Zero Trust-beveiliging in Azure

Zero Trust is een beveiligingsstrategie die ervan uitgaat dat er inbreuk wordt gemaakt en elke aanvraag wordt geverifieerd alsof deze afkomstig is van een onbeheerd netwerk. Dit artikel introduceert de Zero Trust-principes en hoe deze van toepassing zijn op Azure.

Aanbeveling

Zie de Zero Trust-documentatie voor uitgebreide richtlijnen voor Zero Trust, waaronder:

Dit artikel bevat een op Azure gerichte inleiding tot Zero Trust-concepten.

Zero Trust-principes voor Azure

Tegenwoordig hebben organisaties een beveiligingsmodel nodig dat zich effectief aanpast aan de complexiteit van de moderne omgeving, de mobiele werknemers omarmt en mensen, apparaten, toepassingen en gegevens beschermt waar ze zich ook bevinden.

Het Zero Trust-beveiligingsmodel is gebaseerd op drie uitgangspunten:

  • Expliciet verifiëren - Altijd verifiëren en autoriseren op basis van alle beschikbare gegevenspunten, waaronder gebruikersidentiteit, locatie, apparaatstatus en service of workload.
  • Gebruik toegang tot minimale bevoegdheden : beperk gebruikerstoegang met Just-In-Time en Just-Enough-Access (JIT/JEA), op risico gebaseerd adaptief beleid en gegevensbeveiliging.
  • Ga uit van een inbreuk - Minimaliseer impact en toegang tot segmenten. Controleer end-to-end-versleuteling en gebruik analyse om zichtbaarheid te krijgen, detectie van bedreigingen te stimuleren en verdediging te verbeteren.

Principes toepassen op Azure-workloads

Bij het implementeren van Zero Trust in Azure worden deze principes omgezet in specifieke architectuurpatronen:

Verify betekent expliciet dat elk toegangsverzoek tot Azure-resources moet worden geauthenticeerd en geautoriseerd met Microsoft Entra ID, waarbij Conditional Access-beleidsregels het risico evalueren op basis van meerdere signalen, waaronder gebruikers-, apparaat-, locatie- en workloadcontext.

Gebruik van least privilege access vereist rolgebaseerde toegangscontrole (RBAC) met minimale rechten, Just-In-Time (JIT) toegang voor administratieve operaties en beheerde identiteiten in plaats van het opslaan van inloggegevens.

Ga uit van een inbreuk stuurt netwerksegmentatie aan om laterale verplaatsing te beperken, versleuteling voor gegevens die stilstaan en onderweg zijn te implementeren, continue bewaking en detectie van bedreigingen uit te voeren, en onveranderbare back-ups in te stellen ter bescherming tegen destructieve aanvallen.

Zero Trust-architectuur in Azure

Een Zero Trust-benadering breidt zich uit over het hele digitale domein en fungeert als een geïntegreerde beveiligings filosofie en end-to-end strategie. Wanneer toegepast op Azure, vereist het een multidisciplinaire aanpak die infrastructuur, netwerken, identiteit en gegevensbescherming systematisch aanpakt.

In deze afbeelding ziet u een weergave van de primaire elementen die bijdragen aan Zero Trust.

Diagram van een Zero Trust-architectuur die identiteit, apparaten, data, apps, infrastructuur en netwerk toont die door beleid zijn geverifieerd.

In de afbeelding:

  • Het afdwingen van beveiligingsbeleid bevindt zich in het centrum van een Zero Trust-architectuur. Deze handhaving omvat multifactorauthenticatie met Conditional Access die rekening houdt met het risico van gebruikersaccounts, apparaatstatus en andere criteria en beleidsregels die je bepaalt.
  • Identiteiten, apparaten (ook wel eindpunten genoemd), gegevens, toepassingen, netwerken en andere infrastructuuronderdelen worden allemaal geconfigureerd met de juiste beveiliging. Beleidsregels die voor elk van deze onderdelen zijn geconfigureerd, worden gecoördineerd met uw algehele Zero Trust-strategie.
  • Met bedreigingsbeveiliging en intelligentie wordt de omgeving bewaakt, worden de huidige risico's aan het oppervlak gebracht en wordt geautomatiseerde actie ondernomen om aanvallen te verhelpen.

Van perimeter-gebaseerd naar Zero Trust

De traditionele benadering van toegangscontrole voor IT beperkt de toegang tot een bedrijfsnetwerkperimeter. Dit model beperkt alle middelen tot een netwerkverbinding in eigendom van het bedrijf en is te beperkend om te voldoen aan de behoeften van een dynamisch bedrijf.

Diagram dat de verschuiving toont van een traditioneel netwerkperimeterbeveiligingsmodel naar een Zero Trust-identiteitsgerichte aanpak.

In Azure-omgevingen is de overstap naar Zero Trust met name belangrijk omdat cloudresources buiten traditionele netwerkperimeters bestaan. Organisaties moeten een Zero Trust-benadering voor toegangsbeheer omarmen wanneer ze extern werken omarmen en cloudtechnologie gebruiken om hun bedrijfsmodel te transformeren.

Zero Trust-principes helpen bij het vaststellen en continu verbeteren van beveiligingsgaranties en het behoud van de flexibiliteit die nodig is in moderne cloudomgevingen. De meeste Zero Trust-trajecten beginnen met toegangsbeheer en richten zich op identiteit als voorkeurs- en primair beheer. Netwerkbeveiligingstechnologie blijft een belangrijk element, maar het is niet de dominante benadering in een volledige strategie voor toegangsbeheer.

