Sicherheit

Ansatz

Microsoft Kaizala-Dienste und -Daten werden auf Office 365 & Microsoft Azure-Cloudplattform gehostet. Microsoft gilt als branchenweit führender Anbieter von Cloudsicherheit. Mit jahrzehntelanger Erfahrung beim Erstellen von Unternehmenssoftware und der Ausführung von Onlinedienste lernt und aktualisiert unser Team ständig unsere Dienste und Anwendungen, um einen sicheren Cloudproduktivitätsdienst bereitzustellen, der strenge Branchenstandards für Compliance erfüllt.

Der Sicherheitsentwicklungslebenszyklus (Security Development Lifecycle, SDL) befasst sich mit der Sicherheit in jeder Entwicklungsphase, von der ersten Planung bis zur Einführung. Beispielsweise werden in der Entwurfsphase detaillierte Datenflussdiagramme (DFD) für die verschiedenen Komponenten erstellt und gründlich überprüft, um Sicherheitsrisiken zu identifizieren und zu beheben. Zusätzlich zu den Peer reviews werden Tools für die automatisierte Erkennung und Überprüfung von Sicherheitsproblemen verwendet.

Physische Protokolle und Netzwerkprotokolle nach Industriestandard werden unterstützt, um die höchsten Sicherheitsanforderungen jeder Lösung zu erfüllen. Diese Rechenzentren sind mit branchenüblicher Zertifizierung zertifiziert. Weitere Informationen zur Azure-Sicherheit finden Sie auf dieser Website.

Sicherheit auf Dienstebene

Auf Dienstebene verwenden wir eine tiefgehende Defense-in-Depth-Strategie, die Ihre Daten durch mehrere Sicherheitsebenen schützt, wie im folgenden Diagramm dargestellt:

Eine Strategie für die umfassende Verteidigung stellt sicher, dass Sicherheitskontrollen auf verschiedenen Ebenen des Diensts vorhanden sind und dass im Fall eines Ausfalls eines Bereichs kompensierende Kontrollen vorhanden sind, um die Sicherheit jederzeit aufrechtzuerhalten. Die Strategie umfasst auch Taktiken, um Sicherheitsverletzungen zu erkennen, zu verhindern und zu entschärfen, bevor sie auftreten. Dies umfasst kontinuierliche Verbesserungen der Sicherheitsfunktionen auf Dienstebene, einschließlich: - Physische Steuerungen, Videoüberwachung, Zugriffssteuerung, Smartcards, Brandschutz usw. - Edgerouter, Firewalls, Angriffserkennung, Überprüfung auf Sicherheitsrisiken - Zugriffssteuerung und -überwachung, Antischadsoftware, Patch- und Konfigurationsverwaltung - Sicheres Engineering (SDL), Zugriffssteuerung und -überwachung, Antischadsoftware - Kontoverwaltung, Schulung und Sensibilisierung, Überprüfung – Bedrohungs- und Sicherheitsrisikomanagement, Sicherheitsüberwachung und -reaktion, Zugriffssteuerung und -überwachung, Datei-/Datenintegrität, Verschlüsselung

Wir investieren weiterhin in die Automatisierung von Systemen, die dabei hilft, ungewöhnliches und verdächtiges Verhalten zu erkennen und schnell zu reagieren, um Sicherheitsrisiken zu mindern. Außerdem entwickeln wir kontinuierlich ein hocheffektives System der automatisierten Patchbereitstellung, das Lösungen für probleme generiert und bereitstellt, die von den Überwachungssystemen identifiziert werden – alles ohne menschliches Eingreifen. Dies erhöht die Sicherheit und Agilität des Diensts erheblich. Wir führen regelmäßig Penetrationstests durch, um eine kontinuierliche Verbesserung der Verfahren zur Reaktion auf Vorfälle zu ermöglichen. Diese internen Tests helfen unseren Sicherheitsexperten, einen methodischen, wiederholbaren und optimierten schrittweisen Reaktionsprozess und eine automatisierung zu erstellen.

