Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
A Microsoft felhőbiztonsági referenciamutatója (MCSB) előíró ajánlott eljárásokat és javaslatokat nyújt a számítási feladatok, adatok és szolgáltatások biztonságának javításához az Azure-ban és a többfelhős környezetben. Ez a teljesítménymutató a felhőközpontú vezérlési területekre összpontosít, és számos holisztikus Microsoft- és iparági biztonsági útmutatást tartalmaz, amelyek a következőket tartalmazzák:
- Felhőbevezetési keretrendszer: Útmutatás a biztonsághoz, beleértve a stratégiát, a szerepköröket és a felelősségeket, az Azure 10 legjobb biztonsági ajánlott eljárásait és a referencia-megvalósítást.
- Azure Well-Architected Framework: Útmutató a számítási feladatok Azure-beli védelméhez.
- A vezető informatikai biztonsági tisztviselő (CISO) workshop: Programvezetési és referenciastratégiák a biztonság modernizálásának felgyorsításához a zéró megbízhatósági alapelvek használatával.
- Egyéb iparági és felhőszolgáltatók biztonsági ajánlott eljárásokkal kapcsolatos szabványai és keretrendszerei: Ilyenek például az Amazon Web Services (AWS) Well-Architected Framework, a Center for Internet Security (CIS) Controls, a National Institute of Standards and Technology (NIST) és a Payment Card Industry Data Security Standard (PCI-DSS).
A Microsoft cloud security benchmark 1-beli újdonságai
Megjegyzés:
A Microsoft felhőbiztonsági benchmarkja az Azure Security Benchmark (ASB) utódja, amelyet 2022 októberében újjászerkesztettek.
A Google Cloud Platform támogatása az MCSB-ben mostantól előzetes verzióként elérhető mind az MCSB benchmark útmutatójában, mind a Microsoft Defender for Cloudban.
A Microsoft felhőbiztonsági benchmark v1 újdonságai:
Átfogó többfelhős biztonsági keretrendszer: A szervezeteknek gyakran egy belső biztonsági szabványt kell létrehozniuk, amely összeegyezteti a biztonsági vezérlőket több felhőplatformon, hogy megfeleljenek az egyes platformok biztonsági és megfelelőségi követelményeinek. Ez gyakran megköveteli, hogy a biztonsági csapatok ugyanazt a megvalósítást, monitorozást és értékelést ismételjék meg a különböző felhőkörnyezetekben (gyakran különböző megfelelőségi szabványok esetén). Ez szükségtelen többletterhelést, költséget és erőfeszítést okoz. A probléma megoldásához az ASB-t az MCSB-hez bővítettük, hogy a különböző felhőkkel való gyors munkavégzéshez a következők segítségével segítsünk:
- Egyetlen szabályozási keretrendszer biztosítása a felhők biztonsági vezérlőinek egyszerű kielégítése érdekében
- Egységes felhasználói élmény biztosítása a többfelhős biztonsági teljesítményteszt monitorozásához és kényszerítéséhez a Defender for Cloudban
- Az iparági szabványoknak (pl. CIS, NIST, PCI) való megfelelés
Automatizált vezérlésfigyelés az AWS-hez a Microsoft Defender for Cloudban: A Microsoft Defender for Cloud Szabályozási megfelelőségi irányítópult használatával ugyanúgy figyelheti az AWS-környezetet az MCSB-vel szemben, mint ahogyan az Azure-környezetet is figyeli. Körülbelül 180 AWS-ellenőrzést fejlesztettünk ki az ÚJ AWS biztonsági útmutatóhoz az MCSB-ben, amely lehetővé teszi az AWS-környezet és -erőforrások monitorozását a Microsoft Defender for Cloudban.
A meglévő Azure-útmutatók és biztonsági alapelvek frissítése: A frissítés során frissítettünk néhány azure-beli biztonsági útmutatást és biztonsági alapelvet is, hogy naprakész maradjon a legújabb Azure-funkciókkal és képességekkel.
