क्लाउड के लिए Microsoft डिफ़ेंडर में उद्योग और नियामक मानक जोड़ें
Microsoft क्लाउड सुरक्षा बेंचमार्क (MCSB) Azure और आपके मल्टीक्लाउड परिवेश पर कार्यभार, डेटा और सेवाओं की सुरक्षा को बेहतर बनाने में मदद करने के लिए निर्देशात्मक सर्वोत्तम अभ्यास और अनुशंसाएँ प्रदान करता है, जिसमें समग्र Microsoft और उद्योग सुरक्षा मार्गदर्शन के सेट से इनपुट के साथ क्लाउड-केंद्रित नियंत्रण क्षेत्रों पर ध्यान केंद्रित किया जाता है जिसमें शामिल हैं:
- क्लाउड एडॉप्शन फ्रेमवर्क: रणनीति, भूमिकाओं और जिम्मेदारियों सहित सुरक्षा पर मार्गदर्शन, Azure शीर्ष 10 सुरक्षा सर्वोत्तम अभ्यास और संदर्भ कार्यान्वयन।
- Azure Well-Architected Framework: Azure पर अपने कार्यभार को सुरक्षित करने पर मार्गदर्शन।
- मुख्य सूचना सुरक्षा अधिकारी (सीआईएसओ) कार्यशाला: शून्य ट्रस्ट सिद्धांतों का उपयोग करके सुरक्षा आधुनिकीकरण में तेजी लाने के लिए कार्यक्रम मार्गदर्शन और संदर्भ रणनीतियाँ।
- अन्य उद्योग और क्लाउड सेवा प्रदाता के सुरक्षा सर्वोत्तम अभ्यास मानक और रूपरेखा: उदाहरणों में Amazon Web Services (AWS) Well-Architected फ्रेमवर्क, सेंटर फॉर इंटरनेट सिक्योरिटी (CIS) कंट्रोल्स, नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (NIST), और पेमेंट कार्ड इंडस्ट्री डेटा सिक्योरिटी स्टैंडर्ड (PCI-DSS) शामिल हैं।
Microsoft क्लाउड सुरक्षा बेंचमार्क सुविधाएँ
व्यापक मल्टीक्लाउड सुरक्षा ढांचा: संगठनों को अक्सर उनमें से प्रत्येक पर सुरक्षा और अनुपालन आवश्यकताओं को पूरा करने के लिए कई क्लाउड प्लेटफार्मों पर सुरक्षा नियंत्रणों को समेटने के लिए एक आंतरिक सुरक्षा मानक का निर्माण करना पड़ता है। सुरक्षा नियंत्रण बनाने के लिए सुरक्षा टीमों को अलग-अलग क्लाउड वातावरणों (अक्सर अलग-अलग अनुपालन मानकों के लिए) में एक ही कार्यान्वयन, निगरानी और मूल्यांकन को दोहराने की आवश्यकता होती है। इस समस्या का समाधान करने के लिए, हमने Azure सुरक्षा बेंचमार्क (ASB) को Microsoft क्लाउड सुरक्षा बेंचमार्क (MCSB) में एन्हांस किया है, ताकि आप निम्न द्वारा विभिन्न क्लाउड के साथ त्वरित रूप से कार्य कर सकें:
- बादलों में सुरक्षा नियंत्रणों को आसानी से पूरा करने के लिए एकल नियंत्रण ढांचा प्रदान करना
- क्लाउड के लिए डिफेंडर में मल्टीक्लाउड सुरक्षा बेंचमार्क की निगरानी और लागू करने के लिए लगातार उपयोगकर्ता अनुभव प्रदान करना
- उद्योग मानकों के साथ गठबंधन करना (उदाहरण के लिए, इंटरनेट सुरक्षा केंद्र, राष्ट्रीय मानक और प्रौद्योगिकी संस्थान, भुगतान कार्ड उद्योग)
क्लाउड के लिए Microsoft डिफेंडर में AWS के लिए स्वचालित नियंत्रण निगरानी: आप Microsoft क्लाउड सुरक्षा बेंचमार्क (MCSB) के विरुद्ध अपने AWS वातावरण की निगरानी के लिए क्लाउड नियामक अनुपालन डैशबोर्ड के लिए Microsoft डिफ़ेंडर का उपयोग कर सकते हैं, ठीक उसी तरह जैसे आप अपने Azure वातावरण की निगरानी करते हैं। हमने MCSB में नए AWS सुरक्षा मार्गदर्शन के लिए लगभग 180 AWS चेक विकसित किए हैं, जिससे आप क्लाउड के लिए Microsoft डिफेंडर में अपने AWS वातावरण और संसाधनों की निगरानी कर सकते हैं।
उदाहरण: क्लाउड के लिए Microsoft डिफ़ेंडर - नियामक अनुपालन डैशबोर्ड
Azure मार्गदर्शन और सुरक्षा सिद्धांत: Azure सुरक्षा मार्गदर्शन, सुरक्षा सिद्धांत, सुविधाएँ और क्षमताएँ.
