Adattitkosítási javaslatok
A Well-Architected Framework Security ellenőrzőlista javaslatára vonatkozik:
| SE:07 | Az adatok titkosítása modern iparági szabványoknak megfelelő módszerekkel a bizalmasság és az integritás védelme érdekében. Titkosítási hatókör igazítása az adatbesorolásokhoz; rangsorolja a natív platform titkosítási módszereit. |
|---|
Ha az adatok nem védettek, rosszindulatúan módosíthatók, ami az integritás és a bizalmasság elvesztéséhez vezet.
Ez az útmutató az adatok titkosítására és védelmére vonatkozó javaslatokat ismerteti. A titkosítás a titkosítási algoritmusok használatával teszi olvashatatlanná az adatokat, és kulcsokkal zárolja az adatokat. Titkosított állapotban az adatok nem fejthetők le. Csak a titkosítási kulccsal párosított kulccsal fejthető vissza.
Meghatározások
| Feltételek | Definíció |
|---|---|
| Diplomák | A titkosításhoz vagy visszafejtéshez a nyilvános kulcsokat tartalmazó digitális fájlok. |
| Titkosítási csomag | Olyan algoritmusok készlete, amelyek az információk titkosítására és visszafejtésére szolgálnak, hogy biztonságossá tegye a hálózati kapcsolatot a Transport Layer Security (TLS) használatával. |
| Bizalmas számítások | A bizalmas számítástechnika a használatban lévő adatok védelme, ha számításokat végez egy hardveralapú, igazolt megbízható végrehajtási környezetben. |
| Visszafejtés | A titkosított adatok titkos kóddal való feloldásának folyamata. |
| Dupla titkosítás | Az adatok titkosításának folyamata két vagy több független titkosítási réteg használatával. |
| Titkosítás | Az a folyamat, amellyel az adatok olvashatatlanná és titkos kóddal zárolva lesznek. |
| Kivonatoláshoz | Az adatok szöveggé vagy számmá alakításának folyamata az információk elrejtésének szándékával. |
| Kulcsok | Titkos kód, amely titkosított adatok zárolására vagy zárolásának feloldására szolgál. |
| Aláírás | Titkosított hitelesítési pecsét az adatokon. |
| Aláírás | Az adatok hitelességének aláírással történő ellenőrzésének folyamata. |
| X.509 | A nyilvános kulcsú tanúsítványok formátumát meghatározó szabvány. |
Főbb tervezési stratégiák
A szervezeti felhatalmazások vagy a szabályozási követelmények titkosítási mechanizmusokat kényszeríthetnek ki. Előfordulhat például, hogy az adatoknak csak a kijelölt régióban kell maradniuk, és az adatok másolatai megmaradnak ebben a régióban.
Ezek a követelmények gyakran az alapminimumok. Törekedjen a magasabb szintű védelemre. Ön a felelős a bizalmassági adatok kiszivárgásának és a bizalmas adatok illetéktelen illetéktelen kezelésének megakadályozásáért, függetlenül attól, hogy külső felhasználói vagy alkalmazotti adatokról van-e szó.
A titkosítási mechanizmusoknak valószínűleg három fázisban kell biztosítaniuk az adatokat:
A inaktív adatok a tárolóobjektumokban tárolt összes információ.
Az inaktív adatok védelmére példa a BitLocker használata a lemezen tárolt adatok titkosítására.
Az átvitel alatt álló adatok az összetevők, helyek vagy programok között átvitt információk.
Az átvitel közbeni adatok biztonságossá tételére példa az adatok TLS-lel való titkosítása, így a nyilvános és privát hálózatokon áthaladó csomagok biztonságosak.
A használatban lévő adatok olyan adatok, amelyeken aktívan dolgoznak a memóriában.
A használatban lévő adatok védelmére példa a bizalmas számítástechnika titkosítása az adatok feldolgozása során történő védelme érdekében.
A fenti lehetőségek nem zárják ki egymást. Ezeket gyakran együtt használják a teljes megoldás kontextusában. Az egyik szakasz kompenzáló vezérlőként működhet. Előfordulhat például, hogy el kell különítenie az adatokat, hogy megakadályozza az illetéktelen módosítást, amikor az adatokat a memóriából olvassák.
