Freigeben über

Sichern Sie Ihre Azure Managed HSM-Bereitstellung

Azure Key Vault Managed HSM ist ein cloudbasiertes Hardwaresicherheitsmodul, das kryptografische Schlüssel schützt. Da verwaltetes HSM häufig verwendet wird, um streng vertrauliche oder unternehmenskritische Daten zu schützen, ist es wichtig, den Zugriff auf Ihre HSMs zu sichern, diese entsprechend den bewährten Methoden der Sicherheit zu konfigurieren und auf Bedrohungen zu überwachen.

Dieser Artikel enthält Anleitungen, wie Sie Ihre azure Key Vault Managed HSM-Bereitstellung am besten sichern.

Netzwerksicherheit

Die Netzwerksicherheit umfasst den Schutz von verwaltetem HSM mit sicherer Netzwerkkonnektivität, privaten Endpunkten und Netzwerkzugriffssteuerungen. Dadurch wird die Exponierung Ihres HSM gegenüber öffentlichen Netzwerken reduziert, sowie dass lediglich autorisierter Datenverkehr zulässig ist.

  • Stellen Sie private Endpunkte mithilfe von Azure Private Link bereit: Verwenden Sie private Endpunkte, um private, gesicherte Konnektivität mit Ihrer verwalteten HSM-Instanz herzustellen, die Gefährdung des öffentlichen Internets zu verhindern und Angriffsvektoren zu reduzieren. Weitere Informationen finden Sie unter Integrieren von verwaltetem HSM mit azure Private Link.

  • Öffentlichen Netzwerkzugriff deaktivieren: Verhindern Des Zugriffs auf den Dienst von öffentlichen IP-Adressen durch Deaktivieren des öffentlichen Netzwerkzugriffs in der verwalteten HSM-Konfiguration. Weitere Informationen finden Sie unter Integrieren von verwaltetem HSM mit azure Private Link.

Identitätsverwaltung

Die Identitätsverwaltung konzentriert sich auf die Sicherung der Authentifizierung und des Identitätszugriffs auf Ihre verwalteten HSM-Ressourcen. Microsoft Entra bietet eine zentrale Identitätslösung für die Verwaltung des Zugriffs auf die Verwaltungs- und Datenebenen des HSM.

  • Erfordern der Microsoft Entra-Authentifizierung für den Zugriff auf Datenebenen: Microsoft Entra wird standardmäßig für die Authentifizierung von Datenebenenvorgängen in verwaltetem HSM verwendet und ermöglicht die zentrale und sichere Identitätskontrolle. Weitere Informationen finden Sie unter Microsoft Entra-Authentifizierung.

  • Verwenden Sie verwaltete Identitäten für den sicheren Anwendungszugriff: Verwaltete Identitäten sind standardmäßig aktiviert, sodass Anwendungen sich bei verwaltetem HSM authentifizieren können, ohne Anmeldeinformationen zu speichern. Weitere Informationen finden Sie unter von Microsoft Entra verwaltete Identitäten.

  • Authentifizieren sie bei Bedarf mithilfe von Dienstprinzipalen: Verwenden Sie Dienstprinzipale für automatisierte Szenarien und workloadbasierten Zugriff. Weitere Informationen finden Sie unter Verwaltete HSM-Rollenverwaltung.

  • Verwenden Sie Richtlinien für bedingten Zugriff, um den Zugriff zu steuern: Definieren von Richtlinien für bedingten Zugriff in Microsoft Entra, um den Zugriff basierend auf Bedingungen wie Benutzerrisiko, Standort oder Gerätekompatibilität einzuschränken. Weitere Informationen finden Sie unter Bedingter Zugriff.

  • Verwenden Sie Sicherheitsgruppen für den Administratorzugriff: Weisen Sie die HSM-Administratorrolle einer Microsoft Entra-Sicherheitsgruppe anstelle einzelner Benutzer zu. Dadurch wird das Risiko einer versehentlichen Sperrung reduziert, wenn ein Benutzerkonto gelöscht wird. Anleitungen finden Sie unter Zugriffssteuerung für verwaltetes HSM.

