Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
Ebben a cikkben olyan biztonsági tevékenységeket és vezérlőket mutatunk be, amelyeket figyelembe kell venni, amikor alkalmazásokat helyez üzembe a felhőben. A Microsoft Security Development Lifecycle (SDL) kiadási és válaszfázisai során megfontolandó biztonsági kérdések és fogalmak szerepelnek. A cél az, hogy segítsen meghatározni a biztonságosabb alkalmazások üzembe helyezéséhez használható tevékenységeket és Azure-szolgáltatásokat.
A cikk a következő SDL-fázisokat ismerteti:
- Release
- Response
Release
A kiadási fázis középpontjában egy projekt nyilvános kiadásra való előkészítése áll. Ez magában foglalja a kiadás utáni karbantartási feladatok hatékony végrehajtásának és a későbbi biztonsági rések elhárításának tervezését.
Az alkalmazás teljesítményének ellenőrzése az indítás előtt
Mielőtt elindítja vagy üzembe helyezi az éles környezetben a frissítéseket, ellenőrizze az alkalmazás teljesítményét. Az Azure Load Testing használatával felhőalapú terhelésteszteket futtathat az alkalmazás teljesítményproblémáinak megkereséséhez, az üzembe helyezés minőségének javításához, annak ellenőrzéséhez, hogy az alkalmazás mindig elérhető vagy elérhető-e, és hogy az alkalmazás képes-e kezelni az indításhoz szükséges forgalmat.
Webalkalmazási tűzfal telepítése
A webalkalmazások gyakori célpontjai a rosszindulatú támadásoknak, például az SQL-injektálásnak és a helyek közötti szkriptelésnek. A támadások megakadályozása az alkalmazáskódban összetett lehet, ami szigorú karbantartást, javítást és monitorozást igényel az alkalmazás több rétegében. A központi webalkalmazási tűzfal (WAF) leegyszerűsíti a biztonságkezelést azáltal, hogy az egyes webalkalmazások védelme helyett egy központi ponton kezeli a biztonsági réseket.
Az Azure Application Gatewayhez és az Azure Front Doorhoz készült Azure Web Application Firewall központosított védelmet nyújt a gyakori biztonsági rések és biztonsági rések ellen. A WAF az OWASP 3.0-s vagy 2.2.9-s alapvető szabálykészleteiből származó szabályokat használja a webalkalmazások robusztus biztonságának biztosításához.
Incidenskezelési terv létrehozása
Az incidenskezelési terv előkészítése elengedhetetlen ahhoz, hogy segítsen kezelni az idővel felmerülő új fenyegetéseket. Az incidenskezelési terv előkészítése magában foglalja a megfelelő biztonsági vészhelyzeti kapcsolattartók azonosítását, valamint biztonsági karbantartási tervek létrehozását a szervezet más csoportjaitól örökölt kódhoz és a licenccel rendelkező külső kódhoz.
Végső biztonsági felülvizsgálat végrehajtása
Az összes végrehajtott biztonsági tevékenység szándékos áttekintése segít biztosítani a szoftverkiadásra vagy -alkalmazásra való felkészültséget. A végső biztonsági felülvizsgálat (FSR) általában magában foglalja a fenyegetésmodellek, az eszközök kimeneteinek és a teljesítménynek a követelmények fázisában meghatározott minőségi kapuk és hibasávok vizsgálatát.
Kiadás és archiválás minősítése
A szoftverek kiadás előtti minősítésével biztosítható, hogy a biztonsági és adatvédelmi követelmények teljesüljenek. Az összes vonatkozó adat archiválása elengedhetetlen a kiadás utáni karbantartási feladatok elvégzéséhez. Az archiválás segít csökkenteni a tartós szoftverfejlesztéssel járó hosszú távú költségeket is.
Response
A kiadás utáni válasz fázis középpontjában a fejlesztői csapat áll, amely képes és elérhető, hogy megfelelően reagáljon a felmerülő szoftveres fenyegetésekről és biztonsági résekről szóló jelentésekre.
Az incidenskezelési terv végrehajtása
A kiadási fázisban létrehozott incidenskezelési terv implementálása elengedhetetlen ahhoz, hogy az ügyfelek védve legyenek a szoftverbiztonsággal vagy a felmerülő adatvédelmi biztonsági résekkel szemben.
Alkalmazás teljesítményének figyelése
Az alkalmazás üzembe helyezése utáni folyamatos monitorozása segíthet a teljesítményproblémák és a biztonsági rések észlelésében.
Az alkalmazásfigyelést segítő Azure-szolgáltatások a következők:
- Azure Application Insights
- Felhőhöz készült Microsoft Defender
Application Insights
Az Application Insights egy bővíthető alkalmazásteljesítmény-kezelési (APM) szolgáltatás webfejlesztők számára több platformon. Használd élő webalkalmazásod megfigyelésére. Az Application Insights automatikusan észleli a teljesítmény rendellenességeit. Hatékony elemzési eszközöket tartalmaz, amelyekkel diagnosztizálhatja a problémákat, és megértheti, hogy a felhasználók valójában mit csinálnak az alkalmazással. Úgy tervezték, hogy segítsen a teljesítmény és a használhatóság folyamatos javításában.
Felhőhöz készült Microsoft Defender
A Microsoft Defender for Cloud segít megelőzni, észlelni és reagálni a fenyegetésekre az Azure-erőforrások, köztük a webalkalmazások biztonságának nagyobb átláthatóságával (és szabályozásával). A Microsoft Defender for Cloud segít észlelni azokat a fenyegetéseket, amelyek egyébként észrevétlenek lehetnek. Különböző biztonsági megoldásokkal működik.
A Defender for Cloud ingyenes szintje csak az Azure-erőforrások számára nyújt korlátozott biztonságot. A Defender for Cloud Standard szint kiterjeszti ezeket a képességeket a helyszíni erőforrásokra és más felhőkre. A Defender for Cloud Standard a következőkben nyújt segítséget:
- Biztonsági rések keresése és javítása.
- Hozzáférés- és alkalmazásvezérlők alkalmazása a rosszindulatú tevékenységek letiltásához.
- Fenyegetések észlelése elemzéssel és intelligenciával.
- Gyorsan válaszoljon, ha támadás alatt áll.
Következő lépések
Az alábbi cikkekben olyan biztonsági vezérlőket és tevékenységeket ajánlunk, amelyek segíthetnek biztonságos alkalmazások tervezésében és fejlesztésében.