नियंत्रण
| नियंत्रण डोमेन | विवरण |
|---|---|
| नेटवर्क सुरक्षा (NS) | नेटवर्क सुरक्षा नेटवर्क को सुरक्षित और संरक्षित करने के लिए नियंत्रण को कवर करती है, जिसमें वर्चुअल नेटवर्क को सुरक्षित करना, निजी कनेक्शन स्थापित करना, बाहरी हमलों को रोकना और कम करना और डोमेन नेम सिस्टम (डीएनएस) को सुरक्षित करना शामिल है। |
| पहचान प्रबंधन (IM) | पहचान प्रबंधन में पहचान और पहुँच प्रबंधन सिस्टम का उपयोग करके एक सुरक्षित पहचान और पहुँच नियंत्रण स्थापित करने के लिए नियंत्रण शामिल हैं, जिसमें एकल साइन-ऑन, सशक्त प्रमाणीकरण, अनुप्रयोगों के लिए प्रबंधित पहचान (और सेवा प्रिंसिपल), सशर्त पहुँच और खाता विसंगतियों की निगरानी शामिल है. |
| विशेषाधिकार प्राप्त पहुंच (PA) | विशेषाधिकार प्राप्त पहुँच आपके टैनेंट और संसाधनों तक विशेषाधिकार प्राप्त पहुँच की सुरक्षा के लिए नियंत्रणों को कवर करती है, जिसमें आपके व्यवस्थापकीय मॉडल, व्यवस्थापकीय खातों और विशेषाधिकार प्राप्त पहुँच कार्यस्थानों को जानबूझकर और अनजाने में होने वाले जोखिम से बचाने के लिए कई नियंत्रण शामिल हैं. |
| डेटा संरक्षण (डीपी) | डेटा सुरक्षा में आराम से, पारगमन में, और अधिकृत पहुंच तंत्र के माध्यम से डेटा सुरक्षा का नियंत्रण शामिल है, जिसमें एक्सेस कंट्रोल, एन्क्रिप्शन, कुंजी प्रबंधन और प्रमाणपत्र प्रबंधन का उपयोग करके संवेदनशील डेटा संपत्तियों की खोज, वर्गीकृत, सुरक्षा और निगरानी शामिल है। |
| एसेट मैनेजमेंट (एएम) | संपत्ति प्रबंधन आपके संसाधनों पर सुरक्षा दृश्यता और शासन सुनिश्चित करने के लिए नियंत्रण शामिल करता है, जिसमें सुरक्षा कर्मियों के लिए अनुमतियों पर सिफारिशें, संपत्ति सूची तक सुरक्षा पहुंच और सेवाओं और संसाधनों के लिए अनुमोदन प्रबंधित करना (इन्वेंट्री, ट्रैक और सही) शामिल हैं। |
| लॉगिंग और थ्रेट डिटेक्शन (LT) | लॉगिंग और थ्रेट डिटेक्शन क्लाउड सेवाओं के लिए खतरों का पता लगाने और ऑडिट लॉग को सक्षम करने, एकत्र करने और संग्रहीत करने के लिए नियंत्रण को कवर करता है, जिसमें क्लाउड सेवाओं में मूल खतरे का पता लगाने के साथ उच्च-गुणवत्ता वाले अलर्ट उत्पन्न करने के लिए नियंत्रणों के साथ पहचान, जांच और उपचार प्रक्रियाओं को सक्षम करना शामिल है; इसमें क्लाउड मॉनिटरिंग सेवा के साथ लॉग एकत्र करना, सुरक्षा इवेंट मैनेजमेंट (SEM) के साथ सुरक्षा विश्लेषण को केंद्रीकृत करना, समय सिंक्रनाइज़ेशन और लॉग प्रतिधारण भी शामिल है। |
| घटना प्रतिक्रिया (IR) | घटना प्रतिक्रिया घटना प्रतिक्रिया जीवन चक्र में नियंत्रण को कवर करता है - घटना प्रतिक्रिया प्रक्रिया को स्वचालित करने के लिए Azure सेवाओं (जैसे क्लाउड के लिए Microsoft Defender और Microsoft Sentinel) और/या अन्य क्लाउड सेवाओं का उपयोग करने सहित तैयारी, पता लगाना और विश्लेषण, रोकथाम और घटना के बाद की गतिविधियाँ. |
| आसन और भेद्यता प्रबंधन (पीवी) | आसन और भेद्यता प्रबंधन क्लाउड सुरक्षा मुद्रा का आकलन और सुधार करने के लिए नियंत्रणों पर ध्यान केंद्रित करता है, जिसमें भेद्यता स्कैनिंग, पैठ परीक्षण और उपचार, साथ ही सुरक्षा कॉन्फ़िगरेशन ट्रैकिंग, रिपोर्टिंग और क्लाउड संसाधनों में सुधार शामिल है। |
