Nulla megbízhatósági biztonság az Azure-ban

A Nulla megbízhatóság egy biztonsági stratégia, amely feltételezi a biztonsági réseket, és ellenőrzi az egyes kéréseket, mintha egy ellenőrizetlen hálózatból származna. Ez a cikk bemutatja a zéró megbízhatósági alapelveket, és hogy ezek hogyan alkalmazhatók a Microsoft Azure-ra.

Jótanács

Az átfogó nulla megbízhatósági útmutatásért tekintse meg a Zero Trust dokumentációját , amely a következőket tartalmazza:

Ez a cikk az Azure-ra összpontosító bevezetést nyújt a zéró megbízhatósági fogalmakba.

Az Azure-ra vonatkozó zéró megbízhatósági alapelvek

Napjainkban a szervezeteknek olyan biztonsági modellre van szükségük, amely hatékonyan alkalmazkodik a modern környezet összetettségéhez, átfogja a mobil munkaerőt, és bárhol is tartózkodik, védelmet nyújt a személyeknek, eszközöknek, alkalmazásoknak és adatoknak.

A Nulla megbízhatóság biztonsági modell három alapelven alapul:

  • Explicit ellenőrzés – Mindig hitelesítse és engedélyezze az összes rendelkezésre álló adatpont alapján, beleértve a felhasználói identitást, a helyet, az eszköz állapotát, valamint a szolgáltatást vagy a számítási feladatot.
  • Legkisebb jogosultság elve – A felhasználók hozzáférésének korlátozása Just-In-Time és Just-Enough-Access (JIT/JEA) módszerekkel, kockázat alapú adaptív szabályzatokkal és adatvédelemmel.
  • Feltételezzük a behatolást – A robbanás sugarának és a szegmensekhez való hozzáférés minimalizálása. Ellenőrizze a teljes körű titkosítást, és használja az elemzést a láthatóság eléréséhez, a fenyegetésészleléshez és a védelem javításához.

Alapelvek alkalmazása Azure-számítási feladatokra

Az Azure-ban a Nulla megbízhatóság megvalósítása során ezek az alapelvek konkrét architektúramintákká alakulnak:

Explicit módon ellenőrizze , hogy az Azure-erőforrásokhoz irányuló minden hozzáférési kérést hitelesíteni kell és engedélyezni kell a Microsoft Entra ID használatával, a feltételes hozzáférési szabályzatokkal, amelyek több jel alapján értékelik ki a kockázatokat, például a felhasználó, az eszköz, a hely és a számítási feladatok környezete alapján.

A minimális jogosultsági hozzáférés használatához szerepköralapú hozzáférés-vezérlést (RBAC) kell használni minimális engedélyekkel, just-In-Time (JIT) hozzáférést a rendszergazdai műveletekhez, és felügyelt identitásokat kell használnia a hitelesítő adatok tárolása helyett.

Feltételezzük, hogy a biztonsági rések a hálózat szegmentálását hajtják végre, hogy korlátozzák az oldalirányú mozgást, a inaktív és az átvitel alatt lévő adatok titkosítását, a folyamatos monitorozást és fenyegetésészlelést, valamint a romboló támadások elleni védelem érdekében nem módosítható biztonsági másolatokat.

Nulla megbízhatósági architektúra az Azure-ban

A zéró megbízhatósági megközelítés a teljes digitális tulajdonra kiterjed, és integrált biztonsági filozófiaként és végpontok közötti stratégiaként szolgál. Az Azure-ra alkalmazva olyan multidiszciplináris megközelítésre van szükség, amely szisztematikusan kezeli az infrastruktúrát, a hálózatkezelést, az identitást és az adatvédelemet.

Ez az ábra azokat az elsődleges elemeket mutatja be, amelyek hozzájárulnak a Zéró Bizalomhoz.

