A TIC 3.0 megfelelőségének megvalósítása

Azure Firewall

Azure Application Gateway

Azure Front Door

Azure Log Analytics

Azure Event Hubs

Ez a cikk azt ismerteti, hogyan érheti el a megbízható internetkapcsolatok (TIC) 3.0-s megfelelőségét az internetkapcsolattal rendelkező Azure-alkalmazások és -szolgáltatások számára. Megoldásokat és erőforrásokat biztosít a kormányzati szervezeteknek a TIC 3.0-s megfelelőségének teljesítéséhez. Azt is ismerteti, hogyan helyezheti üzembe a szükséges eszközöket, és hogyan építheti be a megoldásokat a meglévő rendszerekbe.

Feljegyzés

A Microsoft egy javasolt konfiguráció részeként biztosítja ezeket az információkat a Federal Civil Executive Branch (FCEB) részlegeinek és ügynökségeinek a kiberbiztonsági és infrastruktúrabiztonsági ügynökség (CISA) Felhőnapló-összesítési raktár (CLAW) képességében való részvétel megkönnyítése érdekében. A javasolt konfigurációkat a Microsoft tartja karban, és azok változhatnak.

Architektúra

Töltse le az architektúra Visio-fájlját.

Adatfolyam

Tűzfal
- A tűzfal lehet 3. vagy 7. rétegű tűzfal.
  - Az Azure Firewall és néhány külső tűzfal, más néven hálózati virtuális berendezés (NVA) 3. rétegbeli tűzfalak.
  - Azure-alkalmazás webalkalmazási tűzfallal (WAF) rendelkező átjáró és az Azure Front Door WAF-sel 7. rétegbeli tűzfalak.
  - Ez a cikk az Azure Firewall, a WAF-et tartalmazó Application Gateway és az Azure Front Door WAF-alapú üzembe helyezési megoldásait ismerteti.
- A tűzfal kikényszeríti a szabályzatokat, metrikákat gyűjt, és naplózza a webszolgáltatások és a webszolgáltatásokhoz hozzáférő felhasználók és szolgáltatások közötti kapcsolati tranzakciókat.
Tűzfalnaplók
- Az Azure Firewall, a WAF-et tartalmazó Application Gateway és a WAF-alapú Azure Front Door naplókat küld a Log Analytics-munkaterületre.
- A külső tűzfalak Syslog formátumban küldenek naplókat a Log Analytics-munkaterületre egy Syslog-továbbító virtuális gépen keresztül.
Log Analytics-munkaterület
- A Log Analytics-munkaterület a naplók adattára.
- Üzemeltethet egy szolgáltatást, amely egyéni elemzést biztosít a tűzfal hálózati forgalmi adatairól.
Szolgáltatásnév (regisztrált alkalmazás)
Azure Event Hubs Standard
CISA TALON

