Javaslatok biztonsági alapkonfiguráció létrehozásához
Az Azure Well-Architected Framework Security ellenőrzőlista-javaslatára vonatkozik:
| SE:01 | A megfelelőségi követelményekhez, az iparági szabványokhoz és a platformjavaslatokhoz igazodó biztonsági alapkonfiguráció létrehozása. A számítási feladatok architektúrájának és műveleteinek rendszeres mérése az alapkonfigurációhoz képest a biztonsági helyzet fenntartása vagy javítása érdekében. |
|---|
Ez az útmutató a biztonsági alapkonfiguráció meghatározására vonatkozó javaslatokat ismerteti. A biztonsági alapkonfiguráció olyan dokumentum, amely meghatározza a szervezet minimális biztonsági követelményeit és elvárásait számos területen. A megfelelő biztonsági alapkonfiguráció a következőkben segít:
- Az adatok és a rendszerek biztonságának megőrzése.
- Megfeleljen a jogszabályi követelményeknek.
- A felügyelet kockázatának minimalizálása.
- Csökkentse a jogsértések és az azt követő üzleti hatások valószínűségét.
A biztonsági alapkonfigurációkat széles körben közzé kell tenni a szervezetben, hogy minden érdekelt tisztában legyen az elvárásokkal.
Ez az útmutató a belső és külső tényezőkön alapuló biztonsági alapkonfiguráció beállítására vonatkozó javaslatokat tartalmaz. A belső tényezők közé tartoznak az üzleti követelmények, a kockázatok és az eszközértékelés. A külső tényezők közé tartoznak az iparági teljesítménymutatók és a szabályozási szabványok.
Meghatározások
| Időszak | Definíció |
|---|---|
| Alapkonfiguráció | Az a minimális biztonsági szint, amelyet a számítási feladatoknak el kell kerülniük a kihasználtságtól. |
| Külső viszonyítási alap | Egy szabvány, amely azt a biztonsági helyzetet jelzi, amelyet a szervezet kíván. A kiértékelése, mérése és továbbfejlesztése az idő függvényében történik. |
| Vezérlők | Technikai vagy üzemeltetési vezérlők a számítási feladatokon, amelyek segítenek megelőzni a támadásokat és növelni a támadó költségeit. |
| Szabályozási követelmények | Az iparági szabványok által támasztott üzleti követelmények, amelyeket a törvények és a hatóságok előírnak. |
Főbb tervezési stratégiák
A biztonsági alapkonfiguráció egy strukturált dokumentum, amely meghatározza azokat a biztonsági feltételeket és képességeket, amelyeket a számítási feladatnak teljesítenie kell a biztonság növelése érdekében. Érettebb formában kiterjesztheti az alapkonfigurációt a védőkorlátok beállításához használt szabályzatok halmazára.
A biztonsági helyzet méréséhez az alapkonfigurációt kell figyelembe venni. A célnak mindig teljes körűnek kell lennie, miközben széles hatókört tart fenn.
A biztonsági alapkonfiguráció soha nem lehet alkalmi munka. Az alapkonfiguráció fő hajtóereje az iparági szabványok, a megfelelőség (belső vagy külső) vagy a szabályozási követelmények, a regionális követelmények és a felhőplatform-referenciamutatók. Ilyenek például a Center for Internet Security (CIS) Controls, a National Institute of Standards and Technology (NIST) és a platformalapú szabványok, például a Microsoft felhőbiztonsági benchmarkja (MCSB). Ezek a szabványok az alapkonfiguráció kiindulópontjának minősülnek. Az alapokat az üzleti követelményekből származó biztonsági követelmények beépítésével hozhatja létre.
Az előző objektumokra mutató hivatkozásokért lásd a kapcsolódó hivatkozásokat.
Hozza létre az alapkonfigurációt az üzleti és műszaki vezetők konszenzusának elnyerésével. Az alapkonfigurációt nem szabad a műszaki vezérlőkre korlátozni. A biztonsági helyzet kezelésének és fenntartásának működési szempontjait is tartalmaznia kell. Az alapdokumentum tehát a szervezet elkötelezettségét is szolgálja a számítási feladatok biztonsága felé irányuló befektetés iránt. A biztonsági alapdokumentumot széles körben el kell osztani a szervezeten belül, hogy tisztában legyen a számítási feladat biztonsági helyzetével.
