Veilige toepassingen implementeren in Azure
In dit artikel vindt u beveiligingsactiviteiten en -besturingselementen waarmee u rekening moet houden wanneer u toepassingen voor de cloud implementeert. Beveiligingsvragen en -concepten om rekening mee te houden tijdens de release- en antwoordfasen van de Microsoft Security Development Lifecycle (SDL) worden behandeld. Het doel is om u te helpen bij het definiëren van activiteiten en Azure-services die u kunt gebruiken om een veiligere toepassing te implementeren.
In dit artikel worden de volgende SDL-fasen behandeld:
- Release
- Antwoord
Release
De focus van de releasefase ligt op het voorbereiden van een project voor openbare release. Dit omvat het plannen van manieren om onderhoudstaken na de release effectief uit te voeren en beveiligingsproblemen aan te pakken die zich later kunnen voordoen.
Controleer de prestaties van uw toepassing voordat u start
Controleer de prestaties van uw toepassing voordat u deze start of implementeer updates voor productie. Gebruik Azure Load Testing om belastingstests in de cloud uit te voeren om prestatieproblemen in uw toepassing op te sporen, de implementatiekwaliteit te verbeteren, ervoor te zorgen dat uw toepassing altijd is ingeschakeld of beschikbaar is en dat uw toepassing verkeer voor de start kan verwerken.
Een webtoepassingsfirewall installeren
Webtoepassingen zijn in toenemende mate het doel van aanvallen die gebruikmaken van veelvoorkomende bekende beveiligingsproblemen. Veelvoorkomende aanvallen zijn SQL-injectieaanvallen en cross-site scripting-aanvallen. Het voorkomen van deze aanvallen in toepassingscode kan lastig zijn. Hiervoor is mogelijk veel onderhoud, patching en bewaking vereist op veel lagen van de toepassingstopologie. Een gecentraliseerde WAF maakt het beveiligingsbeheer eenvoudiger. Een WAF-oplossing kan ook reageren op een beveiligingsrisico door een patch voor een bekend beveiligingsprobleem op een centrale locatie te plaatsen in plaats van elke afzonderlijke webtoepassing te beveiligen.
De Azure Application Gateway WAF biedt gecentraliseerde bescherming van uw webtoepassingen tegen veelvoorkomende aanvallen en beveiligingsproblemen. De WAF is gebaseerd op regels uit de OWASP-basisregelsets 3.0 of 2.2.9.
Een reactieplan voor incidenten maken
Het voorbereiden van een plan voor het reageren op incidenten is van cruciaal belang om u te helpen bij het aanpakken van nieuwe bedreigingen die na verloop van tijd kunnen ontstaan. Het voorbereiden van een incidentresponsplan omvat het identificeren van de juiste contactpersonen voor noodgevallen voor beveiliging en het opstellen van beveiligingsserviceplannen voor code die is overgenomen van andere groepen in de organisatie en voor gelicentieerde code van derden.
Een laatste beveiligingsbeoordeling uitvoeren
Door bewust alle uitgevoerde beveiligingsactiviteiten te controleren, zorgt u ervoor dat u gereed bent voor uw softwarerelease of -toepassing. De laatste beveiligingsbeoordeling (FSR) omvat meestal het onderzoeken van bedreigingsmodellen, uitvoer van hulpprogramma's en prestaties op basis van de kwaliteitspoorten en foutbalken die zijn gedefinieerd in de vereistenfase.
Release en archief certificeren
Het certificeren van software vóór een release helpt ervoor te zorgen dat aan de beveiligings- en privacyvereisten wordt voldaan. Het archiveren van alle relevante gegevens is essentieel voor het uitvoeren van onderhoudstaken na de release. Archivering helpt ook om de langetermijnkosten van duurzame software-engineering te verlagen.
Antwoord
De reactiefase na de release is erop gebaseerd dat het ontwikkelteam in staat is en beschikbaar is om op de juiste wijze te reageren op meldingen van opkomende softwarebedreigingen en beveiligingsproblemen.
Het plan voor het reageren op incidenten uitvoeren
Het implementeren van het incidentresponsplan dat in de releasefase is ingesteld, is essentieel om klanten te helpen beschermen tegen softwarebeveiliging of privacyproblemen die zich voordoen.
Prestaties van toepassingen controleren
Doorlopende bewaking van uw toepassing nadat deze is geïmplementeerd, helpt u mogelijk bij het detecteren van prestatieproblemen en beveiligingsproblemen.
Azure-services die helpen bij toepassingsbewaking zijn:
- Azure Application Insights
- Microsoft Defender for Cloud
Application Insights
Application Insights is een uitbreidbare APM-service (Application Performance Management) voor webontwikkelaars op meerdere platforms. Hiermee kunt u uw livewebtoepassing controleren. Application Insights detecteert automatisch afwijkingen in de prestaties. Het bevat krachtige analysehulpprogramma's om u te helpen problemen vast te stellen en te begrijpen wat gebruikers daadwerkelijk met uw app doen. Het is bedoeld om u te helpen de prestaties en bruikbaarheid continu te verbeteren.
Microsoft Defender for Cloud
Microsoft Defender for Cloud helpt u bedreigingen te voorkomen, te detecteren en erop te reageren, met meer inzicht in (en controle over) de beveiliging van uw Azure-resources, met inbegrip van webtoepassingen. Microsoft Defender for Cloud helpt bij het detecteren van bedreigingen die anders onopgemerkt zouden kunnen zijn. Het werkt met verschillende beveiligingsoplossingen.
De gratis laag van Defender for Cloud biedt alleen beperkte beveiliging voor uw Azure-resources. De Defender for Cloud Standard-laag breidt deze mogelijkheden uit naar on-premises resources en andere clouds. Defender for Cloud Standard helpt u bij het volgende:
- Beveiligingsproblemen zoeken en oplossen.
- Pas toegangs- en toepassingsbesturingselementen toe om schadelijke activiteiten te blokkeren.
- Bedreigingen detecteren met behulp van analyses en intelligentie.
- Reageer snel wanneer u wordt aangevallen.
Volgende stappen
In de volgende artikelen raden we beveiligingscontroles en -activiteiten aan die u kunnen helpen bij het ontwerpen en ontwikkelen van veilige toepassingen.