Vezérlők
| Tartományok vezérlése | Description |
|---|---|
| Hálózati biztonság (NS) | A hálózatbiztonság magában foglalja a hálózatok védelmét és védelmét szolgáló vezérlőket, beleértve a virtuális hálózatok védelmét, a privát kapcsolatok létrehozását, a külső támadások megelőzését és enyhítését, valamint a DNS védelmét. |
| Identitáskezelés (IM) | Az Identity Management magában foglalja a biztonságos identitás- és hozzáférés-vezérlés identitás- és hozzáférés-kezelési rendszerek használatával történő létrehozását, beleértve az egyszeri bejelentkezés, az erős hitelesítések, a felügyelt identitások (és szolgáltatásnevek) alkalmazását, a feltételes hozzáférést és a fiók anomáliáinak monitorozását. |
| Emelt szintű hozzáférés (PA) | A Privileged Access a bérlőhöz és az erőforrásokhoz való emelt szintű hozzáférés védelmét szolgáló vezérlőket foglalja magában, beleértve a felügyeleti modell, a rendszergazdai fiókok és a kiemelt hozzáférési munkaállomások szándékos és véletlen kockázattal szembeni védelmét szolgáló vezérlőket. |
| Adatvédelem (DP) | Az Adatvédelem magában foglalja az inaktív, a tranzit és az engedélyezett hozzáférési mechanizmusokon keresztüli adatvédelem ellenőrzését, beleértve a bizalmas adategységek felderítését, besorolását, védelmét és monitorozását hozzáférés-vezérléssel, titkosítással, kulcskezeléssel és tanúsítványkezeléssel. |
| Eszközkezelés (AM) | Az Eszközkezelés magában foglalja az erőforrások biztonsági láthatóságának és szabályozásának biztosítását szolgáló vezérlőket, beleértve a biztonsági személyzet engedélyeit, az eszközleltárhoz való biztonsági hozzáférést, valamint a szolgáltatások és erőforrások jóváhagyásának kezelését (leltár, nyomon követés és javítás). |
| Naplózás és fenyegetésészlelés (LT) | A naplózás és a fenyegetésészlelés a felhőbeli fenyegetések észlelésére szolgáló vezérlőket, valamint a felhőszolgáltatások naplózási naplóinak engedélyezését, gyűjtését és tárolását foglalja magában, beleértve az észlelési, vizsgálati és szervizelési folyamatok engedélyezését olyan vezérlőkkel, amelyek kiváló minőségű riasztásokat hoznak létre natív fenyegetésészleléssel a felhőszolgáltatásokban; Ez magában foglalja a naplók felhőmonitorozási szolgáltatással való gyűjtését, a biztonsági elemzés SIEM-sel való központosítását, az időszinkronizálást és a naplómegőrzést. |
| Incidenskezelés (IR) | Az incidenskezelés az incidenskezelés életciklusának vezérlőire terjed ki– előkészítésre, észlelésre és elemzésre, elszigetelésre és incidens utáni tevékenységekre, beleértve az Azure-szolgáltatások (például a Felhőhöz készült Microsoft Defender és a Sentinel) és/vagy más felhőszolgáltatások használatát az incidenskezelési folyamat automatizálásához. |
| Állapot- és sebezhetőségkezelés (PV) | A Testure and Vulnerability Management a felhőbeli biztonsági helyzet felmérésére és javítására szolgáló vezérlőkre összpontosít, beleértve a sebezhetőségi vizsgálatokat, a behatolástesztelést és a szervizelést, valamint a felhőbeli erőforrások biztonsági konfigurációjának nyomon követését, jelentéskészítését és javítását. |
| Végpontbiztonság (ES) | Az Endpoint Security a végpontészlelés és a válasz vezérlőire terjed ki, beleértve a végpontészlelés és a válasz (EDR) használatát, valamint a felhőkörnyezetekben lévő végpontok kártevőirtó szolgáltatását. |
| Biztonsági mentés és helyreállítás (BR) | A biztonsági mentés és helyreállítás olyan vezérlőket tartalmaz, amelyek biztosítják, hogy a különböző szolgáltatási szinteken lévő adatok és konfigurációs biztonsági mentések végrehajtása, érvényesítése és védelme biztosított legyen. |
| DevOps biztonság (DS) | A DevOps Security magában foglalja a DevOps-folyamatok biztonsági tervezéséhez és műveleteihez kapcsolódó vezérlőket, beleértve a kritikus biztonsági ellenőrzések (például statikus alkalmazások biztonsági tesztelése, sebezhetőségi felügyelet) üzembe helyezését az üzembe helyezési fázis előtt, hogy a DevOps-folyamat során a biztonság biztosítható legyen; Olyan gyakori témaköröket is tartalmaz, mint a fenyegetésmodellezés és a szoftverellátás biztonsága. |
| Irányítás és stratégia (GS) | Az irányítás és a stratégia útmutatást nyújt egy koherens biztonsági stratégia és dokumentált szabályozási megközelítés biztosításához a biztonság biztosításához és fenntartásához, beleértve a különböző felhőbiztonsági funkciók szerepköreinek és felelősségeinek megállapítását, az egységes műszaki stratégiát, valamint a támogató szabályzatokat és szabványokat. |
Javaslatok a Microsoft felhőbiztonsági teljesítménymutatójában
Minden javaslat a következő információkat tartalmazza:
- Azonosító: A javaslatnak megfelelő benchmark-azonosító.