| समापन बिंदु सुरक्षा (ES) | Endpoint Security एंडपॉइंट डिटेक्शन और प्रतिक्रिया में नियंत्रणों को कवर करता है, जिसमें एंडपॉइंट डिटेक्शन एंड रिस्पांस (EDR) और क्लाउड वातावरण में एंडपॉइंट के लिए एंटी-मैलवेयर सेवा का उपयोग शामिल है। |
| बैकअप और रिकवरी (BR) | बैकअप और पुनर्प्राप्ति कवर नियंत्रण यह सुनिश्चित करने के लिए कि डेटा और कॉन्फ़िगरेशन बैकअप विभिन्न सेवा स्तरों पर निष्पादित, मान्य और संरक्षित हैं। |
| DevOps सुरक्षा (DS) | DevOps Security DevOps प्रक्रियाओं में सुरक्षा इंजीनियरिंग और संचालन से संबंधित नियंत्रणों को कवर करता है, जिसमें DevOps प्रक्रिया के दौरान सुरक्षा सुनिश्चित करने के लिए परिनियोजन चरण से पहले महत्वपूर्ण सुरक्षा जांच (जैसे स्थिर अनुप्रयोग सुरक्षा परीक्षण और भेद्यता प्रबंधन) की तैनाती शामिल है; इसमें खतरे के मॉडलिंग और सॉफ्टवेयर आपूर्ति सुरक्षा जैसे सामान्य लेख भी शामिल हैं। |
| शासन और रणनीति (जीएस) | शासन और रणनीति एक सुसंगत सुरक्षा रणनीति सुनिश्चित करने के लिए मार्गदर्शन प्रदान करते हैं और सुरक्षा आश्वासन को बनाए रखने और बनाए रखने के लिए प्रलेखित शासन दृष्टिकोण प्रदान करते हैं, जिसमें विभिन्न क्लाउड सुरक्षा कार्यों, एकीकृत तकनीकी रणनीति और नीतियों और मानकों का समर्थन करने के लिए भूमिकाएं और जिम्मेदारियां स्थापित करना शामिल है। |
नियामक अनुपालन के लिए उच्च स्तरीय सेटअप निर्देश
चरण दर चरण
- क्लाउड के लिए डिफेंडर सक्षम करें (यदि पहले से सक्षम नहीं है)
- Azure पोर्टल → Microsoft Defender for Cloud
- सुनिश्चित करें कि क्लाउड के लिए डिफेंडर सदस्यता या प्रबंधन समूह पर सक्षम है
- नियामक अनुपालन पर जाएं
- Azure पोर्टल → Microsoft Defender for Cloud
- नियामक अनुपालन का चयन करें
- एक नियामक मानक सक्षम करें
- अनुपालन नीतियां प्रबंधित करें चुनें
- अंतर्निहित मानकों (उदाहरण) में से चुनें:
- आईएसओ 27001
- एनआईएसटी एसपी 800 53
- PCI DSSCIS बेंचमार्क
- एसओसी 2
- जोड़ें चुनें
- मानक को एक दायरे में असाइन करें
- किसी मानक को सक्षम करते समय, आप इसे एक या अधिक क्षेत्रों पर असाइन करते हैं:
- प्रबंधन समूह (उद्यम के लिए सर्वोत्तम अभ्यास)
- सदस्यता
- किसी मानक को सक्षम करते समय, आप इसे एक या अधिक क्षेत्रों पर असाइन करते हैं:
- नियंत्रण और आकलन की समीक्षा करें
- प्रत्येक मानक को नियंत्रण में तोड़ा गया है
- उदाहरण: "सुरक्षित नेटवर्क कॉन्फ़िगरेशन"
- प्रत्येक नियंत्रण मानचित्र:
- Azure नीति मूल्यांकन
- क्लाउड अनुशंसाओं के लिए डिफेंडर
- आप इसमें ड्रिल कर सकते हैं:
- नियंत्रण की स्थिति
- पासिंग/असफल संसाधन
- अनुपालन न करने के कारण सिफारिशें
- प्रत्येक मानक को नियंत्रण में तोड़ा गया है
- गैर-अनुपालन निष्कर्षों का समाधान करें
- आप गैर-अनुपालन को निम्न द्वारा हल करते हैं:
- कॉन्फ़िगरेशन समस्याओं को ठीक करना
- डिफेंडर योजनाओं को सक्षम करना (उदाहरण के लिए, SQL के लिए डिफेंडर, भंडारण)
- नीति सुधार कार्यों को लागू करना
- जहां उचित हो वहां छूट का उपयोग करना
- आप गैर-अनुपालन को निम्न द्वारा हल करते हैं:
- कस्टम आवश्यकताएँ जोड़ें (वैकल्पिक)
- यदि आपके संगठन में है:
- आंतरिक नियंत्रण
- क्षेत्रीय नियम
- उद्योग विशिष्ट नियम
- यदि आपके संगठन में है:
- छूट का उपयोग करें (ऑडिट अनुकूल कारणों से)
- उचित गैर-अनुपालन के लिए (प्रलेखित जोखिम स्वीकृति)
- झूठी नकारात्मक के बिना ऑडिट स्पष्टता बनाए रखता है