Antischadsoftware, Patchen und Konfigurationsverwaltung

Die Verwendung von Antischadsoftware ist ein Hauptmechanismus zum Schutz Ihrer Ressourcen vor Schadsoftware. Die Software erkennt und verhindert das Einschleppen von Computerviren und Würmern in die Servicesysteme. Außerdem werden infizierte Systeme unter Quarantäne gestellt und weitere Schäden verhindert, bis Abhilfemaßnahmen ergriffen werden. Anti-Malware-Software bietet sowohl präventive als auch detektive Kontrolle über Schadsoftware.

Unsere standardbasierten Konfigurationsanforderungen für Server, Netzwerkgeräte und andere Microsoft-Anwendungen sind dokumentiert, wo die Standards die Verwendung eines Standardpakets beschreiben. Diese Pakete sind vorab getestet und mit Sicherheitskontrollen konfiguriert.

Änderungen, z. B. Updates, Hotfixes und Patches, die an der Produktionsumgebung vorgenommen werden, folgen demselben standardmäßigen Änderungsverwaltungsprozess. Patches werden innerhalb des vom ausstellenden Unternehmen festgelegten Zeitrahmens implementiert. Änderungen werden vor der Implementierung sowohl von unseren Prüfteams als auch vom Change Advisory Board auf Anwendbarkeit, Risiko und Ressourcenzuweisung überprüft und bewertet.

Schutz vor Sicherheitsbedrohungen

Die gesamte Cyberbedrohungslandschaft hat sich von traditionellen opportunistischen Bedrohungen entwickelt und umfasst auch hartnäckige und entschlossene Angreifer. Wir statten Sie mit einem defense-in-depth-Ansatz aus, um das Kontinuum der Bedrohungen zu beheben, die von gängigen "Hacktivisten" über Cyberkriminelle bis hin zu nationalstaatlichen Akteuren reichen.

Unsere Office 365 Sicherheitsstrategie basiert auf einer dynamischen Strategie mit vier Denksäulen. Die Mentalitätsverschiebung, die wir vorgenommen haben, um unsere Abwehrmaßnahmen effektiver und sich ständig weiterentwickeln zu lassen, wird allgemein als "Sicherheitsverletzung" bezeichnet und geht davon aus, dass eine Sicherheitsverletzung bereits in der Umgebung aufgetreten ist und einfach nicht bekannt ist. Mit dieser Denkweise versuchen die Sicherheitsteams kontinuierlich, Sicherheitsbedrohungen zu erkennen und zu mindern, die nicht allgemein bekannt sind. Eine Reihe von Übungen besteht darin, eine Sicherheitsbedrohung künstlich zu verbreiten und eine andere Gruppe reagieren zu lassen und die Bedrohung zu mindern. Das Hauptziel dieser Übungen besteht darin, Office 365 resilient zu machen, damit die neuen Sicherheitsrisiken schnell erkannt und entschärft werden.