Privilegierter Zugriff

Privilegierter Zugriff betont die Sicherung administrativer Aktionen und das Erzwingen der Grundsätze des Zugriffs mit geringsten Rechten, um das Risiko nicht autorisierter oder übermäßiger Berechtigungen zu verringern.

  • Sperren des Zugriffs auf Abonnements und Ressourcengruppen: Verwenden Sie Azure RBAC, um den administrativen Zugriff auf Verwaltungsgruppen, Abonnements und Ressourcengruppenebene zu steuern. Anleitungen finden Sie in der Azure RBAC-Übersicht.

  • Verwenden Sie beim Zuweisen von Rollen die Grundsätze für den Zugriff auf die geringsten Rechte: Gewähren Sie nur den minimalen Satz von berechtigungen, die erforderlich sind. Überprüfen Sie rollenzuweisungen regelmäßig. Weitere Informationen finden Sie unter Verwaltete HSM-Rollenverwaltung.

  • Vermeiden Sie das Zuweisen mehrerer Rollen zur gleichen Identität: Behalten Sie die Trennung von Aufgaben bei, indem Sie sicherstellen, dass einem einzelnen Benutzer oder einer einzelnen Identität keine konfliktierenden Rollen zugewiesen werden. Weitere Informationen finden Sie unter Zugriffssteuerung für verwaltete HSM.

  • Erstellen Sie benutzerdefinierte Rollen mit genauen Berechtigungen: Definieren Sie benutzerdefinierte Rollen, um bestimmte Zugriffsanforderungen zu erfüllen und gleichzeitig einen sicheren Berechtigungssatz zu verwalten. Weitere Informationen finden Sie unter Zugangskontrolle für Managed HSM.

  • Erstellen Sie Rollen zuweisungen pro Schlüssel mithilfe des lokalen RBAC-Modells von verwalteten HSM, um den Zugriff auf individueller Schlüsselebene zu steuern. Weitere Informationen finden Sie in der Lokale RBAC des verwalteten HSM.

  • Aktivieren Sie Privileged Identity Management (PIM) für administrative Rollen: Verwenden Sie Microsoft Entra Privileged Identity Management, um Just-in-Time-Zugriff zu erzwingen und das Risiko dauerhaft vorhandener administrativer Berechtigungen zu verringern. Weitere Informationen finden Sie unter Zugriffssteuerung für verwaltetes HSM: Privileged Identity Management.

Protokollierung und Bedrohungserkennung

Mithilfe der Protokollierung und Bedrohungserkennung können Sie Zugriff und Vorgänge auf Ihrem verwalteten HSM überwachen, sodass Sie verdächtige Aktivitäten erkennen und die Einhaltung von Sicherheitsrichtlinien sicherstellen können.

  • Aktivieren der Überwachungsprotokollierung: Konfigurieren Sie Diagnoseeinstellungen, um die Überwachungsprotokollierung für Ihr verwaltetes HSM zu aktivieren. Protokolle erfassen alle authentifizierten REST-API-Anforderungen, Schlüsselvorgänge und Sicherheitsdomänenaktionen. Protokolle können an ein Azure-Speicherkonto, einen Log Analytics-Arbeitsbereich oder an Event Hubs gesendet werden. Weitere Informationen finden Sie unter Verwaltete HSM-Protokollierung.

  • Analysieren Sie Protokolle mit Azure Monitor: Verwenden Sie Azure Monitor, um Protokolle von Ihrem verwalteten HSM zu sammeln und zu analysieren. Protokolle können mithilfe von Log Analytics abgefragt und in Dashboards oder Arbeitsmappen visualisiert werden. Weitere Informationen finden Sie unter Überwachen von azure Managed HSM.