Nulla megbízhatósági architektúra

Az ábrán:

  • A biztonsági szabályzatok kikényszerítése a nulla megbízhatósági architektúra középpontjában áll. Ez magában foglalja a feltételes hozzáféréssel rendelkező többtényezős hitelesítést, amely figyelembe veszi a felhasználói fiókok kockázatát, az eszköz állapotát, valamint a beállított egyéb feltételeket és szabályzatokat.
  • Az identitások, az eszközök (más néven végpontok), az adatok, az alkalmazások, a hálózat és más infrastruktúra-összetevők mind megfelelő biztonsággal vannak konfigurálva. Az egyes összetevőkhöz konfigurált szabályzatok a teljes zéró megbízhatósági stratégiával vannak összehangolva.
  • A veszélyforrások elleni védelem és az intelligencia figyeli a környezetet, felfedi az aktuális kockázatokat, és automatizált lépéseket tesz a támadások elhárításához.

A peremhálózattól a nulla megbízhatóságig

Az informatikai hozzáférés-vezérlés hagyományos megközelítése a vállalati hálózat peremhálózatához való hozzáférés korlátozásán alapul. Ez a modell az összes erőforrást egy vállalati tulajdonú hálózati kapcsolatra korlátozza, és túl korlátozóvá vált a dinamikus vállalat igényeinek kielégítéséhez.

Váltás a hagyományos hálózati szegélyről a Nulla megbízhatósági megközelítésre

Azure-környezetekben különösen fontos a Nulla megbízhatóságra váltás, mivel a felhőerőforrások a hagyományos hálózati szegélyeken kívül léteznek. A szervezeteknek zéró megbízhatósági megközelítést kell alkalmazniuk a hozzáférés-vezérléshez, mivel magukévá teszik a távoli munkát, és felhőtechnológiát használnak üzleti modelljük átalakításához.

A zéró megbízhatósági alapelvek segítenek a biztonsági garanciák kialakításában és folyamatos javításában, miközben fenntartják a modern felhőkörnyezetekben szükséges rugalmasságot. A legtöbb Zero Trust folyamat a hozzáférés-vezérléssel kezdődik, és preferált és elsődleges vezérlőként az identitásra összpontosít. A hálózati biztonsági technológia továbbra is kulcsfontosságú elem, de nem ez a domináns megközelítés a teljes hozzáférés-vezérlési stratégiában.

A hozzáférés-vezérlés Azure-beli zéró megbízhatóságú átalakításáról további információt a felhőbevezetési keretrendszer hozzáférés-vezérlésében talál.

A Zero Trust megvalósítása az Azure-infrastruktúrához

A Zero Trust Azure-ra való alkalmazása olyan módszeres megközelítést igényel, amely az infrastruktúra különböző rétegeit kezeli, az alapvető elemektől kezdve a teljes számítási feladatokig.

Azure IaaS és infrastruktúra-összetevők

Az Azure IaaS-hez készült Zero Trust a teljes infrastruktúra-vermet kezeli: a titkosítási és hozzáférési vezérlőkkel rendelkező tárolási szolgáltatásokat, a megbízható indítási és lemeztitkosítással rendelkező virtuális gépeket, a mikrosegmentációval rendelkező küllős hálózatokat, a központosított biztonsági szolgáltatásokkal rendelkező központosított hálózatokat és a paaS-integrációt magánvégpontokon keresztül. Részletes útmutatásért tekintse meg az Azure IaaS nulla megbízhatósági alapelveinek áttekintését.

Azure-hálózatok

A hálózati biztonság négy fő területre összpontosít: az összes hálózati forgalom titkosítására, a hálózati biztonsági csoportok és az Azure Firewall használatával történő szegmentálásra, a forgalomfigyelésen keresztüli láthatóságra, valamint az örökölt VPN-alapú vezérlők megszakítására az identitásközpontú megközelítések érdekében. Részletes útmutatásért lásd: Zéró megbízhatósági alapelvek alkalmazása az Azure-hálózatkezelésre.