Titkosítási követelmények meghatározása
Az adatok besorolása a cél és a bizalmassági szint alapján annak meghatározásához, hogy milyen adatokat kell titkosítani. A titkosítandó adatok esetében határozza meg a szükséges védelmi szintet. Minden átvitt adathoz teljes körű TLS-titkosításra van szüksége? Az inaktív adatok esetében mely Azure-funkciók felelhetnek meg a követelményeknek? Minden tárolási ponton duplán kell titkosítania az adatokat? Hogyan valósíthatja meg az információvédelmet?
Fontos, hogy kiegyensúlyozza a titkosítási döntéseket, mert jelentős kompromisszumok vannak.
Kompromisszum: Minden titkosítási ugrás teljesítménybeli késést okozhat. A hibaelhárítással és a megfigyelhetőséggel kapcsolatos üzemeltetési összetettségek is előfordulhatnak. A helyreállítás kihívást jelenthet.
A kompromisszumok hatóköre. A bizalmasként besorolt adatok kompromisszumoinek előrejelzése. A követelmények akár a kompromisszumokat is meghatározhatják, például ha egy bizonyos adattípust bizonyos küszöbértékeken belül kell titkosítani és tárolni.
Vannak olyan esetek, amikor a titkosítás technikai korlátozások, befektetés vagy egyéb okok miatt nem lehetséges. Győződjön meg arról, hogy ezek az okok egyértelműek, érvényesek és dokumentáltak.
Az erős titkosítási mechanizmusok nem lehetnek az egyetlen védelmi forma. Adatlopás-megelőzési folyamatok, megfelelő tesztelési módszerek és anomáliadetektálás implementálása.
A besorolással kapcsolatos információkért tekintse meg az adatbesorolásra vonatkozó javaslatok című témakört.
Natív titkosítási mechanizmusok használata
A legtöbb Azure-szolgáltatás alapszintű titkosítást biztosít. Ismerje meg a platform által biztosított titkosítási lehetőségeket.
Erősen ajánlott, hogy ne tiltsa le a platform képességeit a saját funkciói fejlesztéséhez. A platformtitkosítási funkciók modern iparági szabványokat használnak, szakértők fejlesztették ki, és szigorúan tesztelték.
Ritkán, ha le kell cserélnie a platform által biztosított titkosítást, értékelje ki az előnyöket és hátrányokat, és használjon iparági szabványoknak megfelelő titkosítási algoritmusokat.
A fejlesztőknek nemplatformos titkosítási kódtárak helyett az operációs rendszerbe beépített titkosítási API-kat kell használniuk. A .NET esetében kövesse a .NET titkosítási modellt.
Titkosítási kulcsok megközelítésének kiválasztása
Az Azure-szolgáltatások alapértelmezés szerint a Microsoft által felügyelt titkosítási kulcsokat használják az adatok titkosításához és visszafejtéséhez. Az Azure felelős a kulcskezelésért.
Választhatja az ügyfél által felügyelt kulcsokat. Az Azure továbbra is a kulcsokat használja, de ön felelős a kulcsműveletekért. Ha szeretné, rugalmasan módosíthatja a kulcsokat . A visszafejtés meggyőző érv az ügyfél által felügyelt kulcsok használatához.
Erős titkosítást és erős visszafejtést kell párosítania. Biztonsági szempontból a visszafejtési kulcs védelme azért fontos, mert a rotáció gyakori módszer a robbanási sugár szabályozására, ha egy kulcs sérül. A hozzáférés monitorozása a rendellenes hozzáférés és tevékenységek észleléséhez.
Kulcsok tárolása a titkosított adatoktól elkülönítve. Ez a szétválasztás segít biztosítani, hogy az egyik entitás biztonsága ne befolyásolja a másikat. Ha ügyfél által felügyelt kulcsokat használ, tárolja őket egy kulcstárolóban. Bizalmas adatokat tárol egy felügyelt hardveres biztonsági modulban (HSM).
Mindkét üzlet identitásalapú hozzáféréssel védett. Ez a funkció lehetővé teszi, hogy megtagadja a hozzáférést, még a platformon is.
Standard titkosítási algoritmusok használata
Az egyéni implementációk létrehozása helyett olyan titkosítási algoritmusokat használjon, amelyek jól beváltak és megfelelnek az iparági szabványoknak .