Die erste Säule der Sicherheitsstrategie wird als "Verhinderung von Sicherheitsverletzungen" bezeichnet. Unsere Investition in diese Säule umfasst kontinuierliche Verbesserungen der integrierten Sicherheitsfeatures. - Dazu gehören Portüberprüfungen und -korrekturen, Überprüfungen auf Sicherheitsrisiken im Umkreis, Betriebssystempatches, Isolations-/Sicherheitsverletzungensgrenzen auf Netzwerkebene, DDoS-Erkennung und -Verhinderung, Just-In-Time-Zugriff, Live-Site-Penetrationstests und mehrstufige Authentifizierung für den Dienstzugriff. – Die zweite Säule wird als "Sicherheitsverletzung erkennen" bezeichnet. In dieser Säule werden unsere System- und Sicherheitswarnungen über ein massives internes Analysesystem erfasst und korreliert. Die Signale analysieren systeminterne Warnungen sowie externe Signale (z. B. von Kundenvorfällen). Basierend auf maschinellem Lernen können wir schnell neue Muster integrieren, um Warnungen auszulösen und automatisch Warnungen zu Anomalien im System auszulösen. - Die dritte Säule wird als "Reaktion auf Sicherheitsverletzungen" bezeichnet. Diese Säule wird verwendet, um die Auswirkungen abzumildern, wenn eine Komponente kompromittiert wird. Ein sorgfältiger Prozess zur Reaktion auf Vorfälle, Standardbetriebsverfahren im Falle eines Incidents, die Möglichkeit, den Zugriff auf vertrauliche Daten zu verweigern oder zu beenden, und Identifikationstools, um die beteiligten Parteien sofort zu identifizieren, tragen dazu bei, dass die Lösung erfolgreich ist. - Die vierte Säule wird als "Wiederherstellen von Sicherheitsverletzungen" bezeichnet, die die Standardbetriebsverfahren umfasst, um den Dienst wieder in betrieb zu stellen. Die Säule umfasst die Möglichkeit, die Sicherheitsprinzipale in der Umgebung zu ändern, die betroffenen Systeme automatisch zu aktualisieren und den Status der Bereitstellung zu überwachen, um Anomalien zu identifizieren.

Access Control mit den geringsten Rechten

Kein Microsoft-Techniker hat einen ständigen Zugriff auf die Produktionsumgebung. Die regulären Bereitstellungs-, Verwaltungs- und Wartungsaufgaben werden durch Automatisierung abgewickelt. Dies verhindert die Möglichkeit, dass eine unerbte Microsoft-Person Zugriff auf Kundendaten erhält.

Wir führen regelmäßige Sicherheitsrisiko-, Risiko- und andere Bedrohungsbewertungen für alle gehosteten Komponenten durch, einschließlich Betriebssystemen, Infrastruktur, Datenbanken, Webdiensten, Netzwerkgeräten, installierten und ausgeführten Anwendungen sowie konfiguration aller identifizierten Komponenten des Informationssystems. Eine regelmäßige Überprüfung vorhandener Berechtigungen für die Benutzer und Dienstkonten wird durchgeführt, um die Richtlinie für den Zugriff mit den geringsten Rechten einzuhalten.

Verschlüsselung ruhender Daten

Die serverseitige Verschlüsselung aller Ressourcen ist mit dienstseitig verwalteten Schlüsseln aktiviert. Die Verschlüsselung ruhender Daten schützt Daten für den Fall, dass Angreifer physische Medien in die Hände bekommen. Die folgenden Azure-Features für die Verschlüsselung und Entschlüsselung sind aktiviert, um die Verschlüsselung ruhender Daten sicherzustellen:

• Azure Storage Service Encryption (SSE) für Azure Blob Storage. Alle Daten werden mit der 256-Bit-AES-Verschlüsselung verschlüsselt, einer der stärksten verfügbaren Blockchiffren. Verschlüsselung klassischer Speicherkonten, sodass alle Speicher in ressourcenverwaltete Speicher verschoben werden.

• Transparent Data Encryption (TDE) wird verwendet, um die E/A-Verschlüsselung und Entschlüsselung der Daten- und Protokolldateien in Echtzeit durchzuführen, um die Verschlüsselung ruhender Daten bereitzustellen. Darüber hinaus kann TDE während der Übertragung Verschlüsselung für gespiegelte oder im Protokoll ausgelieferte Daten bereitstellen. Alle Replikate von Daten sind auch für die Verschlüsselung aktiviert.

