Praktik terbaik keamanan dan enkripsi data Azure

  • Artikel

Artikel ini menjelaskan praktik terbaik untuk keamanan dan enkripsi data.

Praktik terbaik didasarkan pada konsensus pendapat, dan praktik terbaik tersebut berfungsi dengan kemampuan platform dan kumpulan fitur Azure saat ini. Pendapat dan teknologi berubah dari waktu ke waktu dan artikel ini diperbarui secara berkala untuk mencerminkan perubahan tersebut.

Melindungi data

Untuk membantu melindungi data di cloud, Anda perlu memperhitungkan kemungkinan status di mana data Anda dapat terjadi, dan kontrol apa yang tersedia untuk status tersebut. Praktik terbaik untuk keamanan dan enkripsi data Azure terkait dengan status data berikut:

  • Saat tidak aktif: Ini mencakup semua objek penyimpanan informasi, kontainer, dan jenis yang ada secara statis pada media fisik, baik disk magnetik atau optik.
  • Saat transit: Saat data sedang ditransfer antar komponen, lokasi, atau program, data sedang dalam perjalanan. Contohnya adalah transfer melalui jaringan, melintasi bus layanan (dari lokal ke cloud dan sebaliknya, termasuk koneksi hibrida seperti ExpressRoute), atau selama proses I/O.
  • Dalam Penggunaan: Saat data sedang diproses, komputer virtual komputasi rahasia berbasis chipset AMD & Intel khusus menjaga data tetap terenkripsi dalam memori menggunakan kunci yang dikelola perangkat keras.

Memilih solusi manajemen kunci

Melindungi kunci Anda sangat penting untuk melindungi data Anda di cloud.

Azure Key Vault membantu melindungi kunci kriptografi dan rahasia yang digunakan aplikasi dan layanan cloud. Azure Key Vault menyederhanakan proses manajemen kunci dan memungkinkan Anda mempertahankan kontrol tombol yang mengakses dan mengenkripsi data. Pengembang dapat membuat kunci untuk pengembangan dan pengujian dalam hitungan menit, lalu memigrasikannya ke kunci produksi. Administrator keamanan dapat memberikan (dan mencabut) izin ke kunci, sesuai kebutuhan.

Anda dapat menggunakan Key Vault untuk membuat beberapa kontainer aman, yang disebut brankas. Brankas didukung oleh HSM. Brankas membantu mengurangi kemungkinan hilangnya informasi keamanan secara tidak disengaja dengan memusatkan penyimpanan rahasia aplikasi. Brankas kunci juga mengontrol dan mencatat akses ke apa pun yang tersimpan di dalamnya. Azure Key Vault dapat menangani permintaan dan pembaruan sertifikat Keamanan Lapisan Transportasi (TLS). Azure Key Vault menyediakan fitur untuk solusi yang kuat untuk manajemen siklus hidup sertifikat.

Azure Key Vault dirancang untuk mendukung kunci dan rahasia aplikasi. Key Vault tidak dimaksudkan untuk menjadi penyimpanan untuk kata sandi pengguna.

Berikut ini adalah praktik terbaik keamanan untuk menggunakan Key Vault.

Praktik terbaik: Buat akses ke pengguna, grup, dan aplikasi pada cakupan tertentu. Detail: Gunakan peran Azure RBAC yang telah ditentukan sebelumnya. Misalnya, untuk memberikan akses kepada pengguna untuk mengelola brankas kunci, Anda harus menetapkan peran yang telah ditentukan sebelumnya Kontributor Key Vault kepada pengguna ini pada cakupan tertentu. Cakupan dalam hal ini adalah langganan, grup sumber daya, atau hanya brankas kunci tertentu. Jika peran yang telah ditentukan sebelumnya tidak sesuai dengan kebutuhan, Anda dapat menentukan peran Anda sendiri.

Praktik terbaik: Kontrol apa yang dapat diakses pengguna. Detail: Akses ke brankas kunci dikontrol melalui dua antarmuka terpisah: bidang manajemen dan bidang data. Kontrol akses bidang manajemen dan bidang data bekerja secara terpisah.

