Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel stellen wir Sicherheitsaktivitäten und -steuerelemente vor, die Sie berücksichtigen sollten, wenn Sie Anwendungen für die Cloud bereitstellen. Es werden Sicherheitsfragen und -konzepte behandelt, die Sie während der Freigabe- und der Reaktionsphase von Microsoft Security Development Lifecycle (SDL) berücksichtigen sollten. Ziel ist es, Aktivitäten und Azure-Dienste zu definieren, mit denen Sie eine sicherere Anwendung bereitstellen können.
Die folgenden SDL-Phasen werden in diesem Artikel behandelt:
- Release
- Antwort
Release
Der Fokus der Veröffentlichungsphase ist das Vorbereiten eines Projekts für die öffentliche Veröffentlichung. Dies umfasst die Planung von Möglichkeiten zur effektiven Durchführung von Wartungsaufgaben nach der Veröffentlichung und die Behebung von Sicherheitsrisiken, die später auftreten können.
Testen der Leistung Ihrer Anwendung vor deren Inbetriebnahme
Überprüfen Sie die Leistung Ihrer Anwendung, bevor Sie sie veröffentlichen oder Updates für die Produktion bereitstellen. Führen Sie mithilfe von Azure Load Testing cloudbasierte Auslastungstests aus, um Leistungsprobleme in Ihrer Anwendung zu finden, die Bereitstellungsqualität zu verbessern, und sicherzustellen, dass Ihre Anwendung immer aktiv oder verfügbar ist und dass Ihre Anwendung den Datenverkehr für die Inbetriebnahme bewältigen kann.
Web Application Firewall installieren
Webanwendungen sind häufige Ziele bösartiger Angriffe, z. B. SQL-Injection und Cross-Site-Scripting. Das Verhindern dieser Angriffe im Anwendungscode kann komplex sein, was eine strenge Wartung, Patching und Überwachung über mehrere Ebenen der Anwendung erfordert. Eine zentrale Web Application Firewall (WAF) vereinfacht die Sicherheitsverwaltung, indem Sicherheitslücken an einem zentralen Punkt behoben werden, anstatt jede einzelne Webanwendung zu schützen.
Die Azure Web Application Firewall für Azure Application Gateway und Azure Front Door bietet einen zentralen Schutz vor allgemeinen Exploits und Sicherheitsrisiken. Die WAF verwendet Regeln aus den OWASP-Kernregelsätzen 3.0 oder 2.2.9, um stabile Sicherheit für Ihre Webanwendungen bereitzustellen.
Erstellen Sie einen Vorfallreaktionsplan
Die Vorbereitung eines Plans zur Reaktion auf Vorfälle ist entscheidend, um Ihnen bei der Bewältigung neuer Bedrohungen zu helfen, die sich im Laufe der Zeit ergeben könnten. Die Vorbereitung eines Vorfallreaktionsplans umfasst das Identifizieren geeigneter Sicherheitsnotfallkontakte und das Einrichten von Sicherheitswartungsplänen für Code, der von anderen Gruppen in der Organisation übernommen wurde, sowie für lizenzierten Drittanbietercode.
Führen Sie eine abschließende Sicherheitsüberprüfung durch
Eine wohlüberlegte Überprüfung aller durchgeführten Sicherheitsaktivitäten trägt dazu bei, die Einsatzbereitschaft für Ihre Softwareversion oder Anwendung sicherzustellen. Die abschließende Sicherheitsüberprüfung (FSR) beinhaltet in der Regel das Untersuchen der jeweiligen Bedrohungsmodelle, der Ausgaben von Tools und der Leistung anhand der Qualitätsschwellenwerte (Quality Gates) und Fehlerbalken (Bug Bars), die in der Anforderungsphase definiert wurden.
Zertifizieren vor der Freigabe und Archivieren
Durch das Zertifizieren von Software vor einer Veröffentlichung wird sichergestellt, dass die Sicherheits- und Datenschutzanforderungen erfüllt sind. Das Archivieren aller relevanten Daten ist für die Durchführung von Wartungsaufgaben nach der Veröffentlichung unerlässlich. Die Archivierung trägt auch dazu bei, die langfristigen Kosten im Zusammenhang mit kontinuierlicher Softwareentwicklung zu senken.
Antwort
Die Reaktionsphase nach der Veröffentlichung konzentriert sich auf das Entwicklungsteam, das in der Lage und verfügbar ist, angemessen auf alle Berichte über neue Softwarebedrohungen und Sicherheitsrisiken zu reagieren.
Vorfallreaktionsplan ausführen
Die Fähigkeit, den in der Freigabephase eingeführten Plan für Reaktion auf Vorfälle zu implementieren, ist unerlässlich, um Kunden vor auftretenden Software- oder Datenschutzsicherheitsrisiken zu schützen.
Anwendungsleistung überwachen
Die fortlaufende Überwachung Ihrer Anwendung, nachdem sie bereitgestellt wurde, hilft Ihnen möglicherweise, Leistungsprobleme sowie Sicherheitsrisiken zu erkennen.
Azure-Dienste, die die Anwendungsüberwachung unterstützen, sind:
- Azure-Anwendung Insights
- Microsoft Defender for Cloud
Application Insights
Application Insights ist ein erweiterbarer, für Webentwickler konzipierter Dienst zur Verwaltung der Anwendungsleistung (Application Performance Management, APM) auf mehreren Plattformen. Verwenden Sie es, um Ihre Live-Webanwendung zu überwachen. Application Insights erkennt automatisch Leistungsanomalien. Es enthält leistungsstarke Analysetools, die Ihnen helfen, Probleme zu diagnostizieren und zu verstehen, was Benutzer tatsächlich mit Ihrer App machen. Es wurde entwickelt, um Ihnen dabei zu helfen, die Leistung und Benutzerfreundlichkeit kontinuierlich zu verbessern.
Microsoft Defender for Cloud
Microsoft Defender für Cloud hilft Ihnen, Bedrohungen zu verhindern, zu erkennen und darauf zu reagieren, und bietet mehr Transparenz in Bezug auf die Sicherheit Ihrer Azure-Ressourcen, einschließlich Webanwendungen, sowie mehr Kontrolle darüber. Microsoft Defender for Cloud hilft beim Erkennen von Bedrohungen, die andernfalls unbemerkt bleiben. Es funktioniert mit verschiedenen Sicherheitslösungen.
Die kostenlose Stufe von Defender für Cloud bietet nur eingeschränkte Sicherheit nur für Ihre Azure-Ressourcen. Die Defender for Cloud Standard-Stufe erweitert diese Funktionen auf lokale Ressourcen und andere Clouds. Defender for Cloud Standard hilft Ihnen bei:
- Finden und beheben Sie Sicherheitslücken.
- Wenden Sie Zugriffs- und Anwendungskontrollmechanismen an, um böswillige Aktivitäten zu blockieren.
- Erkennen von Bedrohungen durch Verwenden von Analysen und Intelligence
- Schnell reagieren, wenn Sie angegriffen werden.
Nächste Schritte
In den folgenden Artikeln empfehlen wir Sicherheitskontrollen und -aktivitäten, mit denen Sie sichere Anwendungen entwerfen und entwickeln können.