznamenány pro audit. Zpráva o ověření Azure SOC 2 Type 2, kterou vypracovala nezávislá auditorská firma třetí strany, dokazuje, že jsou zavedeny postupy pro udělení dočasného přístupu zaměstnancům Azure k datům a aplikacím zákazníků po řádném schválení pro účely zákaznické podpory nebo řešení incidentů.

JIT Access funguje s vícefaktorovou autentizací, která vyžaduje, aby inženýři Microsoft použili chytrou kartu k ověření své identity. Bezpečné administrativní pracovní stanice (SAW), které jsou v souladu s publikovanými pokyny pro zabezpečení privilegovaného přístupu, se používají pro veškerý přístup k produkčním systémům. Politika Microsoft vyžaduje SAW pro přístup k produkčním systémům a dodržování této politiky je pečlivě sledováno. Tyto pracovní stanice používají pevně daný bitový obraz systému s veškerým softwarem pod plnou správou – povoleny jsou pouze vybrané činnosti a uživatelé nemohou omylem obejít architekturu SAW, protože na těchto počítačích nemají oprávnění správce. Přístup je povolen pouze pomocí chytré karty a přístup ke každému SAW je omezen na konkrétní skupinu uživatelů.

Customer Lockbox

Customer Lockbox for Azure je služba, která vám pomáhá ovládat, jak Microsoft inženýr přistupuje k vašim datům. V rámci pracovního postupu podpory může technik Microsoftu vyžadovat zvýšený přístup k vašim datům. Customer Lockbox vám dává kontrolu nad tímto rozhodnutím tím, že vám umožňuje schválit nebo zamítnout takové zvýšené požadavky. Customer Lockbox je rozšíření pracovního postupu JIT (Just-In-Time) a obsahuje úplné protokolování auditu, které je povoleno. Schopnost Customer Lockbox není vyžadována pro případy podpory, které nezahrnují přístup k datům zákazníků. Ve většině scénářů podpory není potřeba přístup k datům zákazníků a pracovní postup by neměl vyžadovat Customer Lockbox. Technici Microsoftu se při údržbě služeb Azure a poskytování zákaznické podpory do značné míry spoléhají na protokoly.

Customer Lockbox je k dispozici všem zákazníkům, kteří mají plán podpory Azure s minimální úrovní developera. Customer Lockbox můžete povolit z modulu Správa v panelu Customer Lockbox. Technik společnosti Microsoft vytvoří požadavek na Customer Lockbox, pokud je tento krok nutný k postupu při řešení požadavku podpory iniciovaného zákazníkem. Customer Lockbox je dostupný zákazníkům ve všech veřejných regionech Azure.

Výpisy paměti při pádu hostujícího virtuálního počítače

Na každém uzlu Azure je hypervizor, který běží přímo na hardwaru a rozděluje uzel na proměnný počet hostujících virtuálních strojů (VM), jak je popsáno v Compute isolation. Každý uzel má také jeden speciální root VM, který spouští hostitelský operační systém.

Když hostující VM (známá také jako zákaznická VM) spadne, zákaznická data mohou být obsažena v paměťovém dump souboru hostujícího VM. Ve výchozím nastavení nemají inženýři Microsoft přístup k hostujícím VM a nemohou bez souhlasu zákazníka kontrolovat crash dumpy na hostujících VM. Stejný proces explicitního zákaznického autorizace se používá i pro kontrolu přístupu k crash dumpům hostujících VM, pokud požádáte o vyšetření pádu VM. Jak jsme popsali dříve, přístup je chráněn systémem pro správu privilegovaného přístupu JIT a Customer Lockboxem, aby se všechny akce protokolovaly a auditovaly. Hlavním důvodem pro odstraňování paměťových výpisů z hostovaných virtuálních počítačů je rutinní proces opětovného vytváření jejich bitové kopie, který se obvykle provádí nejméně jednou za dva měsíce.