Az algoritmusokra vonatkozó iparági szabványok megkövetelik, hogy a titkosítási sémák bizonyos szintű entrópiával rendelkezzenek. Az entrópiaforrásokat a titkosítás során injektáljuk. Az entrópia erőssé teszi az algoritmust, és megnehezíti a támadók számára az információk kinyerése. Határozza meg az entrópia elviselhető küszöbértékeit. A titkosítási eljárások processzorigényesek. Keresse meg a megfelelő egyensúlyt, hogy maximalizálja a titkosítással töltött számítási ciklusokat a számítási kérelem általános teljesítménycéljaihoz képest.
Kivonatok és ellenőrzőösszegek használata
A kivonatolás általában hibaészlelési technika. A biztonsági kivonatolást azért is használhatja, mert észleli az adatok olyan módosításait, amelyeket illetéktelen beavatkozás okozhat. A kivonatfüggvények titkosításon alapulnak, de nem használnak kulcsokat. A kivonatfüggvények algoritmusokkal hoznak létre ellenőrzőösszegeket. Az ellenőrzőösszegek összehasonlíthatják az adatokat annak integritásának ellenőrzéséhez.
Az alkalmazásoknak az SHA-2 kivonatoló algoritmuscsaládot kell használniuk, például SHA-256, SHA-384 vagy SHA-512.
Inaktív adatok titkosítása
Az információtároló objektumok besorolása és védelme a belső és külső megfelelőségi követelményeknek megfelelően. Tekintse meg a következő javaslatokat:
Az adatok titkosítása a tárolási szolgáltatásokhoz, adattárakhoz és az adatok megőrzéséhez használt egyéb erőforrásokhoz biztosított natív beállítások használatával. Titkosítja ezeket az adatokat akkor is, ha ezekben a tárolási szolgáltatásokban vagy erőforrásokban csak ideiglenesen tárol adatokat. Titkosítsa a biztonsági mentési adatokat is, hogy az eredeti forráshoz hasonló biztonsági szintet tartson fenn.
További információ: Adatok a rest protection szolgáltatásban.
Használjon kettős titkosítást. Ha az üzleti követelmények magasabb szintű biztonságot követelnek meg, dupla titkosítást végezhet. Két vagy több rétegben lévő adatok titkosítása független, ügyfél által felügyelt kulcsok használatával. Tárolja az adatokat egy felügyelt HSM-ben. Az adatok olvasásához mindkét kulcshoz hozzá kell férnie. Ha az egyik kulcs sérült, a másik kulcs továbbra is védi az adatokat. Ez a technika a támadók költségeinek növelését célozza.
A platform által biztosított titkosítással is duplázhatja az adatokat. A platform által biztosított titkosítás az infrastruktúra szintjén védi a tároló adathordozóit, és egy másik titkosítási réteget alkalmaz az adatszinten. Az üzenetközvetítő szolgáltatás például platform által biztosított titkosítással rendelkezik a Microsoft által felügyelt kulcsokkal, amelyek védik az üzenetcsatornát. Ezzel a módszerrel ügyfél által felügyelt kulcsokkal titkosíthatja az üzeneteket.
Használjon több titkosítási kulcsot. Használjon kulcstitkosítási kulcsot (KEK) az adattitkosítási kulcs (DEK) védelméhez.
Identitásalapú hozzáférés-vezérlőkkel szabályozhatja az adatokhoz való hozzáférést. Adjon hozzá hálózati tűzfalakat, hogy további biztonsági réteget biztosítson, amely blokkolja a váratlan és nem biztonságos hozzáférést.
További információ: Identitás- és hozzáférés-kezelésre vonatkozó javaslatok.
Kulcsok tárolása olyan felügyelt HSM-ben , amely a minimális jogosultságú hozzáférés-vezérléssel rendelkezik. Válassza el az adatokat az adatok kulcsától.
Korlátozott mennyiségű adatot tárolhat, hogy csak a szükséges adatokat titkosíthassa. Az adatok nem élhetnek tovább a titkosítási ciklusnál. Ha már nincs szükség adatokra, törölje a titkosított adatokat visszafejtési ciklusok nélkül.