Gunakan Azure RBAC untuk mengontrol apa yang dapat diakses pengguna. Misalnya, jika Anda ingin memberikan akses aplikasi untuk menggunakan kunci di brankas kunci, Anda hanya perlu memberikan izin akses bidang data dengan menggunakan kebijakan akses brankas kunci, dan tidak diperlukan akses bidang manajemen untuk aplikasi ini. Sebaliknya, jika Anda ingin pengguna dapat membaca properti dan tag brankas tetapi tidak memiliki akses ke kunci, rahasia, atau sertifikat, Anda dapat memberikan akses baca kepada pengguna ini menggunakan Azure RBAC, dan tidak diperlukan akses ke bidang data.

Praktik terbaik: Simpan sertifikat di brankas kunci Anda. Sertifikat Anda bernilai tinggi. Di tangan orang yang salah, keamanan aplikasi Anda atau keamanan data Anda dapat disusupi. Detail: Azure Resource Manager dapat dengan aman menyebarkan sertifikat yang disimpan di Azure Key Vault ke Azure VM saat VM disebarkan. Dengan mengatur kebijakan akses yang sesuai untuk brankas kunci, Anda juga mengontrol siapa yang mendapatkan akses ke sertifikat Anda. Manfaat lainnya adalah Anda mengelola semua sertifikat di satu tempat di Azure Key Vault. Lihat Menyebarkan Sertifikat ke VM dari Key Vault yang dikelola pelanggan untuk informasi selengkapnya.

Praktik terbaik: Pastikan Anda dapat memulihkan penghapusan brankas kunci atau objek brankas kunci. Detail: Penghapusan brankas kunci atau objek brankas kunci dapat tidak disengaja atau berbahaya. Aktifkan fitur perlindungan penghapusan dan hapus menyeluruh Key Vault, terutama untuk kunci yang digunakan untuk mengenkripsi data tidak aktif. Penghapusan kunci ini setara dengan kehilangan data, sehingga Anda dapat memulihkan brankas dan objek brankas yang dihapus jika diperlukan. Latih operasi pemulihan Key Vault secara teratur.

Catatan

Jika pengguna memiliki izin kontributor (Azure RBAC) ke bidang manajemen brankas kunci, mereka dapat memberikan akses ke bidang data dengan mengatur kebijakan akses brankas kunci. Sebaiknya Anda mengontrol dengan ketat siapa yang memiliki akses kontributor ke brankas kunci Anda, untuk memastikan bahwa hanya orang yang berwenang yang dapat mengakses dan mengelola brankas kunci, kunci, rahasia, dan sertifikat Anda.

Mengelola dengan stasiun kerja yang aman

Catatan

Administrator atau pemilik langganan harus menggunakan stasiun kerja akses aman atau stasiun kerja akses istimewa.

Karena sebagian besar serangan menargetkan pengguna akhir, titik akhir menjadi salah satu titik utama serangan. Penyerang yang menyusupi titik akhir dapat menggunakan info masuk pengguna untuk mendapatkan akses ke data organisasi. Sebagian besar serangan titik akhir memanfaatkan fakta bahwa pengguna adalah administrator di stasiun kerja lokal mereka.

Praktik terbaik: Gunakan stasiun kerja manajemen yang aman untuk melindungi akun, tugas, dan data sensitif. Detail: Gunakan stasiun kerja akses istimewa untuk mengurangi kemunculan serangan di stasiun kerja. Stasiun kerja manajemen yang aman ini dapat membantu Anda mengurangi beberapa serangan ini dan memastikan bahwa data Anda lebih aman.

Praktik terbaik: Pastikan perlindungan titik akhir. Detail: Berlakukan kebijakan keamanan di semua perangkat yang digunakan untuk menggunakan data, terlepas dari lokasi data (cloud atau lokal).

Lindungi data yang tidak aktif

Enkripsi data tidak aktif adalah langkah wajib menuju privasi data, kepatuhan, dan kedaulatan data.

Praktik terbaik: Terapkan enkripsi disk untuk membantu mengamankan data Anda. Detail: Gunakan Azure Disk Encryption untuk VM Linux atau Azure Disk Encryption untuk VM Windows. Enkripsi Disk menggabungkan fitur standar industri Linux dm-crypt atau Windows BitLocker untuk menyediakan enkripsi volume untuk OS dan disk data.

Azure Storage dan Azure SQL Database mengenkripsi data tidak aktif secara default, dan banyak layanan menawarkan enkripsi sebagai opsi. Anda dapat menggunakan Azure Key Vault untuk mempertahankan kontrol kunci yang mengakses dan mengenkripsi data Anda. Lihat Dukungan model enkripsi penyedia sumber daya Azure untuk mempelajari selengkapnya.

Praktik terbaik: Gunakan enkripsi untuk membantu mengurangi risiko yang terkait dengan akses data yang tidak sah. Detail: Enkripsi drive Anda sebelum Anda menulis data sensitif ke drive tersebut.

Organisasi yang tidak memberlakukan enkripsi data lebih rentan terhadap masalah kerahasiaan data. Misalnya, pengguna yang tidak sah atau nakal mungkin mencuri data di akun yang disusupi atau mendapatkan akses tidak sah ke data yang dikodekan dalam Clear Format. Perusahaan juga harus membuktikan bahwa mereka rajin dan menggunakan kontrol keamanan yang benar untuk meningkatkan keamanan data mereka agar sesuai dengan peraturan industri.

Memproteksi data dalam perjalanan

Melindungi data saat transit harus menjadi bagian penting dari strategi perlindungan data. Karena data bergerak bolak-balik dari banyak lokasi, sebaiknya Anda selalu menggunakan protokol SSL/TLS untuk bertukar data di berbagai lokasi. Dalam beberapa keadaan, Anda mungkin ingin mengisolasi seluruh saluran komunikasi antara infrastruktur lokal dan cloud dengan menggunakan VPN.

Untuk pemindahan data antara infrastruktur lokal dan Azure, pertimbangkan perlindungan yang sesuai seperti HTTPS atau VPN. Saat mengirim lalu lintas terenkripsi antara jaringan virtual Azure dan lokasi lokal melalui internet publik, gunakan Azure VPN Gateway.

Berikut ini adalah praktik terbaik khusus untuk menggunakan Azure VPN Gateway, SSL/TLS, dan HTTPS.

Praktik terbaik: Akses aman dari beberapa stasiun kerja yang terletak di lokal ke jaringan virtual Azure. Detail: Gunakan VPN situs-ke-situs.

Praktik terbaik: Akses aman dari masing-masing stasiun kerja yang terletak di lokal ke jaringan virtual Azure. Detail: Gunakan VPN titik-ke-situs.

Praktik terbaik: Pindahkan himpunan data yang lebih besar melalui tautan WAN berkecepatan tinggi khusus. Detail: Gunakan ExpressRoute. Jika memilih untuk menggunakan ExpressRoute, Anda juga dapat mengenkripsi data di tingkat aplikasi dengan menggunakan SSL/TLS atau protokol lain untuk perlindungan tambahan.

Praktik terbaik: Berinteraksi dengan Azure Storage melalui portal Azure. Detail: Semua transaksi terjadi melalui HTTPS. Anda juga dapat menggunakan Storage REST API melalui HTTPS untuk berinteraksi dengan Azure Storage.

Organisasi yang gagal melindungi data saat transit lebih rentan terhadap serangan mitm, eavesdropping, dan pembajakan sesi. Serangan ini dapat menjadi langkah pertama dalam mendapatkan akses ke data rahasia.

Melindungi data yang digunakan

Kurangi kebutuhan akan kepercayaan Menjalankan beban kerja di cloud memerlukan kepercayaan. Anda memberikan kepercayaan ini kepada berbagai penyedia yang memungkinkan aktivasi berbagai komponen aplikasi Anda.

  • Vendor perangkat lunak aplikasi: Percayai perangkat lunak dengan menyebarkan lokal, menggunakan sumber terbuka, atau dengan membangun perangkat lunak aplikasi internal.
  • Vendor perangkat keras: Percayai perangkat keras dengan menggunakan perangkat keras lokal atau perangkat keras internal.
  • Penyedia infrastruktur: Percayai penyedia cloud atau kelola pusat data lokal Anda sendiri.

Mengurangi permukaan serangan The Trusted Computing Base (TCB) mengacu pada semua komponen perangkat keras, firmware, dan perangkat lunak sistem yang menyediakan lingkungan yang aman. Komponen di dalam TCB dianggap "kritis." Jika satu komponen di dalam TCB disusupi, seluruh keamanan sistem dapat dirusak. TCB yang lebih rendah artinya keamanan yang lebih tinggi. Terdapat lebih sedikit risiko paparan pada berbagai kerentanan, malware, serangan, dan penjahat.