Odstranění, uchovávání a zničení dat

Jako zákazník máte vždy kontrolu nad svými zákaznickými údaji v Azure. K datům zákazníků uloženým v Azure můžete přistupovat, extrahovat je a odstraňovat. Když ukončíte předplatné Azure, Microsoft provede nezbytné kroky, abyste měli jistotu, že vaše zákaznická data nadále vlastníte. Běžným problémem zákazníka při odstranění dat nebo ukončení předplatného je to, jestli má jiný zákazník nebo správce Azure přístup k odstraněným datům. Pro více informací o tom, jak jsou v Azure implementovány mazání, uchovávání a ničení dat, viz následující dokumentace:

Monitorování prostředků Azure pro zákazníky

Tato část popisuje základní služby Azure, které můžete použít k získání podrobného přehledu o zřízených prostředcích Azure a upozorňování na podezřelou aktivitu, včetně vnějších útoků zaměřených na vaše aplikace a data. Úplný seznam najdete v oddílech adresářů služeb Azure pro správu a zásady správného řízení, sítě a zabezpečení. Srovnávací test zabezpečení Azure navíc poskytuje doporučení k zabezpečení a podrobnosti implementace, které vám pomůžou zlepšit stav zabezpečení s ohledem na prostředky Azure.

Microsoft Defender for Cloud (dříve Azure Security Center) poskytuje jednotnou správu zabezpečení a pokročilou ochranu před hrozbami napříč hybridními cloudovými úlohami. Je to nezbytná služba, která vám pomáhá omezit vystavení hrozbám, chránit cloudové zdroje, reagovat na incidenty a zlepšit vaši úroveň dodržování předpisů.

S programem Microsoft Defender for Cloud můžete:

  • Monitorujte zabezpečení místních a cloudových úloh.
  • K detekci útoků použijte pokročilou analýzu a analýzu hrozeb.
  • K blokování škodlivých aktivit použijte řízení přístupu a aplikací.
  • Najděte a opravte zranitelnosti, než je možné je zneužít.
  • Zjednodušte šetření při reakci na hrozby.
  • Použijte politiku, abyste zajistili dodržování standardů zabezpečení.

Aby vám Microsoft pomohl s používáním Microsoft Defender for Cloud, poskytuje rozsáhlou online dokumentaci a blogové příspěvky na blogu Microsoft Defender for Cloud Tech Community, které se věnují konkrétním bezpečnostním tématům.

Azure Monitor pomáhá maximalizovat dostupnost a výkon aplikací tím, že poskytuje komplexní řešení pro shromažďování, analýzu a akce na telemetrii z cloudových i místních prostředí. Pomáhá pochopit, jak vaše aplikace fungují, a proaktivně identifikuje problémy ovlivňující nasazené aplikace a prostředky, na nichž závisí. Azure Monitor integruje funkce Log Analytics a Application Insights , které byly dříve označeny jako samostatné služby.

Azure Monitor shromažďuje data z každé z následujících vrstev:

  • Data z monitorování aplikací: Data o výkonu a funkčnosti kódu, který píšete, bez ohledu na platformu.
  • Data monitorování hostovaného operačního systému: Data o operačním systému, na kterém je vaše aplikace spuštěná. Aplikace může běžet v Azure, jiném cloudu nebo místně.
  • Data monitorování prostředků Azure: Data o provozu prostředku Azure
  • Data monitorování předplatného Azure: Data o provozu a správě předplatného Azure a data o stavu a provozu samotného Azure.
  • Data sledování tenanta Azure: Data o provozních službách Azure na úrovni tenanta, jako je Microsoft Entra ID.

Pomocí služby Azure Monitor můžete získat 360stupňový přehled o aplikacích, infrastruktuře a síti pomocí pokročilých analýz, řídicích panelů a map vizualizací. Azure Monitor poskytuje inteligentní přehledy a umožňuje lepší rozhodování s využitím AI. Data z různých zdrojů můžete analyzovat, korelovat a monitorovat pomocí výkonného dotazovacího jazyka a integrovaných konstruktorů strojového učení. Kromě toho Azure Monitor poskytuje předdefinované integrace s oblíbenými nástroji DevOps, IT Service Management (ITSM) a nástroji SIEM (Security Information and Event Management).