Átvitel alatt lévő adatok titkosítása
Használjon biztonságos protokollokat az ügyfél-kiszolgáló kommunikációhoz. Az átviteli protokollok beépített biztonsági réteggel rendelkeznek. A TLS az ügyfél- és kiszolgálóvégpontok közötti adatcsere iparági szabványa.
Ne használja a TLS 1.2-nél alacsonyabb verziókat. Migráljon megoldásokat a TLS 1.2 támogatásához, és alapértelmezés szerint használja ezt a verziót. Minden Azure-szolgáltatás támogatja a TLS 1.2-t nyilvános HTTPS-végpontokon.
Kockázat: Előfordulhat, hogy a TLS 1.2-t nem támogató régebbi ügyfelek nem működnek megfelelően, ha a visszamenőleges kompatibilitás nem támogatott.Minden webhelykommunikációnak HTTPS-t kell használnia, függetlenül az átvitt adatok bizalmasságától. Az ügyfél-kiszolgáló kézfogása során tárgyalja meg a HTTP Szigorú átviteli biztonsági (HSTS) szabályzat használatát, hogy a HTTPS-átvitel megmaradjon, és ne csökkenjen HTTP-ra a kommunikáció során. Ez a szabályzat védelmet nyújt a középen belüli támadások ellen.
A HSTS támogatása az újabb verziókhoz használható. Előfordulhat, hogy megszakítja a régebbi böngészőkkel való kompatibilitást.
Feljegyzés
Protokollokat is titkosíthat, hogy biztonságos kapcsolatokat létesítsen az adatbázisokhoz. Az Azure SQL Database például támogatja a Tabular Data Stream (TDS) protokollt, amely integrál egy TLS-kézfogást.
A titkosítási csomag olyan algoritmusok készlete, amelyek szabványosítják az ügyfél és a kiszolgáló közötti kézfogást. A titkosítások biztosítják, hogy az exchange titkosítva és hitelesítve legyen. A titkosítások kiválasztása a kiszolgáló által használt TLS-verziótól függ. Egyes szolgáltatások, például az Azure-alkalmazás Gateway esetében kiválaszthatja a TLS verzióját és a támogatni kívánt titkosítási csomagokat. Olyan titkosítási csomagokat implementáljon, amelyek az Advanced Encryption Standardot (AES) szimmetrikus blokk-titkosításként használják. Az AES-128, az AES-192 és az AES-256 elfogadható.
A tanúsítványok életciklusának kezelése. A tanúsítványok élettartama előre meghatározott. Ne tartsa meg a hosszú élettartamú tanúsítványokat, és ne hagyja, hogy önállóan lejárjanak. Olyan folyamat implementálása, amely elfogadható gyakorisággal újítja meg a tanúsítványokat. Automatizálhatja a rövid időközönként végrehajtott megújítások folyamatát.
Feljegyzés
Ha tanúsítvány-rögzítést használ, ismerkedjen meg az agilitás és a tanúsítványkezelés korlátaival.
A munkafolyamatnak nem szabad engedélyeznie az érvénytelen tanúsítványok elfogadását a környezetben. A tanúsítvány-rögzítési folyamatnak ellenőriznie kell a tanúsítványokat, és érvényesítenie kell az ellenőrzési ellenőrzést. Figyelnie kell a hozzáférési naplókat, hogy az aláírókulcs megfelelő engedélyekkel legyen használva.
Ha egy kulcs sérült, a tanúsítványt azonnal vissza kell vonni. A hitelesítésszolgáltató (CA) egy visszavont tanúsítványok listáját (CRL) nyújtja, amely a lejárat előtt érvénytelenített tanúsítványokat jelzi. Az érvényesítési ellenőrzésnek figyelembe kell vennie a CRL-eket.
Kompromisszum: A minősítés-ellenőrzési folyamat nehézkes lehet, és általában egy hitelesítésszolgáltatót is magában foglal. Határozza meg a tanúsítványokkal titkosítandó adatokat. Más típusú kommunikáció esetén határozza meg, hogy implementálhat-e honosított kompenzáló vezérlőket a biztonság hozzáadásához.A vezérlők honosításának egyik módja a kölcsönös TLS (mTLS). Az ügyfél és a kiszolgáló között mindkét irányban megbízhatóságot hoz létre. Az ügyfél és a kiszolgáló is rendelkezik saját tanúsítványokkal, és minden tanúsítvány hitelesítése a nyilvános vagy a titkos kulcs párjával történik. Az mTLS-sel nem függ a külső hitelesítésszolgáltatótól. A kompromisszum a két tanúsítvány kezelésének összetettsége.