A számítási feladatok növekedésével és az ökoszisztéma fejlődésével elengedhetetlen, hogy az alapkonfiguráció szinkronban maradjon a módosításokkal, hogy az alapvető vezérlők továbbra is hatékonyak legyenek.
Az alapkonfiguráció létrehozása módszeres folyamat. Íme néhány javaslat a folyamatról:
Eszközleltár. A számítási feladatok eszközeinek és az eszközök biztonsági célkitűzéseinek azonosítása. Az eszközleltárban sorolja be a biztonsági követelmények és a kritikusság szerint. Az adategységekről további információt az adatbesorolásra vonatkozó javaslatokban talál.
Kockázatértékelés. Az egyes eszközökhöz társított identitás potenciális kockázatait, és rangsorolja őket.
Megfelelőségi követelmények. Alapozza meg az ilyen eszközökre vonatkozó szabályozási vagy megfelelőségi előírásokat, és alkalmazza az iparági ajánlott eljárásokat.
Konfigurációs szabványok. Meghatározott biztonsági konfigurációk és beállítások meghatározása és dokumentálása az egyes objektumokhoz. Ha lehetséges, templatizálja vagy keresse meg az ismétlődő, automatizált módot a beállítások egységes alkalmazására a környezetben.
Hozzáférés-vezérlés és hitelesítés. Adja meg a szerepköralapú hozzáférés-vezérlés (RBAC) és a többtényezős hitelesítés (MFA) követelményeit. Dokumentálja, hogy mit jelent az eszköz szintjén elegendő hozzáférés . Mindig a minimális jogosultság elvével kezdje.
Javítások kezelése. Alkalmazza a legújabb verziókat az összes erőforrástípusra, hogy megerősítse a támadásokat.
Dokumentáció és kommunikáció. Dokumentálja az összes konfigurációt, szabályzatot és eljárást. Közölje a részleteket az érintett érdekelt felekkel.
Kényszerítés és elszámoltathatóság. Egyértelmű kényszerítési mechanizmusok és a biztonsági alapkonfigurációval való meg nem fel nem felelési következmények meghatározása. A biztonsági szabványok fenntartásáért felelős személyek és csapatok megtartása.
Folyamatos figyelés. A biztonsági alapkonfiguráció hatékonyságának felmérése a megfigyelhetőségen keresztül, és a túlóra javítása.
Az alapkonfiguráció meghatározása
Íme néhány gyakori kategória, amelyeknek az alapkonfiguráció részét kell képeznie. Az alábbi lista nem teljes. Ez a dokumentum hatókörének áttekintése.
Előírásoknak való megfelelés
A számítási feladatokra bizonyos iparági szegmensekre vonatkozó jogszabályi megfelelőség, bizonyos földrajzi korlátozások stb. vonatkozhatnak. Fontos megérteni a szabályozási specifikációkban megadott követelményeket, mivel ezek befolyásolják a tervezési döntéseket, és bizonyos esetekben az architektúrában is szerepelnie kell.
Az alapkonfigurációnak tartalmaznia kell a számítási feladatnak a jogszabályi követelményeknek megfelelő rendszeres kiértékelését. Használja ki a platform által biztosított eszközöket, például a Felhőhöz készült Microsoft Defender, amelyek azonosítják a meg nem felelő területeket. A szervezet megfelelőségi csapatával együttműködve győződjön meg arról, hogy minden követelmény teljesül és teljesül.
Architektúra-összetevők
Az alapkonfigurációnak előíró javaslatokra van szüksége a számítási feladat fő összetevőihez. Ezek általában a hálózatkezelés, az identitás, a számítás és az adatok technikai vezérlői. Hivatkozzon a platform által biztosított biztonsági alapkonfigurációkra, és adja hozzá a hiányzó vezérlőket az architektúrához.
Tekintse meg a példát.
Fejlesztési folyamatok
Az alaptervnek a következőkkel kapcsolatos javaslatokkal kell rendelkeznie:
- Rendszerbesorolás.
- A jóváhagyott erőforrástípusok készlete.
- Az erőforrások nyomon követése.
- Szabályzatok kényszerítése erőforrások használatára vagy konfigurálására.
