Integriteit van Azure-infrastructuur

  • Artikel

Software-installatie

Alle onderdelen in de softwarestack die in de Azure-omgeving zijn geïnstalleerd, worden aangepast gebouwd volgens het Microsoft SDL-proces (Security Development Lifecycle). Alle softwareonderdelen, inclusief installatiekopieën van besturingssystemen en SQL Database, worden geïmplementeerd als onderdeel van het proces voor wijzigings- en releasebeheer. Het besturingssysteem dat op alle knooppunten wordt uitgevoerd, is een aangepaste versie. De exacte versie wordt gekozen door de infrastructuurcontroller (FC) op basis van de rol die het besturingssysteem wil spelen. Bovendien staat het host-besturingssysteem de installatie van niet-geautoriseerde softwareonderdelen niet toe.

Sommige Azure-onderdelen worden als Azure-klanten geïmplementeerd op een gast-VM die wordt uitgevoerd op een gastbesturingssystemen.

Virusscans op builds

Builds van Azure-softwareonderdelen (inclusief besturingssystemen) moeten een virusscan ondergaan die gebruikmaakt van het antivirusprogramma Endpoint Protection. Elke virusscan maakt een logboek in de bijbehorende buildmap, waarin wordt beschreven wat er is gescand en de resultaten van de scan. De virusscan maakt deel uit van de broncode van de build voor elk onderdeel in Azure. Code wordt niet verplaatst naar productie zonder een schone en geslaagde virusscan. Als er problemen worden opgemerkt, wordt de build geblokkeerd. De build gaat naar de beveiligingsteams binnen Microsoft Security om te bepalen waar de 'rogue'-code in de build is terechtgekomen.

Gesloten en vergrendelde omgeving

Standaard zijn er voor Azure-infrastructuurknooppunten en gast-VM's geen gebruikersaccounts gemaakt. Daarnaast zijn standaard Windows-beheerdersaccounts ook uitgeschakeld. Beheerders van de liveondersteuning van Azure kunnen zich met de juiste verificatie aanmelden bij deze machines en het Azure-productienetwerk beheren voor noodherstel.

Azure SQL Database-verificatie

Net als bij elke implementatie van SQL Server moet het beheer van gebruikersaccounts strikt worden gecontroleerd. Azure SQL Database ondersteunt alleen SQL Server verificatie. Als aanvulling op het gegevensbeveiligingsmodel van een klant moeten ook gebruikersaccounts met sterke wachtwoorden en geconfigureerd met specifieke rechten worden gebruikt.

ACL's en firewalls tussen het Microsoft-bedrijfsnetwerk en een Azure-cluster

Toegangsbeheerlijsten (ACL's) en firewalls tussen het serviceplatform en het bedrijfsnetwerk van Microsoft beschermen SQL Database exemplaren tegen onbevoegde toegang van insiders. Verder hebben alleen gebruikers van IP-adresbereiken van het Microsoft-bedrijfsnetwerk toegang tot het eindpunt voor Windows Fabric-platformbeheer.

ACL's en firewalls tussen knooppunten in een SQL Database-cluster

Als onderdeel van de strategie voor diepgaande verdediging zijn ACL's en een firewall geïmplementeerd tussen knooppunten in een SQL Database cluster. Alle communicatie binnen het Windows Fabric platformcluster en alle actieve code wordt vertrouwd.

Aangepaste bewakingsagents

SQL Database maakt gebruik van aangepaste bewakingsagents (CA's), ook wel watchdogs genoemd, om de status van het SQL Database cluster te bewaken.

Webprotocollen

Controle en opnieuw opstarten van rolinstanties

Azure zorgt ervoor dat alle geïmplementeerde, actieve rollen (internetgerichte web- of back-endverwerkingswerkrol) worden onderworpen aan voortdurende statuscontrole. Statusbewaking zorgt ervoor dat ze effectief en efficiënt de services leveren waarvoor ze zijn ingericht. Als een rol beschadigd raakt, door een kritieke fout in de toepassing die wordt gehost of een onderliggend configuratieprobleem in het rolexemplaren zelf, detecteert de FC het probleem binnen het rolexemplaren en initieert een corrigerende status.

Compute-connectiviteit

Azure zorgt ervoor dat de geïmplementeerde toepassing of service bereikbaar is via standaardwebprotocollen. Virtuele exemplaren van internetgerichte webrollen hebben een externe internetverbinding en zijn rechtstreeks bereikbaar voor webgebruikers. Ter bescherming van de gevoeligheid en integriteit van de bewerkingen die werkrollen uitvoeren namens de openbaar toegankelijke virtuele exemplaren van de webrol, hebben virtuele exemplaren van back-endverwerkingswerkrollen een externe internetverbinding, maar zijn ze niet rechtstreeks toegankelijk voor externe webgebruikers.

Volgende stappen

Zie voor meer informatie over wat Microsoft doet om de Azure-infrastructuur te beveiligen: