Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
In questo articolo vengono presentate attività di sicurezza e controlli da considerare quando si distribuiscono applicazioni per il cloud. Le domande e i concetti di sicurezza da considerare durante le fasi di rilascio e risposta del ciclo di vita di sviluppo della sicurezza Microsoft (SDL) sono trattati. L'obiettivo è definire le attività e i servizi di Azure che è possibile usare per distribuire un'applicazione più sicura.
Le fasi SDL seguenti sono descritte in questo articolo:
- Release
- Risposta
Versione
L'obiettivo della fase di rilascio è preparare un progetto per il rilascio pubblico. Ciò include la pianificazione di modi per eseguire efficacemente le attività di manutenzione post-rilascio e risolvere le vulnerabilità di sicurezza che potrebbero verificarsi in un secondo momento.
Controlla le prestazioni della tua applicazione prima di avviare l'applicazione
Controllare le prestazioni dell'applicazione prima di avviarla o distribuire gli aggiornamenti in produzione. Usare Test di carico di Azure per eseguire test di carico basati sul cloud per individuare problemi di prestazioni nell'applicazione, migliorare la qualità della distribuzione, assicurarsi che l'applicazione sia sempre attiva e disponibile e che l'applicazione possa gestire il traffico per l'avvio.
Installare un web application firewall
Le applicazioni Web sono bersagli frequenti di attacchi malevoli, ad esempio SQL injection e cross-site scripting. La prevenzione di questi attacchi nel codice dell'applicazione può essere complessa, richiedendo una manutenzione rigorosa, l'applicazione di patch e il monitoraggio su più livelli dell'applicazione. Un web application firewall centralizzato semplifica la gestione della sicurezza affrontando le vulnerabilità in un punto centrale anziché proteggere ogni singola applicazione Web.
Il Web application firewall di Azure per gateway applicazione di Azure e Frontdoor di Azure offre una protezione centralizzata da exploit e vulnerabilità comuni. WAF usa regole del Core Rule Set OWASP 3.0 o 2.2.9 per garantire una sicurezza affidabile per le applicazioni Web.
Creare un piano di risposta agli eventi imprevisti
La preparazione di un piano di risposta agli incidenti è fondamentale per aiutare a risolvere nuove minacce che potrebbero emergere nel tempo. La preparazione di un piano di risposta agli incidenti include l'identificazione dei contatti di emergenza di sicurezza appropriati e la definizione di piani di manutenzione della sicurezza per il codice ereditato da altri gruppi nell'organizzazione e per il codice di terze parti concesso in licenza.
Eseguire una verifica finale della sicurezza
La revisione intenzionale di tutte le attività di sicurezza eseguite consente di garantire la preparazione per il rilascio del software o dell'applicazione. La revisione finale della sicurezza (FSR) include in genere l'analisi dei modelli di minaccia, gli output degli strumenti e le prestazioni rispetto ai controlli di qualità e ai bug bar definiti nella fase dei requisiti.
Certificare il rilascio e archiviare
La certificazione del software prima di un rilascio consente di garantire che vengano soddisfatti i requisiti di sicurezza e privacy. L'archiviazione di tutti i dati pertinenti è essenziale per l'esecuzione di attività di manutenzione post-rilascio. L'archiviazione consente anche di ridurre i costi a lungo termine associati allo sviluppo e alla manutenzione software continuativi.
Risposta
La fase di risposta post-rilascio si concentra sulla capacità e disponibilità del team di sviluppo a rispondere in modo appropriato a eventuali segnalazioni di minacce e vulnerabilità software emergenti.
Eseguire il piano di risposta agli incidenti
La possibilità di implementare il piano di risposta agli incidenti istituito nella fase di rilascio è essenziale per proteggere i clienti da vulnerabilità di sicurezza software o privacy che emergono.
Monitorare le prestazioni dell'applicazione
Il monitoraggio continuo dell'applicazione dopo la distribuzione consente di rilevare i problemi di prestazioni e le vulnerabilità di sicurezza.
I servizi di Azure che supportano il monitoraggio delle applicazioni sono:
- applicazione Azure Insights
- Microsoft Defender per il cloud
Application Insights
Application Insights è un servizio estensibile di gestione delle prestazioni delle applicazioni (APM) per sviluppatori web su più piattaforme. Usalo per monitorare la tua applicazione web in tempo reale. Application Insights rileva automaticamente le anomalie delle prestazioni. Include potenti strumenti di analisi che consentono di diagnosticare i problemi e comprendere cosa fanno effettivamente gli utenti con l'app. È progettato per migliorare continuamente le prestazioni e l'usabilità.
Microsoft Defender per il cloud
Microsoft Defender per il cloud consente di prevenire, rilevare e rispondere alle minacce con maggiore visibilità e controllo sulla sicurezza delle risorse di Azure, incluse le applicazioni Web. Microsoft Defender per il cloud consente di rilevare le minacce che potrebbero altrimenti non essere rilevate. Funziona con varie soluzioni di sicurezza.
Il livello Gratuito di Defender per il cloud offre una sicurezza limitata solo per le tue risorse di Azure. Il livello Defender per il cloud Standard estende queste funzionalità alle risorse locali e ad altri cloud. Defender per il cloud Standard consente di:
- Individuare e correggere le vulnerabilità di sicurezza.
- Applicare i controlli di accesso e delle applicazioni per bloccare le attività dannose.
- Rilevare le minacce usando l'analisi e l'intelligenza.
- Rispondere rapidamente in caso di attacco.
Passaggi successivi
Negli articoli seguenti consigliamo controlli di sicurezza e attività che consentono di progettare e sviluppare applicazioni sicure.