Zie het toegangsbeheer van het Cloud Adoption Framework voor meer informatie over de Zero Trust-transformatie van toegangsbeheer in Azure.

Zero Trust implementeren voor Azure-infrastructuur

Voor het toepassen van Zero Trust op Azure is een methodische benadering vereist waarmee verschillende lagen van uw infrastructuur worden aangepakt, van basiselementen tot volledige workloads.

Onderdelen van Azure IaaS en infrastructuur

Zero Trust voor Azure IaaS heeft betrekking op de volledige infrastructuurstack: opslagservices met versleutelings- en toegangsbeheer, virtuele machines met vertrouwde start- en schijfversleuteling, spoke-netwerken met microsegmentatie, hubnetwerken met gecentraliseerde beveiligingsservices en PaaS-integratie via privé-eindpunten. Zie Zero Trust-principes toepassen op het overzicht van Azure IaaS voor gedetailleerde richtlijnen.

Azure-netwerken

Netwerkbeveiliging richt zich op vier belangrijke gebieden: versleuteling van al het netwerkverkeer, segmentatie met behulp van netwerkbeveiligingsgroepen en Azure Firewall, zichtbaarheid via verkeersbewaking en het beëindigen van verouderde OP VPN gebaseerde controles ten gunste van identiteitsgerichte benaderingen. Zie Zero Trust-principes toepassen op Azure-netwerken voor gedetailleerde richtlijnen.

Identiteit als het besturingsvlak

Identiteit is het primaire besturingsvlak voor Zero Trust in Azure. Voorwaardelijke toegang fungeert als de belangrijkste beleidsengine, het evalueren van toegangsaanvragen op basis van meerdere signalen om toegang te verlenen, te beperken of te blokkeren. Raadpleeg Voorwaardelijke toegang voor Zero Trust en Azure Identity Management-beveiligingsoverzicht voor meer informatie.

Gegevens beveiligen en beschikbaarheid garanderen

Voor gegevensbeveiliging in Azure zijn meerdere lagen vereist: versleuteling at rest en in transit, op identiteit gebaseerde toegangsbeheer met behulp van beheerde identiteiten en RBAC, en voor zeer gevoelige workloads, vertrouwelijke computing om gegevens tijdens de verwerking te beveiligen. Tolerantie voor destructieve aanvallen vereist resourcevergrendelingen, onveranderbare back-ups, geo-replicatie en het beveiligen van de herstelinfrastructuur zelf. Zie Uw Azure-resources beschermen tegen destructieve cyberaanvallen voor gedetailleerde richtlijnen.

Detectie en reactie van bedreigingen

Zero Trust vereist continue monitoring met de aanname dat er al dreigingen aanwezig kunnen zijn. Microsoft Defender voor Cloud biedt geïntegreerd beveiligingsbeheer en bedreigingsbeveiliging voor Azure-resources, terwijl integratie met Microsoft Defender XDR gecorreleerde detectie mogelijk maakt in uw hele omgeving. Zie het overzicht van azure-bedreigingsdetectie en Microsoft Sentinel en Microsoft Defender XDR voor gedetailleerde informatie.

Gedeelde verantwoordelijkheid en Azure-beveiliging

Beveiliging in Azure is een gedeelde verantwoordelijkheid tussen Microsoft en jou. Microsoft beveiligt de fysieke infrastructuur en het Azure-platform, terwijl jij verantwoordelijk bent voor identiteit, data en applicatiebeveiliging. De verdeling van verantwoordelijkheden varieert per servicemodel (IaaS, PaaS, SaaS). Voor het implementeren van Zero Trust moeten controles op platformniveau worden gecoördineerd met klantconfiguratieopties. Zie Gedeelde verantwoordelijkheid in de cloud voor meer informatie.

Azure-beveiligingsmogelijkheden

Hoewel dit artikel is gericht op de conceptuele toepassing van Zero Trust naar Azure, is het belangrijk om inzicht te hebben in de breedte van de beschikbare beveiligingsmogelijkheden. Azure biedt uitgebreide beveiligingsservices voor alle lagen van uw infrastructuur.

Zie Inleiding tot Azure-beveiliging voor een overzicht van de beveiligingsmogelijkheden van Azure, georganiseerd op functioneel gebied. Zie End-to-end beveiliging in Azure voor een overzicht van de beveiliging, detectie en reactiemogelijkheden van Azure.

Meer gedetailleerde richtlijnen zijn beschikbaar voor specifieke domeinen:

Toepassingsontwikkeling en Zero Trust

Toepassingen die zijn geïmplementeerd in Azure, moeten elke aanvraag verifiëren en autoriseren in plaats van te vertrouwen op impliciete vertrouwensrelatie vanaf de netwerklocatie. Belangrijke principes zijn onder andere het verifiëren van identiteit door gebruik te maken van Microsoft Entra ID, het aanvragen van minimale rechten, het beschermen van gevoelige gegevens en het gebruik van beheerde identiteiten in plaats van opgeslagen inloggegevens. Zie Ontwikkelen met zero Trust-principes en apps bouwen die gereed zijn voor Zero Trust met behulp van het Microsoft Identity Platform voor uitgebreide richtlijnen.

Volgende stappen

Als u Zero Trust in uw Azure-omgeving wilt implementeren, begint u met deze resources:

Voor bredere Microsoft Zero Trust-resources:

  • Last updated on