  • Aufbewahren von Protokollen für Compliance und Untersuchungen: Stellen Sie sicher, dass Protokolle für eine angemessene Dauer aufbewahrt werden, um Complianceanforderungen zu erfüllen und forensische Untersuchungen zu unterstützen. Verwenden Sie Azure Monitor Log Analytics-Aufbewahrungsrichtlinien zum Verwalten des Protokollspeichers. Weitere Informationen finden Sie unter Protokollaufbewahrung in Azure Monitor.

  • Einrichten von Warnungen für kritische Ereignisse: Konfigurieren Sie Warnungen, um Sie über kritische Ereignisse zu informieren, z. B. fehlgeschlagene Zugriffsversuche oder ungewöhnliche Aktivitäten. Verwenden Sie Azure Monitor, um statische oder dynamische Warnungsregeln basierend auf Metriken oder Protokollabfragen zu erstellen. Weitere Informationen finden Sie unter Konfigurieren von verwalteten HSM-Warnungen.

  • Integration in Microsoft Sentinel: Verwenden Sie Microsoft Sentinel, um potenzielle Bedrohungen zu erkennen und darauf zu reagieren. Richten Sie Microsoft Sentinel ein, um verwaltete HSM-Protokolle zu überwachen und benutzerdefinierte Analyseregeln für vertrauliche Vorgänge zu erstellen. Weitere Informationen finden Sie unter Einrichten von Microsoft Sentinel für azure Managed HSM.

Sicherung und Wiederherstellung

Sicherung und Wiederherstellung hilft Ihnen beim Schutz vor versehentlichem oder schädlichem Datenverlust, indem Sie die richtigen Sicherungs- und Aufbewahrungsrichtlinien sicherstellen.

  • Erstellen Sie regelmäßige HSM- und Schlüsselsicherungen: Planen Sie Sicherungen des HSM und einzelner Schlüssel, um Datenverluste zu verhindern. Weitere Informationen finden Sie unter Vollständige Sicherung und Wiederherstellung.

  • Vorbereiten der Notfallwiederherstellung: Befolgen Sie notfallwiederherstellungsverfahren, um HSMs im Falle eines katastrophalen Fehlers zu replizieren. Stellen Sie sicher, dass Sie über die Sicherheitsdomäne, private Schlüssel und die neueste Sicherung verfügen, um das HSM wiederherzustellen. Weitere Informationen finden Sie im Handbuch zur Notfallwiederherstellung.

  • Aktivieren Sie den Bereinigungsschutz: Aktivieren Sie den Löschschutz, um das dauerhafte Löschen des HSM oder seiner Schlüssel vor Ablauf des Aufbewahrungszeitraums zu verhindern. Weitere Informationen finden Sie unter Übersicht zum vorläufigen Löschen.

  • Beibehalten vorläufig gelöschter Ressourcen: „Vorläufiges löschen“ ist standardmäßig aktiviert. Wählen Sie einen Aufbewahrungszeitraum von 7 bis 90 Tagen aus, in dem gelöschte Elemente wiederhergestellt werden können. Weitere Informationen finden Sie unter Übersicht zum vorläufigen Löschen.

  • Schützen Sie die Sicherheitsdomäne, um die kryptografische Sperrung zu verhindern: Befolgen Sie bewährte Methoden zum Verwalten der Sicherheitsdomäne und der zugehörigen Schlüssel, um die Geschäftskontinuität sicherzustellen und unbefugten Zugriff zu verhindern. Weitere Informationen finden Sie unter Übersicht über die Sicherheitsdomäne.

Haltungs- und Verwundbarkeitsmanagement

Die Verwaltung von Sicherheitslage und Schwachstellen bietet Anleitungen, wie Sie Tools zur Durchsetzung von Richtlinien verwenden können, um die Sicherheitscompliance in Ihrer gesamten Umgebung aufrechtzuerhalten.

Nächste Schritte