A fejlesztői csapatnak tisztában kell lennie a biztonsági ellenőrzések hatókörével. A fenyegetésmodellezés például követelmény annak biztosításához, hogy a potenciális fenyegetések azonosíthatók legyenek a kódban és az üzembehelyezési folyamatokban. Legyen konkrétan a folyamat statikus ellenőrzései és sebezhetőségi vizsgálata, valamint hogy a csapatnak milyen rendszeres időközönként kell elvégeznie ezeket a vizsgálatokat.
További információ: Javaslatok a fenyegetéselemzéshez.
A fejlesztési folyamatnak a különböző tesztelési módszerekre és azok ütemére vonatkozó szabványokat is meg kell szabnia. További információ: Javaslatok a biztonsági teszteléshez.
Üzemeltetés
Az alapkonfigurációnak szabványokat kell meghatároznia a fenyegetésészlelési képességek használatára és a tényleges incidenseket jelző rendellenes tevékenységekre vonatkozó riasztások emelésére. A fenyegetésészlelésnek tartalmaznia kell a számítási feladat összes rétegét, beleértve az ellenséges hálózatokból elérhető összes végpontot is.
Az alapkonfigurációnak tartalmaznia kell az incidenskezelési folyamatok beállítására vonatkozó javaslatokat, beleértve a kommunikációt és a helyreállítási tervet, és hogy ezek közül melyik automatizálható az észlelés és az elemzés felgyorsítása érdekében. Példák : Az Azure biztonsági alapkonfigurációinak áttekintése.
Az incidenskezelésnek tartalmaznia kell egy helyreállítási tervet és a terv követelményeit is, például a biztonsági mentések rendszeres készítéséhez és védelméhez szükséges erőforrásokat.
Adatszivárgási terveket a platform által biztosított iparági szabványok és javaslatok használatával fejleszthet ki. A csapat ezután egy átfogó tervvel rendelkezik, amelyet követnie kell a biztonsági rések felderítésekor. Emellett kérdezze meg a szervezetét, hogy van-e lefedettség a kiberinsurance szolgáltatáson keresztül.
Oktatás
Dolgozzon ki és tartson fenn egy biztonsági képzési programot, amely biztosítja, hogy a számítási feladatokért felelős csapat megfelelő készségekkel rendelkezzen a biztonsági célok és követelmények támogatására. A csapatnak alapvető biztonsági képzésre van szüksége, de a szervezettől a speciális szerepkörök támogatásához használhatja azokat. A szerepköralapú biztonsági képzések megfelelősége és a gyakorlatokban való részvétel a biztonsági alapkonfiguráció részét képezi.
Az alapterv alkalmazása
Az alapkonfigurációval ösztönözhet kezdeményezéseket, például:
Felkészültség a tervezési döntésekre. Hozza létre a biztonsági alapkonfigurációt, és tegye közzé az architektúratervezési folyamat megkezdése előtt. Győződjön meg arról, hogy a csapattagok már korán tisztában vannak a szervezet elvárásaival, így elkerülhetők az egyértelműség hiánya által okozott költséges átdolgozások. Alapkonfigurációs kritériumokat használhat olyan számítási feladatokra vonatkozó követelményekként, amelyekhez a szervezet elkötelezte magát, valamint megtervezheti és érvényesítheti a korlátozásokkal kapcsolatos vezérlőket.
A tervezés mérése. A jelenlegi döntéseket az aktuális alapkonfigurációhoz kell osztályozza. Az alapkonfiguráció beállítja a feltételek tényleges küszöbértékeit. Dokumentálja a halasztott vagy hosszú távú elfogadhatónak ítélt eltéréseket.
A meghajtó fejlesztései. Bár az alapkonfiguráció elérhető célokat határoz meg, mindig vannak hiányosságok. Rangsorolja a hátralékban lévő réseket, és a rangsorolás alapján szervizelje.
Kövesse nyomon a haladást az alaptervhez képest. Alapvető fontosságú a biztonsági intézkedések folyamatos monitorozása egy meghatározott alapkonfigurációval szemben. A trendelemzés jó módszer a biztonsági fejlődés időbeli áttekintésére, és az alapkonfigurációtól való konzisztens eltéréseket fedhet fel. Használja az automatizálást a lehető legnagyobb mértékben, különböző forrásokból, belső és külső forrásokból származó adatok lekérése a jelenlegi problémák megoldásához és a jövőbeli fenyegetésekre való felkészüléshez.