- CIS-vezérlők v8-azonosító(ka): A javaslatnak megfelelő CIS-vezérlők v8-vezérlői.
- CIS-vezérlők v7.1 azonosító(ka):a CIS-vezérlők v7.1 vezérlői, amelyek megfelelnek a javaslatnak (formázási ok miatt nem érhetők el a weben).
- PCI-DSS 3.2.1-s verziójú azonosító(ka): A javaslatnak megfelelő PCI-DSS 3.2.1-s verziójú vezérlő(k).
- NIST SP 800-53 r4 azonosító(k):: Az NIST SP 800-53 r4 (közepes és magas) vezérlő(k) megfelelnek ennek a javaslatnak.
- Biztonsági elv: A javaslat a "mire" összpontosított, amely a technológia-agnosztikus szinten magyarázza az ellenőrzést.
- Azure-útmutató: A javaslat középpontjában a "hogyan" áll, amely az Azure technikai funkcióit és a megvalósítás alapjait ismerteti.
- AWS-útmutató: A javaslat az AWS technikai funkcióinak és implementálási alapjainak ismertetésére összpontosított.
- Megvalósítás és további környezet: A megvalósítás részletei és egyéb releváns környezetek, amelyek az Azure és az AWS szolgáltatás dokumentációs cikkeit tartalmazzák.
- Ügyfélbiztonsági érdekelt felek: Az ügyfél szervezet biztonsági funkciói, amelyekért elszámoltathatók, felelősek vagy akiket bevonhatnak az adott ellenőrzésbe. A különbség szervezetről szervezetre változhat, attól függően, hogy milyen a vállalat biztonsági szervezeti struktúrája, valamint az Azure biztonsághoz kapcsolódó szerepkörök és felelősségek beállítása.
Az MCSB és az iparági teljesítménytesztek (például CIS, NIST és PCI) közötti vezérlőleképezések csak azt jelzik, hogy egy adott Azure-funkció(ok) használhatók az ezekben az iparági teljesítménymutatókban meghatározott ellenőrzési követelmények teljes vagy részleges kezelésére. Tisztában kell lennie azzal, hogy az ilyen megvalósítás nem feltétlenül felel meg a megfelelő ellenőrzés(ek)nek ezekben az iparági referenciamutatókban.
Örömmel fogadjuk részletes visszajelzését és aktív részvételét a Microsoft felhőbiztonsági referenciacsomagjában. Ha közvetlen bemenetet szeretne megadni, küldjön nekünk e-mailt a következő címre benchmarkfeedback@microsoft.com: .
Letöltés
A benchmark és az alapkonfiguráció offline másolatát táblázatformátumban töltheti le.
Következő lépések
- Tekintse meg az első biztonsági vezérlőt: Hálózati biztonság
- A Microsoft felhőbiztonsági referenciamutatójának bemutatása
- Az Azure biztonsági alapjainak megismerése