Kryptografie und Verschlüsselung

Kryptografie verwendet Datenverschlüsselung, kryptografische Schlüsselverwaltung und sichere Zufallszahlengenerierung. Es werden nur von Microsoft Crypto Board genehmigte Kryptografiealgorithmen verwendet. Wir verwenden nur FIPS 140-2(Federal Information Processing Standard) konforme Hashingalgorithmen. Keiner der gesperrten Hashalgorithmus, gesperrte symmetrische Block cyphers, verbotene Zufallsfunktionen, asymmetrische Algorithmen oder Krypto-Primitive werden verwendet, und regelmäßige Überprüfungen des Quellcodes werden durchgeführt, um zukünftige Proofing sicherzustellen.

Sicherer Zugriff

Kaizala ermöglicht die gesamte Kommunikation nur über das HTTPS-Protokoll, was eine sichere Kommunikation über das öffentliche Internet gewährleistet. TLS 1.2 ist aktiviert, und alle anderen Versionen von TLS/SSL sind deaktiviert. (verfügbar ab Juni). Die TLS-Konfiguration erfüllt oder überschreitet die Sicherheitsanforderungen von Microsoft. Es unterstützt keinen schwachen Schlüssel und verwendet nur den SHA256withRSA-Signaturalgorithmus.

Nur die folgenden Verschlüsselungssammlungen sind aktiviert:

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028) ECDH secp384r1 (eq. 7680 bits RSA) FS
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) ECDH secp256r1 (eq. 3072 bits RSA) FS
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014) ECDH secp384r1 (eq. 7680 bits RSA) FS
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) ECDH secp256r1 (eq. 3072 bits RSA) FS
• TLS_RSA_WITH_AES_256_GCM_SHA384 (0x9d)
• TLS_RSA_WITH_AES_128_GCM_SHA256 (0x9c)
• TLS_RSA_WITH_AES_256_CBC_SHA256 (0x3d)
• TLS_RSA_WITH_AES_128_CBC_SHA256 (0x3c)
• TLS_RSA_WITH_AES_256_CBC_SHA (0x35)
• TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)
• TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)

Die TLS-Konfiguration wird mit eingerichtet.

• Unsichere Neuverhandlung muss deaktiviert werden.
• Die TLS-Komprimierung muss deaktiviert sein.

Die Wiederaufnahme des TLS-Sitzungstickets ist für eine schnellere Konnektivität aktiviert. Tokenbasierte Authentifizierung wird für die Authentifizierung und Autorisierung des Benutzerzugriffs verwendet.

Speicher und Verwaltung von Geheimnissen

Die grundlegende Mission von Secrets Management besteht darin, die Daten der Kunden, die wir bedienen, auf eine Weise zu schützen, die den höchsten Idealen in unserer Branche entspricht, und die Vorteile automatisierter Prozesse zu nutzen, um den Zugriff von Menschen auf Kundendaten zu reduzieren, was uns dabei helfen wird, erfolgreich zu sein.

Alle HBI-Daten wie Dienstschlüssel, Kennwörter, Schlüssel, Zertifikate und andere sicherungsfähige Daten, die für den Betrieb des Diensts erforderlich sind, werden in einem sicheren Schlüsseltresor ohne menschlichen Zugriff gespeichert. Nur erforderliche Dienstkomponenten, die Zugriff benötigen, um den Dienst auf hochverfügbare und zuverlässige Weise laufen zu lassen, haben Zugriff.

Um die Geheimnisverwaltung sicherzustellen, verwendet Kaizala einen definierten Geheimnisaustauschprozess, verwendet die Unterstützung für sicheren Geheimnisspeicher und bietet Zugriffssteuerung, um den Zugriff auf Geheimnisse einzuschränken. Wir kopieren das Geheimnis nicht in Dateifreigaben oder andere externe Kommunikation oder Speicher und/oder erstellen keine Ressourcen außerhalb einer sicheren Office Services-Infrastrukturumgebung. Es stellt auch die Überwachungsschicht bereit. Zentralisierte Tools für die Verwaltung von Geheimnissen, die Konsistenz, Isolation und Redundanz gewährleisten und Ausfallzeiten aufgrund von ablaufenden Geheimnissen vermeiden sollen.