Menyebarkan aplikasi aman di Azure
Dalam artikel ini, kami menyajikan aktivitas dan kontrol keamanan yang perlu dipertimbangkan saat Anda menyebarkan aplikasi untuk cloud. Pertanyaan dan konsep keamanan yang perlu dipertimbangkan selama fase rilis dan respons Microsoft Security Development Lifecycle (SDL) tercakup. Artikel ini bertujuan untuk membantu Anda menentukan aktivitas dan layanan Azure yang dapat Anda gunakan untuk menyebarkan aplikasi yang lebih aman.
Tahap SDL berikut tercakup dalam artikel ini:
- Lepaskan
- Respons
Lepaskan
Fokus fase rilis adalah persiapan proyek untuk rilis publik. Persiapan ini termasuk merencanakan cara untuk secara efektif melakukan tugas layanan pasca-rilis dan mengatasi kerentanan keamanan yang mungkin terjadi nanti.
Periksa performa aplikasi Anda sebelum melakukan peluncuran
Periksa performa aplikasi Anda sebelum meluncurkannya atau menyebarkan pembaruan ke produksi. Gunakan Azure Load Testing untuk menjalankan pengujian beban berbasis cloud untuk mencari masalah performa pada aplikasi Anda, meningkatkan kualitas penyebaran, memastikan bahwa aplikasi Anda selalu siap atau tersedia, dan aplikasi Anda dapat menangani lalu lintas untuk peluncuran Anda.
Menginstal firewall aplikasi web
Aplikasi web semakin menjadi target serangan berbahaya yang mengeksploitasi kerentanan umum yang diketahui. Eksploitasi yang umum di antaranya adalah ini adalah serangan injeksi SQL dan serangan scripting lintas situs. Mencegah serangan ini dalam kode aplikasi bisa menjadi hal yang tidak mudah. Pencegahan ini dapat memerlukan pemeliharaan, patching, dan pemantauan secara ketat di beberapa lapisan topologi aplikasi. WAF terpusat membantu menyederhanakan manajemen keamanan. Solusi WAF juga dapat bereaksi terhadap ancaman keamanan dengan melakukan patching pada kerentanan yang sudah diketahui di lokasi pusat versus mengamankan aplikasi web masing-masing individu.
WAF Azure Application Gateway memberikan perlindungan terpusat pada aplikasi web Anda dari eksploitasi dan kerentanan umum. WAF didasarkan pada aturan dari seperangkat aturan inti OWASP 3.0 atau 2.2.9.
Membuat rencana respons insiden
Menyiapkan rencana respons insiden sangat penting untuk membantu Anda mengatasi ancaman baru yang mungkin muncul dari waktu ke waktu. Menyiapkan rencana respons insiden mencakup kegiatan mengidentifikasi kontak darurat keamanan yang sesuai dan membuat rencana layanan keamanan untuk kode yang diwarisi dari grup lain di organisasi dan untuk kode pihak ke-tiga berlisensi.
Melakukan tinjauan keamanan akhir
Secara terencana meninjau semua aktivitas keamanan yang telah dilakukan akan membantu memastikan kesiapan untuk rilis perangkat lunak atau aplikasi Anda. Tinjauan keamanan akhir (FSR) biasanya mencakup pemeriksaan model ancaman, output alat, dan performa terhadap gerbang kualitas dan bilah bug yang ditentukan dalam fase persyaratan.
Sertifikasi rilis dan arsip
Sertifikasi perangkat lunak sebelum rilis membantu memastikan bahwa persyaratan keamanan dan privasi telah terpenuhi. Pengarsipan semua data yang bersangkutan sangat penting untuk melakukan tugas layanan pasca-rilis. Pengarsipan juga membantu menurunkan biaya jangka panjang yang terkait dengan rekayasa perangkat lunak berkelanjutan.
Respons
Fase respons pasca-rilis berpusat pada kemampuan dan ketersediaan tim pengembangan untuk merespons dengan tepat setiap laporan ancaman dan kerentanan perangkat lunak yang muncul.
Menjalankan rencana respons insiden
Mampu menerapkan rencana respons insiden yang diajukan dalam fase rilis sangat penting untuk membantu melindungi pelanggan dari kerentanan keamanan perangkat lunak atau privasi yang terjadi.
Memantau performa aplikasi
Pemantauan berkelanjutan terhadap aplikasi Anda setelah disebarkan dapat membantu Anda mendeteksi masalah performa serta kerentanan keamanan.
Layanan Azure yang membantu pemantauan aplikasi adalah:
- Azure Application Insights
- Microsoft Defender for Cloud
Application Insights
Application Insights adalah layanan Manajemen Performa Aplikasi (APM) yang dapat diperluas untuk pengembang web di berbagai platform. Gunakan untuk memantau aplikasi web langsung Anda. Application Insights secara otomatis mendeteksi anomali performa. Layanan ini mencakup alat analitik yang andal untuk membantu mendiagnosis masalah dan untuk memahami hal yang sebenarnya dilakukan pengguna dengan aplikasi Anda. Application Insights dirancang untuk membantu Anda terus meningkatkan performa dan kegunaan.
Microsoft Defender for Cloud
Pertahanan Microsoft untuk Cloud membantu Anda mencegah, mendeteksi, dan merespons ancaman dengan peningkatan visibilitas ke dalam dan (kontrol atas) keamanan sumber daya Azure Anda, termasuk aplikasi web. Pertahanan Microsoft untuk Cloud membantu mendeteksi ancaman yang mungkin tidak diperhatikan. Fitur ini bekerja dengan berbagai solusi keamanan.
Tingkat Gratis Pertahanan Microsoft untuk Cloud hanya menawarkan keamanan terbatas untuk sumber daya Azure Anda. Tingkat Standar Pertahanan Microsoft untuk Cloud memperluas kemampuan ini ke sumber daya lokal dan cloud lainnya. Tingkat Standar Pertahanan Microsoft untuk Cloud membantu Anda:
- Menemukan dan memperbaiki kerentanan keamanan.
- Menerapkan kontrol akses dan aplikasi untuk memblokir aktivitas berbahaya.
- Mendeteksi ancaman dengan menggunakan analitik dan kecerdasan.
- Menanggapi dengan cepat saat diserang.
Langkah berikutnya
Dalam artikel berikut, kami merekomendasikan kontrol dan aktivitas keamanan yang dapat membantu Anda merancang dan menyebarkan aplikasi yang aman.