Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
In questo articolo vengono presentate attività di sicurezza e controlli da considerare quando si distribuiscono applicazioni per il cloud. Le domande e i concetti di sicurezza da considerare durante le fasi di rilascio e risposta del ciclo di vita di sviluppo della sicurezza Microsoft (SDL) sono trattati. L'obiettivo è definire le attività e i servizi di Azure che è possibile usare per distribuire un'applicazione più sicura.
Le fasi SDL seguenti sono descritte in questo articolo:
- Release
- Response
Release
L'obiettivo della fase di rilascio è preparare un progetto per il rilascio pubblico. Sono inclusi i modi per pianificare in modo efficace le attività di manutenzione post-rilascio e risolvere le vulnerabilità di sicurezza che potrebbero verificarsi in un secondo momento.
Controllare le prestazioni dell'applicazione prima dell'avvio
Controllare le prestazioni dell'applicazione prima di avviarlo o distribuirlo nell'ambiente di produzione. Usare Test di carico di Azure per eseguire test di carico basati sul cloud per individuare problemi di prestazioni nell'applicazione, migliorare la qualità della distribuzione, assicurarsi che l'applicazione sia sempre disponibile o disponibile e che l'applicazione possa gestire il traffico per l'avvio.
Installare un web application firewall
Le applicazioni Web sono destinazioni frequenti di attacchi dannosi, ad esempio SQL injection e scripting tra siti. La prevenzione di questi attacchi nel codice dell'applicazione può essere complessa, richiedendo una manutenzione rigorosa, l'applicazione di patch e il monitoraggio su più livelli dell'applicazione. Un web application firewall centralizzato semplifica la gestione della sicurezza risolvendo le vulnerabilità in un punto centrale anziché proteggere ogni singola applicazione Web.
Web application firewall di Azure per il gateway applicazione di Azure e Frontdoor di Azure offre una protezione centralizzata da exploit e vulnerabilità comuni. WAF usa regole dei set di regole di base OWASP 3.0 o 2.2.9 per garantire una sicurezza affidabile per le applicazioni Web.
Creare un piano di risposta agli eventi imprevisti
La preparazione di un piano di risposta agli eventi imprevisti è fondamentale per aiutare a risolvere nuove minacce che potrebbero emergere nel tempo. La preparazione di un piano di risposta agli eventi imprevisti include l'identificazione dei contatti di emergenza di sicurezza appropriati e la definizione di piani di manutenzione della sicurezza per il codice ereditato da altri gruppi nell'organizzazione e per il codice di terze parti concesso in licenza.
Eseguire una verifica finale della sicurezza
La revisione intenzionale di tutte le attività di sicurezza eseguite consente di garantire l'idoneità per il rilascio o l'applicazione del software. La revisione finale della sicurezza (FSR) include in genere l'analisi dei modelli di minaccia, gli output degli strumenti e le prestazioni rispetto ai controlli di qualità e alle barre di bug definite nella fase dei requisiti.
Certificare la versione e l'archivio
La certificazione del software prima di una versione consente di garantire che vengano soddisfatti i requisiti di sicurezza e privacy. L'archiviazione di tutti i dati pertinenti è essenziale per l'esecuzione di attività di manutenzione post-rilascio. L'archiviazione consente anche di ridurre i costi a lungo termine associati all'ingegneria software sostenuta.
Response
La fase post-rilascio della risposta si concentra sul team di sviluppo in grado e disponibile per rispondere in modo appropriato a eventuali report di minacce e vulnerabilità del software emergenti.
Eseguire il piano di risposta agli eventi imprevisti
La possibilità di implementare il piano di risposta agli eventi imprevisti istituito nella fase di rilascio è essenziale per proteggere i clienti da vulnerabilità di sicurezza software o privacy che emergono.
Monitorare le prestazioni dell'applicazione
Il monitoraggio continuo dell'applicazione dopo la distribuzione consente di rilevare i problemi di prestazioni e le vulnerabilità di sicurezza.
I servizi di Azure che supportano il monitoraggio delle applicazioni sono:
- Azure Application Insights
- Microsoft Defender for Cloud
Application Insights
Application Insights è un servizio estensibile di gestione delle prestazioni delle applicazioni (APM) per sviluppatori web su più piattaforme. Usalo per monitorare la tua applicazione web in tempo reale. Application Insights rileva automaticamente le anomalie delle prestazioni. Include potenti strumenti di analisi che consentono di diagnosticare i problemi e comprendere cosa fanno effettivamente gli utenti con l'app. È progettato per migliorare continuamente le prestazioni e l'usabilità.
Microsoft Defender for Cloud
Microsoft Defender for Cloud consente di prevenire, rilevare e rispondere alle minacce con maggiore visibilità e controllo sulla sicurezza delle risorse di Azure, incluse le applicazioni Web. Microsoft Defender for Cloud consente di rilevare le minacce che potrebbero altrimenti non essere rilevate. Funziona con varie soluzioni di sicurezza.
Il livello Gratuito di Defender for Cloud offre una sicurezza limitata solo per le risorse di Azure. Il livello Defender for Cloud Standard estende queste funzionalità alle risorse locali e ad altri cloud. Defender for Cloud Standard consente di:
- Individuare e correggere le vulnerabilità di sicurezza.
- Applicare i controlli di accesso e delle applicazioni per bloccare le attività dannose.
- Rilevare le minacce usando l'analisi e l'intelligenza.
- Rispondere rapidamente in caso di attacco.
Passaggi successivi
Negli articoli seguenti è consigliabile usare controlli di sicurezza e attività che consentono di progettare e sviluppare applicazioni sicure.