Összetevők

Tűzfal. Az architektúra az alábbi tűzfalak közül legalább egyet fog használni. (További információ: A cikk Alternatív lehetőségek szakasza.)
- Az Azure Firewall egy natív felhőbeli, intelligens hálózati tűzfalbiztonsági szolgáltatás, amely fokozott fenyegetésvédelmet biztosít az Azure-ban futó felhőalapú számítási feladatok számára. Ez egy szolgáltatott, teljesen állapotalapú tűzfal, beépített magas rendelkezésre állással és korlátlan felhőalapú skálázhatósággal. Két teljesítményszinten érhető el: Standard és Premium. Az Azure Firewall Premium az Azure Firewall Standard összes funkcióját tartalmazza, és olyan további funkciókat biztosít, mint a Transport Layer Security (TLS) ellenőrzés és a behatolásészlelési és -megelőzési rendszer (IDPS).
- A WAF-et használó Application Gateway egy regionális webes forgalom terheléselosztó, amely lehetővé teszi a webalkalmazások felé irányuló forgalom kezelését. A WAF továbbfejlesztett központosított védelmet biztosít a webalkalmazásoknak a gyakori biztonsági résekkel és biztonsági résekkel szembeni védelmével.
- A WAF-et használó Azure Front Door egy globális webes forgalom terheléselosztó, amely lehetővé teszi a webalkalmazások felé történő forgalom kezelését. Tartalomkézbesítési hálózati (CDN) képességeket biztosít az alkalmazások felgyorsításához és modernizálásához. A WAF továbbfejlesztett központosított védelmet biztosít a webalkalmazásoknak a gyakori biztonsági résekkel és biztonsági résekkel szembeni védelmével.
- A külső tűzfal olyan NVA, amely egy Azure-beli virtuális gépen fut, és nem Microsoft-gyártóktól származó tűzfalszolgáltatásokat használ. A Microsoft támogatja a tűzfalszolgáltatásokat nyújtó külső gyártók nagy ökoszisztémáját.
Naplózás és hitelesítés.
- A Log Analytics az Azure Portalon elérhető eszköz, amellyel napló lekérdezéseket szerkeszthet és futtathat az Azure Monitor-naplókon. További információ: A Log Analytics áttekintése az Azure Monitorban.
- Az Azure Monitor átfogó megoldás a telemetriai adatok gyűjtésére, elemzésére és kezelésére.
- A Microsoft Entra ID identitásszolgáltatásokat, egyszeri bejelentkezést és többtényezős hitelesítést biztosít az Azure-számítási feladatokban.
- A szolgáltatásnév (regisztrált alkalmazás) egy olyan entitás, amely meghatározza egy felhasználó vagy alkalmazás hozzáférési szabályzatát és engedélyeit egy Microsoft Entra-bérlőben.
- Az Event Hubs Standard egy modern big data streamplatform és eseménybetöltési szolgáltatás.
- A CISA TALON egy CISA által üzemeltetett szolgáltatás, amely az Azure-ban fut. A TALON csatlakozik az Event Hubs-szolgáltatáshoz, a szolgáltatásnévhez társított CISA-tanúsítvány használatával hitelesít, és naplókat gyűjt a CLAW-használathoz.

Alternatívák

Az alábbi megoldásokban néhány alternatívát használhat:

A naplógyűjtést felelősségi területekre bonthatja. Elküldheti például a Microsoft Entra-naplókat az identitáscsoport által felügyelt Log Analytics-munkaterületre, és hálózati naplókat küldhet egy másik, a hálózati csapat által felügyelt Log Analytics-munkaterületre.
A cikkben szereplő példák mindegyike egyetlen tűzfalat használ, de egyes szervezeti követelményekhez vagy architektúrákhoz kettő vagy több szükséges. Az architektúra például egy Azure Firewall-példányt és egy WAF-et használó Application Gateway-példányt is tartalmazhat. Az egyes tűzfalak naplóit össze kell gyűjteni, és elérhetővé kell tenni a CISA TALON számára az adatgyűjtéshez.
Ha a környezethez az Azure-alapú virtuális gépekről érkező internetes kimenő forgalomra van szükség, használhat egy 3. rétegbeli megoldást, például az Azure Firewallt vagy egy külső tűzfalat a kimenő forgalom figyeléséhez és naplózásához.

Forgatókönyv részletei

A TIC 3.0 a helyszíni adatgyűjtésről a modern alkalmazásokat és rendszereket jobban támogató felhőalapú megközelítésre helyezi át a TIC-t. Ez javítja a teljesítményt, mert közvetlenül elérheti az Azure-alkalmazásokat. A TIC 2.x használatával egy TIC 2.x felügyelt, megbízható internetprotokoll-szolgáltatáson (MTIPS) keresztül kell hozzáférnie az Azure-alkalmazásokhoz, ami lelassítja a választ.

Az alkalmazás forgalmának tűzfalon keresztüli átirányítása és naplózása az itt bemutatott megoldásokban bemutatott alapvető funkciók egyike. A tűzfal lehet Az Azure Firewall, az Azure Front Door WAF-sel, az Application Gateway WAF-szel vagy egy külső NVA. A tűzfal segít a felhő peremhálózatának védelmében, és menti az egyes tranzakciók naplóit. A tűzfalrétegtől függetlenül a naplógyűjtési és kézbesítési megoldáshoz Log Analytics-munkaterületre, regisztrált alkalmazásra és eseményközpontra van szükség. A Log Analytics-munkaterület naplókat küld az eseményközpontnak.