Szükség esetén dupla titkosítással titkosíthatja a VPN-kapcsolatokat. Dupla titkosítással mélységi védelmet adhat a VPN-alagúthoz. Ha két VPN-kiszolgálót használ, elrejtheti az IP-címet a kiszolgálók között, valamint elrejtheti az IP-címet a kiszolgáló és a cél között. A folyamat során az átvitt adatok is kétszer titkosítva lesznek.
Kompromisszum: Az önálló VPN-beállításokhoz képest a dupla VPN-beállítások gyakran drágábbak, a kapcsolatok pedig gyakran lassabbak.Naplózási és monitorozási folyamatok implementálása. Nyomon követheti a hozzáférési bejelentkezési erőforrásokat, amelyek adatokat tárolnak az ügyfelekről, például a forrás IP-címükről, portjukról és protokolljukról. Ezekkel az információkkal észleli az anomáliákat.
A használatban lévő adatok titkosítása
A magas biztonsági számítási feladatokhoz a szegmentálás, az elkülönítés és a legkevésbé priviledge ajánlott tervezési minták.
A használaton belüli védelem kontextusában a hardverhatárok megkövetelhetik az adatok titkosítását, miközben azok a fizikai processzorban és a memóriában vannak használatban a virtuális gépek, a gazdagépkezelési kód és más összetevők elkülönítésének biztosítása érdekében. Az adatok titkosítása és visszafejtése csak az elkülönítési határokon belül végezhető el.
A szigorúbb biztonsági vagy szabályozási követelmények hardveralapú, kriptográfiailag aláírt bizonyítékot is igényelhetnek arra vonatkozóan, hogy az adatok titkosítása használat közben történik, ez igazolással szerezhető be. A bizalmas számítástechnika az egyik olyan technológia, amely támogatja a követelményt. Az Azure egyes szolgáltatásai lehetővé teszi az adatok védelmét a számítás során. További információ: Azure Facilitation: Azure Confidential Compute.
Tekintsük át az adatok teljes életciklusát, amelyet ön véd , gyakran több rendszeren halad végig az élettartama során, ügyeljen arra, hogy a megoldás összes összetevője biztosítsa a szükséges védelmi szinteket, vagy gondoskodjon arról, hogy az adatkezelési stratégia megfelelő szegmentálást vagy maszkolást biztosítson.
Az Azure megkönnyítése
A következő szakaszok az adatok titkosításához használható Azure-szolgáltatásokat és funkciókat ismertetik.
Felhasználó által kezelt kulcsok
Az ügyfél által felügyelt kulcsokat az Azure Key Vaultban vagy a Key Vault által felügyelt HSM-ben tárolhatja.
A Key Vault úgy kezeli a kulcsokat, mint bármely más titkos kulcsot. Az Azure szerepköralapú hozzáférés-vezérlései (RBAC) egy engedélymodellen keresztül érik el a kulcsokat. Ezt az identitásalapú vezérlőt a Key Vault hozzáférési szabályzataival kell használni.
További információ: Hozzáférés biztosítása a Key Vault kulcsaihoz, tanúsítványaihoz és titkos kulcsaihoz az RBAC használatával.
Az Azure Key Vault Premium és a Managed-HSM tovább bővíti az ajánlatot a bizalmas számítási képességek és a biztonságos kulcsok kiadásával , amelyek támogatnak egy szabályzatot, amely biztosítja, hogy a kulcsok csak olyan számítási feladatok számára legyenek kiadva, amelyek kriptográfiailag bizonyítani tudják, hogy egy megbízható végrehajtási környezetben (TEE) hajtják végre.
Inaktív adatok védelme
Az Azure Storage automatikusan titkosítja az adatokat blokk-titkosítással, amikor az adatok egy tárfiókban maradnak. Az Azure Blob Storage és az Azure Queue Storage esetében a Storage ügyféloldali titkosítást is biztosít kódtárakon keresztül.
További információ: Storage encryption.
Az Azure-beli virtuális gépek lemezfájljai virtuális tárolókötetként szolgálnak. Titkosíthatja a virtuális lemezfájlokat, hogy a tartalom ne legyen elérhető.