Identitás vezérlősíkként

Az identitás az Azure-beli nulla megbízhatóság elsődleges vezérlősíkja. A feltételes hozzáférés a szabályzat fő motorja, amely több jel alapján kiértékeli a hozzáférési kérelmeket a hozzáférés megadásához, korlátozásához vagy letiltásához. További információ: Feltételes hozzáférés a zéró megbízhatósághoz és az Azure Identity Management biztonsági áttekintése.

Az adatok védelme és a rendelkezésre állás biztosítása

Az Azure-beli adatvédelem több réteget igényel: inaktív és átvitel alatt lévő titkosítást, felügyelt identitásokat és RBAC-t használó identitásalapú hozzáférés-vezérlést, valamint a rendkívül érzékeny számítási feladatok esetében a bizalmas számítástechnikát az adatok feldolgozás közbeni védelme érdekében. A romboló támadásokkal szembeni rugalmassághoz erőforrás-zárolásra, nem módosítható biztonsági mentésekre, georeplikációra és a helyreállítási infrastruktúra védelmére van szükség. Részletes útmutatásért lásd : Azure-erőforrások védelme a romboló kibertámadásokkal szemben.

Fenyegetésészlelés és -reagálás

A nulla megbízhatóság folyamatos monitorozást igényel azzal a feltételezéssel, hogy a fenyegetések már jelen lehetnek. A Microsoft Defender for Cloud egységes biztonsági felügyeletet és fenyegetésvédelmet biztosít az Azure-erőforrások számára, míg a Microsoft Defender XDR-vel való integráció lehetővé teszi a korrelált észlelést a teljes környezetben. Részletes információkért tekintse meg az Azure fenyegetésészlelési áttekintését és a Microsoft Sentinel és a Microsoft Defender XDR használatát.

Megosztott felelősség és Azure-biztonság

Az Azure-beli biztonság a Microsoft és az ügyfelek közös felelőssége. A Microsoft biztosítja a fizikai infrastruktúrát és az Azure-platformot, míg az ügyfelek az identitás, az adatok és az alkalmazások biztonságáért felelősek, a szolgáltatásmodellek (IaaS, PaaS, SaaS) szerinti osztással. A Nulla megbízhatóság megvalósítása megköveteli a platformszintű vezérlők és az ügyfélkonfigurációs lehetőségek összehangolását. További információ: Megosztott felelősség a felhőben.

Az Azure biztonsági képességei

Bár ez a cikk a Zero Trust azure-beli koncepcionális alkalmazásával foglalkozik, fontos tisztában lenni az elérhető biztonsági képességek széles körével. Az Azure átfogó biztonsági szolgáltatásokat nyújt az infrastruktúra minden rétegében.

Az Azure funkcionális terület szerint szervezett biztonsági képességeinek áttekintéséért lásd : Bevezetés az Azure biztonságába. A védelmi, észlelési és válaszképességek alapján szervezett Azure-biztonság megtekintéséhez tekintse meg az Azure-beli végpontok közötti biztonságot.

Az egyes tartományokhoz további részletes útmutató érhető el:

Alkalmazásfejlesztés és nulla megbízhatóság

Az Azure-ban üzembe helyezett alkalmazásoknak hitelesítenie és engedélyeznie kell minden kérést ahelyett, hogy a hálózati helyről származó implicit megbízhatóságra támaszkodnak. A fő alapelvek közé tartozik a Microsoft Entra ID használata az identitás-ellenőrzéshez, a minimális engedélyek kérése, a bizalmas adatok védelme és a felügyelt identitások használata a tárolt hitelesítő adatok helyett. Átfogó útmutatásért tekintse meg a Nulla megbízhatósági alapelveket használó fejlesztés és a Microsoft identitásplatform használatával készült, megbízhatónak nem megfelelő alkalmazások létrehozása című témakört.

Következő lépések

A Zero Trust Azure-környezetben való implementálásához kezdje az alábbi erőforrásokkal:

A Microsoft Zero Trust szélesebb körű erőforrásai esetén:

  • Last updated on