A CLAW egy CISA által felügyelt szolgáltatás. 2022 végén a CISA kiadta a TALON-t. A TALON egy CISA által felügyelt szolgáltatás, amely natív Azure-képességeket használ. A TALON egy példánya minden Azure-régióban fut. A TALON a kormányzati szervek által felügyelt eseményközpontokhoz csatlakozik, hogy lekérje az ügynökség tűzfalát és a Microsoft Entra naplóit a CISA CLAW-ba.

A CLAW, a TIC 3.0 és az MTIPS szolgáltatással kapcsolatos további információkért lásd:

Lehetséges használati esetek

A TIC 3.0 megfelelőségi megoldásait gyakran használják a szövetségi szervezetek és a kormányzati ügynökségek az Azure-alapú webalkalmazásaikhoz és API-szolgáltatásaikhoz.

Megfontolások

Ezek a szempontok implementálják az Azure Well-Architected Framework alappilléreit, amely a számítási feladatok minőségének javítására használható vezérelvek készlete. További információ: Microsoft Azure Well-Architected Framework.

Értékelje ki a jelenlegi architektúrát, és állapítsa meg, hogy az itt bemutatott megoldások közül melyik biztosítja a TIC 3.0-s megfelelőség legjobb megközelítését.
A CLAW-hoz való hozzáférés kéréséhez forduljon a CISA-képviselőhöz.
A cikkben szereplő Üzembe helyezés az Azure-ban gombokkal üzembe helyezhet egy vagy több megoldást egy tesztkörnyezetben. Ennek segítségével megismerkedhet a folyamattal és az üzembe helyezett erőforrásokkal.
Lásd az internetes alkalmazások TIC 3.0-s megfelelőségét ismertető kiegészítő cikket, amely további részleteket és eszközöket tartalmaz a TIC 3.0-hoz:
- További információ a megfelelőség eléréséről.
- ARM-sablonok az üzembe helyezés egyszerűsítése érdekében.
- Információk a meglévő erőforrások megoldásba való integrálásához.
- Az egyes szolgáltatási rétegekhez gyűjtött naplók típusai és a Kusto-lekérdezések a CISA által gyűjtött naplók áttekintéséhez. A lekérdezéseket a szervezet biztonsági követelményeihez használhatja.

Megbízhatóság

A megbízhatóság biztosítja, hogy az alkalmazás megfeleljen az ügyfelek felé vállalt kötelezettségeknek. További információ: A megbízhatósági pillér áttekintése.

Az Azure Firewall Standard és a Premium integrálható a rendelkezésre állási zónákkal a rendelkezésre állás növelése érdekében.
Az Application Gateway v2 támogatja az automatikus skálázást és a rendelkezésre állási zónákat a megbízhatóság növelése érdekében.
Az olyan terheléselosztási szolgáltatásokat tartalmazó többrégiós implementációk, mint az Azure Front Door, növelhetik a megbízhatóságot és a rugalmasságot.
Az Event Hubs Standard és a Premium georedundáns helyreállítási párosítást biztosít, amely lehetővé teszi a névtér feladatátvételét egy másodlagos régióba.

Biztonság

A biztonság biztosítékokat nyújt a szándékos támadások és az értékes adatokkal és rendszerekkel való visszaélés ellen. További információ: A biztonsági pillér áttekintése.

Vállalati alkalmazás regisztrálásakor létrejön egy szolgáltatásnév. Használjon olyan elnevezési sémát a szolgáltatásnevekhez, amelyek jelzik az egyes szolgáltatások célját.
A szolgáltatásnevek tevékenységének és a szolgáltatásnév-tulajdonosok állapotának meghatározásához végezzen auditokat.
Az Azure Firewall szabványos szabályzatokkal rendelkezik. Az Application Gatewayhez és az Azure Front Doorhoz társított WAF-ek felügyelt szabálykészletekkel rendelkeznek a webszolgáltatás biztonságossá tételéhez. Kezdje ezekkel a szabálykészletekkel, és alakítsa ki idővel a szervezeti szabályzatokat az iparági követelmények, az ajánlott eljárások és a kormányzati szabályozások alapján.
Az Event Hubs-hozzáférés a Microsoft Entra által felügyelt identitásokon és a CISA által biztosított tanúsítványon keresztül engedélyezett.

Költségoptimalizálás

A költségoptimalizálás a szükségtelen kiadások csökkentéséről és a működési hatékonyság javításáról szól. További információ: A költségoptimalizálási pillér áttekintése.

Az egyes megoldások költségei az erőforrások növekedésével csökkennek. Ebben az Azure-díjkalkulátor példaforgatókönyvében a díjszabás az Azure Firewall megoldásán alapul. Ha módosítja a konfigurációt, a költségek növekedhetnek. Egyes tervek esetén a betöltési naplók számának növekedésével nő a költségek.

Feljegyzés

Az Azure díjkalkulátorával naprakész díjszabást kaphat a kiválasztott megoldáshoz üzembe helyezett erőforrások alapján.

Működés eredményessége

Az üzemeltetési kiválóság azokat az üzemeltetési folyamatokat fedi le, amelyek üzembe helyeznek egy alkalmazást, és éles környezetben tartják azt. További információ: A működési kiválósági pillér áttekintése.

Az Azure Monitor-riasztások beépített megoldások, amelyek értesítik, ha egy feltöltés nem kézbesíti a naplókat a CLAW-nak. Meg kell határoznia a riasztások súlyosságát és a válaszadás módját.
ARM-sablonokkal felgyorsíthatja a TIC 3.0-architektúrák üzembe helyezését az új alkalmazásokhoz.

Teljesítmény hatékonysága

A teljesítménybeli hatékonyság lehetővé teszi, hogy a számítási feladatok hatékonyan méretezhetők legyenek a felhasználók igényei szerint. További információ: Teljesítményhatékonysági pillér áttekintése.

Az Azure Firewall, az Application Gateway, az Azure Front Door és az Event Hubs teljesítménye a használat növekedésével skálázható.
Az Azure Firewall Premium több TCP-kapcsolatot tesz lehetővé, mint a Standard, és nagyobb sávszélességet biztosít.
Az Application Gateway v2 automatikusan biztosítja, hogy az új példányok el legyenek osztva a tartalék tartományok között, és frissítse a tartományokat.
Az Azure Front Door gyorsítótárazást, tömörítést, forgalomgyorsítást és TLS-leállítást biztosít a teljesítmény javítása érdekében.
Az Event Hubs Standard és a Premium automatikus felskálázást biztosít a terhelés növekedésével járó vertikális felskálázáshoz.

Azure Firewall-megoldás üzembe helyezése

Az alábbi megoldás az Azure Firewall használatával kezeli az Azure-alkalmazáskörnyezetbe érkező forgalmat. A megoldás tartalmazza a naplók CLAW-ba történő létrehozásához, gyűjtéséhez és továbbításához szükséges összes erőforrást. Emellett egy app service-t is tartalmaz, amely nyomon követi a tűzfal által gyűjtött telemetriai típusokat.

A megoldás a következőket tartalmazza:

Egy virtuális hálózat, amely külön alhálózatokkal rendelkezik a tűzfalhoz és a kiszolgálókhoz.
Egy Log Analytics-munkaterület.
Az Azure Firewall hálózati házirenddel rendelkezik az internet-hozzáféréshez.
Az Azure Firewall diagnosztikai beállításai, amelyek naplókat küldenek a Log Analytics-munkaterületre.
Az alkalmazás erőforráscsoporthoz társított útvonaltábla, amely átirányítja az app service-t a létrehozott naplók tűzfalára.
Regisztrált alkalmazás.
Eseményközpont.
Riasztási szabály, amely e-mailt küld, ha egy feladat meghiúsul.

Az egyszerűség kedvéért minden erőforrás egyetlen előfizetésben és virtuális hálózaton van üzembe helyezve. Az erőforrásokat az erőforráscsoportok tetszőleges kombinációjában vagy több virtuális hálózaton is üzembe helyezheti.

Üzembe helyezés utáni feladatok

Az üzembe helyezés után a környezet elvégzi a tűzfal képességeit és a naplózási kapcsolatokat. A hálózati telemetriai gyűjtemény TIC 3.0-házirendjeinek való megfelelés érdekében meg kell győződnie arról, hogy a naplók a CISA CLAW-ba teszik. Az üzembe helyezés utáni lépések befejezik a feladatokat a megfelelőség engedélyezéséhez. A lépések elvégzéséhez össze kell hangolnia a CISA-val, mert a CISA-nak meg kell adnia egy tanúsítványt, amely társítva van a szolgáltatásnévvel. Részletes információkért tekintse meg az üzembe helyezés utáni feladatokat.

Az üzembe helyezés után manuálisan kell elvégeznie a következő feladatokat. ARM-sablonnal nem fejezheti be őket.

Nyilvános kulcsú tanúsítvány beszerzése a CISA-tól.
Szolgáltatásnév létrehozása (alkalmazásregisztráció).
Adja hozzá a nyilvános kulcsú tanúsítványt az alkalmazásregisztrációhoz.
Rendelje hozzá az alkalmazást az Azure Event Hubs-adatátvevő szerepkörhöz az Event Hubs névtér hatókörében.
Aktiválja a hírcsatornát úgy, hogy elküldi az Azure-bérlőazonosítót, az alkalmazás (ügyfél) azonosítóját, az eseményközpont névterének nevét, az eseményközpont nevét és a fogyasztói csoport nevét a CISA-nak.

Az Application Gatewayt WAF-sel használó megoldás üzembe helyezése

Az alábbi megoldás az Application Gateway és a WAF használatával kezeli az Azure-alkalmazáskörnyezetbe érkező forgalmat. A megoldás tartalmazza a naplók CLAW-ba történő létrehozásához, gyűjtéséhez és továbbításához szükséges összes erőforrást. Emellett egy app service-t is tartalmaz, amely nyomon követi a tűzfal által gyűjtött telemetriai típusokat.

A megoldás a következőket tartalmazza:

Egy virtuális hálózat, amely külön alhálózatokkal rendelkezik a tűzfalhoz és a kiszolgálókhoz.
Egy Log Analytics-munkaterület.
Egy Application Gateway v2-példány waf-tal. A WAF robottal és Microsoft által felügyelt szabályzatokkal van konfigurálva.
Az Application Gateway v2 diagnosztikai beállításai, amelyek naplókat küldenek a Log Analytics-munkaterületre.
Regisztrált alkalmazás.
Eseményközpont.
Riasztási szabály, amely e-mailt küld, ha egy feladat meghiúsul.

Üzembe helyezés utáni feladatok

Az üzembe helyezés után manuálisan kell elvégeznie a következő feladatokat. ARM-sablonnal nem fejezheti be őket.

Nyilvános kulcsú tanúsítvány beszerzése a CISA-tól.
Szolgáltatásnév létrehozása (alkalmazásregisztráció).
Adja hozzá a nyilvános kulcsú tanúsítványt az alkalmazásregisztrációhoz.
Rendelje hozzá az alkalmazást az Azure Event Hubs-adatátvevő szerepkörhöz az Event Hubs névtér hatókörében.
Aktiválja a hírcsatornát úgy, hogy elküldi az Azure-bérlőazonosítót, az alkalmazás (ügyfél) azonosítóját, az eseményközpont névterének nevét, az eseményközpont nevét és a fogyasztói csoport nevét a CISA-nak.

Azure Front Doort waf-tal használó megoldás üzembe helyezése

Az alábbi megoldás az Azure Front Door és a WAF használatával kezeli az Azure-alkalmazáskörnyezetbe érkező forgalmat. A megoldás tartalmazza a naplók CLAW-ba történő létrehozásához, gyűjtéséhez és továbbításához szükséges összes erőforrást. Emellett egy app service-t is tartalmaz, amely nyomon követi a tűzfal által gyűjtött telemetriai típusokat.

A megoldás a következőket tartalmazza:

Egy virtuális hálózat, amely külön alhálózatokkal rendelkezik a tűzfalhoz és a kiszolgálókhoz.
Egy Log Analytics-munkaterület.
Egy Azure Front Door-példány WAF-tal. A WAF robottal és Microsoft által felügyelt szabályzatokkal van konfigurálva.
Az Azure Front Door diagnosztikai beállításai, amelyek naplókat küldenek a Log Analytics-munkaterületre.
Regisztrált alkalmazás.
Eseményközpont.
Riasztási szabály, amely e-mailt küld, ha egy feladat meghiúsul.

Üzembe helyezés utáni feladatok

Az üzembe helyezés után manuálisan kell elvégeznie a következő feladatokat. ARM-sablonnal nem fejezheti be őket.

Nyilvános kulcsú tanúsítvány beszerzése a CISA-tól.
Szolgáltatásnév létrehozása (alkalmazásregisztráció).
Adja hozzá a nyilvános kulcsú tanúsítványt az alkalmazásregisztrációhoz.
Rendelje hozzá az alkalmazást az Azure Event Hubs-adatátvevő szerepkörhöz az Event Hubs névtér hatókörében.
Aktiválja a hírcsatornát úgy, hogy elküldi az Azure-bérlőazonosítót, az alkalmazás (ügyfél) azonosítóját, az eseményközpont névterének nevét, az eseményközpont nevét és a fogyasztói csoport nevét a CISA-nak.

Külső tűzfal (NVA) megoldás

Feljegyzés

Ehhez a megoldáshoz nincsenek üzembehelyezési erőforrások. Ez csak útmutatást nyújt.

Az alábbi megoldás bemutatja, hogyan kezelheti az Azure-alkalmazáskörnyezetbe érkező forgalmat külső tűzfallal, és hogyan valósíthatja meg a TIC 3.0-s megfelelőséget. A külső tűzfalak használatához Syslog forwarder virtuális gép szükséges. Az ügynökeit regisztrálni kell a Log Analytics-munkaterületen. A külső tűzfal úgy van konfigurálva, hogy a naplóit Syslog formátumban exportálja a Syslog forwarder virtuális gépre. Az ügynök úgy van konfigurálva, hogy a naplóit a Log Analytics-munkaterületre küldje. Miután a naplók a Log Analytics-munkaterületen vannak, a rendszer elküldi őket az Event Hubsnak, és feldolgozzák őket a cikkben ismertetett egyéb megoldásokban leírtak szerint.

Üzembe helyezés utáni feladatok

Az üzembe helyezés után manuálisan kell elvégeznie a következő feladatokat. ARM-sablonnal nem fejezheti be őket.

Nyilvános kulcsú tanúsítvány beszerzése a CISA-tól.
Szolgáltatásnév létrehozása (alkalmazásregisztráció).
Adja hozzá a nyilvános kulcsú tanúsítványt az alkalmazásregisztrációhoz.
Rendelje hozzá az alkalmazást az Azure Event Hubs-adatátvevő szerepkörhöz az Event Hubs névtér hatókörében.
Aktiválja a hírcsatornát úgy, hogy elküldi az Azure-bérlőazonosítót, az alkalmazás (ügyfél) azonosítóját, az eseményközpont névterének nevét, az eseményközpont nevét és a fogyasztói csoport nevét a CISA-nak.

Közreműködők

Ezt a cikket a Microsoft tartja karban. Eredetileg a következő közreműködők írták.

Fő szerző:

Paul Lizer | Vezető felhőmegoldás-tervező

Egyéb közreműködő:

Mick Alberts | Műszaki író

A nem nyilvános LinkedIn-profilok megtekintéséhez jelentkezzen be a LinkedInbe.

Megosztás a következőn keresztül:

A TIC 3.0 megfelelőségének megvalósítása