A felügyelt lemezek exportálhatók a portálról. A gazdagép kiszolgálóoldali titkosítása és titkosítása csak az exportálás után tudja védeni az adatokat. Az exportálási folyamat során azonban védenie kell az adatokat. Az Azure Disk Encryption használatával megvédheti és megvédheti adatait az exportálási folyamat során.
Az Azure számos titkosítási lehetőséget kínál a felügyelt lemezekhez. További információ: A felügyelt lemeztitkosítási lehetőségek áttekintése.
Az SQL Database egy transzparens adattitkosítási funkciót kínál, amely egy adatbázisfájl oldalszintű titkosítására szolgál.
Adattovábbítás elleni védelem
A Key Vault segítségével nyilvános és privát Secure Sockets Layer-tanúsítványokat (SSL) vagy TLS-tanúsítványokat építhet ki, kezelhet és helyezhet üzembe. A tanúsítványokat az Azure-ral és a belső csatlakoztatott erőforrásokkal használhatja.
Használatban lévő adatok védelme
Az Azure egyes szolgáltatásai lehetővé teszi az adatok védelmét, miközben a gazdagép fizikai processzorán és memóriáján belül, bizalmas Azure-számítástechnikával számítják ki őket.
A bizalmas virtuális gépek egy TEE-n belül futó teljes virtuális gépet kínálnak, a virtuális gép memóriája és cpu-tartalmának végrehajtása titkosítva van, és egyszerű "lift > shift" megközelítést kínál a nem módosított alkalmazások magas biztonsági követelményekkel rendelkező Azure-ba való áthelyezéséhez. Minden Azure-beli bizalmas virtuális gép saját dedikált virtuális megbízhatósági platformmodullal (TPM) rendelkezik. A titkosítás az operációs rendszer összetevőinek biztonságos indítása közben történik.
A bizalmas AKS-feldolgozó csomópontok, az AKS bizalmas tárolói vagy az Azure Container Instances (ACI) bizalmas tárolói lehetővé teszik a nem módosított tárolók futtatását és kezelését egy TEE-ben, amely lehetővé teszi az ügyfelek számára a használaton belüli védelem előnyeit. A tárolóajánlatok beépített bizalmas virtuális gépek, és ugyanazokat a védelmet élvezik.
Az Alkalmazás-enklávé megoldások kifejezetten az Intel Software Guard-bővítményeket (SGX) támogató virtuálisgép-termékváltozatok által kínált processzorbővítményeket használják. Ezek nagyon részletes megbízható számítási bázist (TCB) kínálnak, de megkövetelik, hogy az alkalmazások kifejezetten kódolva legyenek a funkciók előnyeinek kihasználásához.
A biztonságos kulcskiadás kombinálható ezekkel a technológiákkal, így biztosítva, hogy a titkosított adatok visszafejtése csak egy TEE-n belül történjen, amely bizonyítja, hogy az igazolásnak nevezett folyamat biztosítja a szükséges szintű védelmet.
Titkos kódok kezelése
A Key Vault használatával biztonságosan tárolhatja és szabályozhatja a jogkivonatokhoz, jelszavakhoz, tanúsítványokhoz, API-kulcsokhoz és egyéb titkos kódokhoz való hozzáférést. Kulcs- és tanúsítványkezelési megoldásként használja a Key Vaultot. A prémium termékváltozat támogatja a HSM-eket.
Példa
Az alábbi példa a kulcsok, tanúsítványok és titkos kódok kezelésére használható titkosítási megoldásokat mutatja be.
Kapcsolódó hivatkozások
- .NET-titkosítási modell
- Azure Disk Encryption
- Inaktív adatok tárolótitkosítása
- Tanúsítvány-rögzítés az Azure-szolgáltatásokban
- Hozzáférés biztosítása a Key Vault kulcsaihoz, tanúsítványaihoz és titkos kulcsaihoz az RBAC használatával
- A felügyelt lemeztitkosítási lehetőségek áttekintése
- Transzparens adattitkosítás
- Platformmegbízhatósági modul áttekintése
- Azure Confidential Computing
Közösségi hivatkozások
Biztonsági ellenőrzőlista
Tekintse meg a javaslatok teljes készletét.