Állítsa be a védőkorlátokat. Ahol lehetséges, az alapkonfiguráció feltételeinek védőkorlátokkal kell rendelkezniük. A védőkorlátok belső tényezők és külső tényezők alapján kényszerítik ki a szükséges biztonsági konfigurációkat, technológiákat és műveleteket. A belső tényezők közé tartoznak az üzleti követelmények, a kockázatok és az eszközértékelés. A külső tényezők közé tartoznak a teljesítménymutatók, a szabályozási szabványok és a fenyegetési környezet. A védőkorlátok segítenek minimalizálni a véletlen felügyelet és a meg nem felelőség miatt kibírságolt bírságok kockázatát.
Megismerheti az Azure Policyt az egyéni beállításokhoz, vagy olyan beépített kezdeményezéseket használhat, mint a CIS-teljesítménytesztek vagy az Azure Security Benchmark a biztonsági konfigurációk és a megfelelőségi követelmények kikényszerítéséhez. Fontolja meg az Azure-szabályzatok és kezdeményezések alapkonfigurációkon kívüli létrehozását.
Az alapkonfiguráció rendszeres kiértékelése
A folyamatos kockázatcsökkentés érdekében folyamatosan fejlessze folyamatosan a biztonsági szabványokat az ideális állapot felé. Rendszeres felülvizsgálatok elvégzése annak biztosítása érdekében, hogy a rendszer naprakész legyen, és megfeleljen a külső hatásoknak. Az alapkonfiguráció módosításának formálisnak, elfogadottnak és megfelelő változáskezelési folyamatokon keresztül történő elküldendőnek kell lennie.
Mérje a rendszert az új alapkonfigurációhoz, és rangsorolja a szervizeléseket azok relevanciája és a számítási feladatra gyakorolt hatása alapján.
Győződjön meg arról, hogy a biztonsági helyzet nem romlik az idő múlásával a szervezeti szabványoknak való megfelelés naplózásával és monitorozásával.
Az Azure megkönnyítése
A Microsoft felhőbiztonsági referenciamutatója (MCSB) egy átfogó biztonsági ajánlott eljárás keretrendszer, amelyet kiindulási pontként használhat a biztonsági alapkonfigurációhoz. Használja más olyan erőforrásokkal együtt, amelyek bemenetet biztosítanak az alapkonfigurációhoz.
További információ: Bevezetés a Microsoft felhőbiztonsági teljesítménymutatójának használatába.
Az Felhőhöz készült Microsoft Defender (MDC) szabályozási megfelelőségi irányítópult használatával nyomon követheti ezeket az alapterveket, és riasztást kap, ha egy alapkonfiguráción kívüli mintát észlel. További információ: A szabványok halmazának testreszabása a szabályozási megfelelőségi irányítópulton.
Egyéb funkciók, amelyek segítenek az alapkonfiguráció kialakításában és javításában:
Példa
Ez a logikai diagram egy példa biztonsági alapkonfigurációt mutat be olyan architekturális összetevőkhöz, amelyek kiterjednek a hálózatra, az infrastruktúrára, a végpontra, az alkalmazásra, az adatokra és az identitásra, így bemutatják, hogyan védhetők biztonságosan a közös informatikai környezetek. A példára más javaslati útmutatók is épülnek.
Infrastruktúra
Egy közös informatikai környezet, amely egy helyszíni réteggel rendelkezik, amely alapszintű erőforrásokat használ.
Azure Security-szolgáltatások
Az Azure biztonsági szolgáltatásai és funkciói az általuk védett erőforrások típusai szerint.
Azure biztonsági monitorozási szolgáltatások
Az Azure-ban elérhető monitorozási szolgáltatások, amelyek túlmutatnak az egyszerű monitorozási szolgáltatásokon, beleértve a biztonsági információk eseménykezelését (SIEM) és a biztonsági vezénylés automatizált válaszmegoldásait és Felhőhöz készült Microsoft Defender.
Fenyegetések
Ez a réteg ajánlást és emlékeztetőt nyújt arra vonatkozóan, hogy a fenyegetéseket a szervezet fenyegetésekkel kapcsolatos aggodalmai alapján lehet leképezni, függetlenül a módszertantól vagy a mátrixszerű Mitre Attack Matrixtól vagy a Cyber Kill lánctól.
Kapcsolódó hivatkozások
Közösségi hivatkozások
Biztonsági ellenőrzőlista
Tekintse meg a javaslatok teljes készletét.