Komputasi rahasia Azure dapat membantu Anda:

  • Mencegah akses tidak sah: Jalankan data sensitif pada cloud. Percayalah bahwa Azure akan memberikan perlindungan data terbaik, dengan sedikit atau tanpa perubahan dari apa yang akan dilakukan hari ini.
  • Memenuhi kepatuhan terhadap peraturan: Bermigrasi ke cloud dan menjaga kontrol penuh data untuk memenuhi peraturan pemerintah untuk melindungi informasi pribadi dan mengamankan IP organisasi.
  • Pastikan kolaborasi yang aman dan tidak tepercaya: Mengatasi masalah skala kerja di seluruh industri dengan menyisir data di seluruh organisasi, bahkan pesaing, untuk membuka kunci analitik data yang luas dan wawasan yang lebih dalam.
  • Mengisolasi pemrosesan: Menawarkan gelombang baru produk yang menghapus tanggung jawab pada data privat dengan pemrosesan buta. Data pengguna bahkan tidak dapat diambil oleh penyedia layanan.

Pelajari selengkapnya tentang Komputasi rahasia.

Mengamankan email, dokumen, dan data sensitif

Anda ingin mengontrol dan mengamankan email, dokumen, dan data sensitif yang Anda bagikan di luar perusahaan Anda. Perlindungan Informasi Azure adalah solusi berbasis cloud yang membantu organisasi untuk mengklasifikasikan, memberi label, dan melindungi dokumen dan emailnya. Perlindungan ini dapat dilakukan secara otomatis oleh administrator yang menentukan aturan dan ketentuan, secara manual oleh pengguna, atau kombinasi di mana pengguna mendapatkan rekomendasi.

Klasifikasi dapat diidentifikasi setiap saat, terlepas dari di mana data disimpan atau dengan siapa data tersebut dibagikan. Label menyertakan tanda visual seperti header, catatan kaki, atau marka air. Metadata ditambahkan ke file dan header email dalam teks yang jelas. Teks yang jelas memastikan bahwa layanan lain, seperti solusi untuk mencegah kehilangan data, dapat mengidentifikasi klasifikasi dan mengambil tindakan yang tepat.

Teknologi perlindungan menggunakan Azure Rights Management (Azure RMS). Teknologi ini terintegrasi dengan layanan dan aplikasi cloud Microsoft lainnya, seperti Microsoft 365 dan MICROSOFT Entra ID. Teknologi perlindungan ini menggunakan kebijakan enkripsi, identitas, dan otorisasi. Perlindungan yang diterapkan melalui Azure RMS tetap menggunakan dokumen dan email, secara independen dari lokasi di dalam atau di luar organisasi, jaringan, server file, dan aplikasi Anda.

Solusi perlindungan informasi ini membuat Anda tetap mengontrol data Anda, bahkan ketika dibagikan dengan orang lain. Anda juga dapat menggunakan Azure RMS dengan aplikasi lini bisnis Anda sendiri dan solusi perlindungan informasi dari vendor perangkat lunak, baik aplikasi dan solusi ini ada di lokal atau di cloud.

Kami menyarankan Anda:

  • Menerapkan Perlindungan Informasi Azure untuk organisasi Anda.
  • Terapkan label yang mencerminkan kebutuhan bisnis Anda. Misalnya: Terapkan label bernama "sangat rahasia" ke semua dokumen dan email yang berisi data rahasia teratas, untuk mengklasifikasikan dan melindungi data ini. Kemudian, hanya pengguna yang berwenang yang dapat mengakses data ini, dengan batasan apa pun yang Anda tentukan.
  • Konfigurasikan pengelogan penggunaan untuk Azure RMS sehingga Anda dapat memantau bagaimana organisasi Anda menggunakan layanan perlindungan.

Organisasi yang lemah dalam klasifikasi data dan perlindungan file mungkin lebih rentan terhadap kebocoran data atau penyalahgunaan data. Dengan perlindungan file yang tepat, Anda dapat menganalisis aliran data untuk mendapatkan wawasan tentang bisnis Anda, mendeteksi perilaku berisiko dan mengambil tindakan korektif, melacak akses ke dokumen, dan sebagainya.

Langkah berikutnya

Lihat praktik terbaik dan pola keamanan Azure untuk praktik terbaik keamanan lainnya yang digunakan saat Anda mendesain, menerapkan, dan mengelola solusi cloud dengan menggunakan Azure.

Sumber daya berikut ini tersedia untuk memberikan informasi yang lebih umum tentang keamanan Azure dan layanan Microsoft terkait: