Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
Ebben a cikkben olyan biztonsági tevékenységeket és kontrollokat mutatunk be, amelyeket az alkalmazások felhőbe telepítésekor figyelembe kell venni. A Microsoft Security Development Lifecycle (SDL) kiadási és reagálási fázisai során megfontolandó biztonsági kérdések és fogalmak szerepelnek. A cél az, hogy segítsen meghatározni a biztonságosabb alkalmazások üzembe helyezéséhez használható tevékenységeket és Azure-szolgáltatásokat.
A cikk a következő SDL-fázisokat ismerteti:
- Kiadás
- Válasz
Kiadás
A kiadási fázis középpontjában egy projekt nyilvános kiadásra való előkészítése áll. Ez magában foglalja a kiadás utáni karbantartási feladatok hatékony végrehajtásának és a később esetlegesen fellépő biztonsági sérülékenységek kezelésének tervezését.
Az alkalmazás teljesítményének ellenőrzése az indítás előtt
Mielőtt elindítja az alkalmazást vagy üzembe helyezi az éles környezetben a frissítéseket, ellenőrizze az alkalmazás teljesítményét. Az Azure Load Testing használatával felhőalapú terhelésteszteket futtathat az alkalmazás teljesítményproblémáinak megkereséséhez, az üzembe helyezés minőségének javításához, annak ellenőrzéséhez, hogy az alkalmazás mindig elérhető vagy elérhető-e, és hogy az alkalmazás képes-e kezelni az indításhoz szükséges forgalmat.
Webalkalmazási tűzfal telepítése
A webalkalmazások gyakori célpontjai a rosszindulatú támadásoknak, például az SQL-injektálásnak és a webhelyközi szkriptelésnek (XSS). A támadások megakadályozása az alkalmazáskódban összetett lehet, ami szigorú karbantartást, javítást és monitorozást igényel az alkalmazás több rétegében. A központi webalkalmazási tűzfal (WAF) leegyszerűsíti a biztonságkezelést azáltal, hogy az egyes webalkalmazások védelme helyett egy központi ponton kezeli a biztonsági réseket.
Az Azure Web Application Firewall az Azure Application Gateway és az Azure Front Door számára központosított védelmet nyújt a gyakori támadások és biztonsági rések ellen. A WAF az OWASP Core Rule Set 3.0-s vagy 2.2.9-s verziójából származó szabályokat használja a webalkalmazások robusztus biztonságának biztosításához.
Incidenskezelési terv létrehozása
Az incidenskezelési terv előkészítése elengedhetetlen azért, hogy kezelni tudja az idővel felmerülő új fenyegetéseket. Az incidenskezelési terv előkészítése magában foglalja a megfelelő biztonsági vészhelyzeti kapcsolattartók azonosítását, valamint biztonsági kiszolgálási tervek létrehozását a szervezet más csoportjaitól örökölt kódhoz és a licencelt, harmadik féltől származó kódhoz.
Végső biztonsági felülvizsgálat végrehajtása
Az összes végrehajtott biztonsági tevékenység tudatos áttekintése segít biztosítani a szoftverkiadásra vagy az alkalmazásra való felkészültséget. A végső biztonsági felülvizsgálat (FSR) általában magában foglalja a fenyegetésmodellek, az eszközök kimeneteinek és a teljesítménynek a követelmények fázisában meghatározott minőségi kapuk és bug barok mentén történő vizsgálatát.
Kiadás hitelesítése és archiválása
A szoftverek kiadás előtti minősítésével biztosítható, hogy a biztonsági és adatvédelmi követelmények teljesüljenek. Az összes vonatkozó adat archiválása elengedhetetlen a kiadás utáni karbantartási feladatok elvégzéséhez. Az archiválás segít csökkenteni a tartós szoftverfejlesztéssel járó hosszú távú költségeket is.
Válasz
A kiadás utáni reagálási szakasz középpontjában a fejlesztői csapat áll, amely képes és rendelkezésre áll a megfelelő reagáláshoz a felmerülő szoftveres fenyegetésekre és sérülékenységekre vonatkozó jelentésekre.
Hajtsa végre az incidenskezelési tervet
A kiadási fázisban létrehozott incidenskezelési terv implementálása elengedhetetlen ahhoz, hogy az ügyfelek védve legyenek a felmerülő szoftverbiztonsági vagy adatvédelmi biztonsági résekkel szemben.
Az alkalmazás teljesítményének figyelése
Az alkalmazás üzembe helyezése utáni folyamatos monitorozása segíthet a teljesítményproblémák és a biztonsági rések észlelésében.
Az alkalmazásfigyelést segítő Azure-szolgáltatások a következők:
- Azure-alkalmazás Insights
- Felhőhöz készült Microsoft Defender
Application Insights
Az Application Insights egy bővíthető alkalmazásteljesítmény-kezelési (APM) szolgáltatás webfejlesztők számára több platformon. Használd élő webalkalmazásod megfigyelésére. Az Application Insights automatikusan észleli a teljesítmény rendellenességeit. Hatékony elemzési eszközöket tartalmaz, amelyekkel diagnosztizálhatja a problémákat, és megértheti, hogy a felhasználók valójában mit csinálnak az alkalmazással. Úgy tervezték, hogy segítsen a teljesítmény és a használhatóság folyamatos javításában.
Felhőhöz készült Microsoft Defender
A Microsoft Defender for Cloud segít megelőzni, észlelni és kezelni a fenyegetéseket az Azure-erőforrások — köztük a webalkalmazások — biztonságára való jobb rálátás és az afeletti nagyobb ellenőrzés révén. A Microsoft Defender for Cloud segít észlelni azokat a fenyegetéseket, amelyek egyébként észrevétlenek maradnának. Különböző biztonsági megoldásokkal működik.
A Defender for Cloud ingyenes szintje csak az Azure-erőforrások számára nyújt korlátozott biztonságot. A Defender for Cloud Standard szint kiterjeszti ezeket a képességeket a helyszíni erőforrásokra és más felhőkre. A Defender for Cloud Standard a következőkben nyújt segítséget:
- Biztonsági rések keresése és javítása.
- Hozzáférés- és alkalmazásfelügyeleti vezérlők alkalmazása a rosszindulatú tevékenységek letiltásához.
- Fenyegetések észlelése elemzés és fenyegetési hírszerzés segítségével.
- Reagáljon gyorsan, ha támadás alatt áll.
Következő lépések
Az alábbi cikkekben olyan biztonsági vezérlőket és tevékenységeket ajánlunk, amelyek segíthetnek biztonságos alkalmazások tervezésében és fejlesztésében.