Azure Policy umožňuje efektivní řízení prostředků Azure pomocí vytváření, přiřazování a správy zásad. Tyto zásady vynucují různá pravidla nad zřízenými prostředky Azure, aby byly v souladu s vašimi konkrétními standardy podnikového zabezpečení a ochrany osobních údajů. Například jednu z předdefinovaných zásad pro povolená umístění můžete použít k omezení dostupných umístění pro nové prostředky k vynucení požadavků na geografické dodržování předpisů. Pro další podporu zákazníkům poskytuje Microsoft předdefinované iniciativy dodržování právních předpisů služby Azure Policy, které se mapují na domény dodržování předpisů a kontroly v mnoha standardech vlády USA, globálních, regionálních a průmyslových standardech. Další informace najdete v ukázkách služby Azure Policy. Dodržování předpisů v Azure Policy poskytuje předdefinované definice iniciativ, které umožňují zobrazit seznam kontrol a oblastí dodržování předpisů podle odpovědnosti – zákazníka, Microsoftu nebo sdílené odpovědnosti. Pro kontroly odpovědné za Microsoft poskytuje Microsoft další detaily výsledků auditu na základě potvrzení třetích stran a detailů implementace kontrol, aby bylo dosaženo této shody. Každý ovládací prvek je přidružený k jedné nebo více definici služby Azure Policy. Tyto zásady vám pomůžou vyhodnotit dodržování předpisů s kontrolou, ale dodržování předpisů v Azure Policy představuje jen částečný přehled o celkovém stavu souladu. Azure Policy pomáhá vynucovat standardy organizace a vyhodnocovat dodržování předpisů ve velkém měřítku. Prostřednictvím řídicího panelu dodržování předpisů nabízí agregované zobrazení sloužící k vyhodnocení celkového stavu prostředí s možností přejít na podrobnější stav.

Azure Firewall poskytuje spravovanou cloudovou službu zabezpečení sítě, která chrání vaše prostředky služby Azure Virtual Network. Jedná se o plně stavový firewall jako službu s vestavěnou vysokou dostupností, který se integruje s Azure Monitor pro logování a analytiku.

Network Watcher umožňuje monitorovat, diagnostikovat a získávat přehled o výkonu a stavu virtuální sítě Azure. S logy skupinového toku síťové bezpečnosti můžete získat hlubší porozumění vzorcům síťového provozu a shromažďovat data pro dodržování předpisů, audity a monitorování vašeho síťového bezpečnostního profilu. Zachytávání paketů umožňuje zachytit provoz do virtuálních počítačů a diagnostikovat síťové anomálie a shromažďovat statistiky sítě, včetně informací o narušení sítě.

Azure DDoS Protection poskytuje rozsáhlou možnost omezení rizik útoku DDoS (Distributed Denial of Service), která pomáhá chránit prostředky Azure před útoky. Nepřetržité monitorování provozu umožňuje detekci útoku DDoS téměř v reálném čase a automatické zmírnění jeho dopadů ihned po odhalení. V kombinaci s webovým aplikačním firewallem chrání služba ochrany proti DDoS před širokou škálou útoků na síťové vrstvě, včetně útoků SQL injection, cross-site scripting (XSS) a únosů relací. Služba Azure DDoS Protection je integrovaná se službou Azure Monitor pro analýzy a přehledy.

Microsoft Sentinel (dříve Azure Sentinel) je nativní cloudová platforma SIEM, která používá integrovanou AI, která vám pomůže rychle analyzovat velké objemy dat v rámci podniku. Microsoft Sentinel agreguje data z různých zdrojů, včetně uživatelů, aplikací, serverů a zařízení spuštěných místně nebo v libovolném cloudu, takže během několika sekund můžete zdůvodnět více než miliony záznamů. S Microsoft Sentinelem můžete:

  • Shromážděte data v cloudovém měřítku napříč všemi uživateli, zařízeními, aplikacemi a infrastrukturou, a to jak místně, tak i v několika cloudech.
  • Zjistěte dříve neodhalené hrozby a minimalizujte falešně pozitivní signály pomocí nepřekonatelné analýzy hrozeb od Microsoftu.
  • Zkoumejte hrozby pomocí AI a dohledávejte podezřelé aktivity ve velkém rozsahu, to vše podpořené desítkami let práce Microsoftu v oblasti kyberbezpečnosti.
  • Reagujte na incidenty rychle pomocí integrované orchestrace a automatizace běžných úloh.

Azure Advisor vám pomůže postupovat podle osvědčených postupů pro optimalizaci nasazení Azure. Analyzuje konfigurace prostředků a telemetrii využití a pak doporučí řešení, která vám pomůžou zlepšit nákladovou efektivitu, výkon, vysokou dostupnost a zabezpečení prostředků Azure.

Další kroky

  • Poslední aktualizace v