Omówienie filaru zabezpieczeń

  • Artykuł
  • Czas czytania: 8 min

Bezpieczeństwo informacji zawsze było złożonym tematem i szybko ewoluuje dzięki kreatywnym pomysłom i implementacjom osób atakujących i badaczom ds. zabezpieczeń. Pochodzenie luk w zabezpieczeniach zaczęło się od identyfikowania i wykorzystywania typowych błędów programowania oraz nieoczekiwanych przypadków brzegowych. Jednak w miarę upływu czasu powierzchnia ataków, którą osoba atakująca może eksplorować i wykorzystywać, wykracza daleko poza te typowe błędy i przypadki brzegowe. Osoby atakujące swobodnie wykorzystują luki w zabezpieczeniach konfiguracji systemu, praktyk operacyjnych i nawyków społecznych użytkowników systemów. W miarę zwiększania złożoności systemu, łączności i różnorodności użytkowników osoby atakujące mają więcej możliwości identyfikowania niechronionych przypadków brzegowych. Osoby atakujące mogą hackować systemy do robienia rzeczy, których nie zostały zaprojektowane do zrobienia.

Bezpieczeństwo to jeden z najważniejszych aspektów każdej architektury. Zapewnia ona następujące gwarancje dotyczące celowych ataków i nadużyć cennych danych i systemów:

  • Poufność
  • Integralność
  • Dostępność

Utrata tych gwarancji może negatywnie wpłynąć na operacje biznesowe i przychody oraz reputację organizacji. W przypadku filaru zabezpieczeń omówimy kluczowe zagadnienia i zasady dotyczące zabezpieczeń oraz sposób ich stosowania do platformy Azure.

Bezpieczeństwo złożonych systemów zależy od zrozumienia kontekstu biznesowego, kontekstu społecznego i kontekstu technicznego. Podczas projektowania systemu należy uwzględnić następujące obszary:

Zrzut ekranu przedstawiający obszary projektowania zabezpieczeń.

Zrozumienie rozwiązania IT podczas interakcji z otaczającym środowiskiem ma kluczowe znaczenie dla zapobiegania nieautoryzowanemu działaniu oraz identyfikowania nietypowego zachowania, które może stanowić zagrożenie bezpieczeństwa.

Innym kluczowym czynnikiem sukcesu: przyjęcie myślenia o założeniu niepowodzenia mechanizmów kontroli zabezpieczeń. Przy założeniu, że awaria pozwala zaprojektować mechanizmy kontroli wyrównywujących, które ograniczają ryzyko i uszkodzenia, jeśli kontrola podstawowa zakończy się niepowodzeniem.

Przy założeniu, że błędy mogą być określane jako naruszenie lubzakładać naruszenie. Załóżmy, że naruszenie jest ściśle związane z podejściem Zero Trust ciągłego weryfikowania zabezpieczeń. Bardziej szczegółowo opisano podejście Zero Trust w sekcji Zasady projektowania zabezpieczeń.

Architektury chmury mogą pomóc uprościć złożone zadanie zabezpieczania majątku przedsiębiorstwa za pomocą specjalizacji i wspólnych obowiązków:

Specjalizacji: Wyspecjalizowane zespoły dostawców usług w chmurze mogą opracowywać zaawansowane możliwości obsługi i zabezpieczania systemów w imieniu organizacji. Takie podejście jest preferowane dla wielu organizacji indywidualnie opracowując głęboką wiedzę na temat zarządzania i zabezpieczania typowych elementów, takich jak:

  • Zabezpieczenia fizyczne centrum danych
  • Stosowanie poprawek oprogramowania układowego
  • Konfiguracja funkcji Hypervisor

Korzyści skali umożliwiają specjalistom dostawcy usług w chmurze inwestowanie w optymalizację zarządzania i bezpieczeństwa, które znacznie przekraczają zdolność większości organizacji.

Dostawcy usług w chmurze muszą być zgodni z tymi samymi wymaganiami prawnymi IT co agregacja wszystkich swoich klientów. Dostawcy muszą rozwijać wiedzę, aby bronić się przed zagregowanym zestawem przeciwników, którzy atakują swoich klientów. W związku z tym domyślny stan zabezpieczeń aplikacji wdrożonych w chmurze jest często znacznie lepszy niż w przypadku aplikacji hostowanych lokalnie.

Model wspólnej odpowiedzialności: W miarę przenoszenia środowisk obliczeniowych z centrów danych kontrolowanych przez klienta do chmury odpowiedzialność za zabezpieczenia również zmienia się. Bezpieczeństwo środowiska operacyjnego jest teraz wspólną sprawą dostawców rozwiązań w chmurze i klientów. Organizacje mogą ograniczyć skupienie się na działaniach, które nie są podstawowymi kompetencjami biznesowymi, przenosząc te obowiązki na usługę w chmurze, na przykład platformę Azure. W zależności od konkretnych wybranych technologii, niektóre zabezpieczenia są wbudowane w daną usługę, a zajęcie się innymi pozostaje odpowiedzialnością klienta. Aby zapewnić odpowiednie mechanizmy kontroli zabezpieczeń, organizacje muszą dokładnie ocenić opcje usług i technologii.

Diagram wspólnej odpowiedzialności i kluczowych strategii.

Wspólna odpowiedzialność i kluczowe strategie:

Po przeczytaniu tego dokumentu będziesz wyposażony w kluczowe informacje na temat sposobu poprawy stanu zabezpieczeń architektury.

W ramach projektu architektury należy wziąć pod uwagę wszystkie odpowiednie obszary, które wpływają na powodzenie aplikacji. Chociaż ten artykuł dotyczy przede wszystkim zasad zabezpieczeń, należy również określić priorytety innych wymagań dobrze zaprojektowanego systemu, na przykład:

  • Dostępność
  • Skalowalność
  • Koszty
  • Charakterystyka operacyjna (handel jednym na drugim w razie potrzeby)

Konsekwentnie poświęcanie bezpieczeństwa zysków w innych obszarach nie jest zalecane, ponieważ zagrożenia bezpieczeństwa mają tendencję do dynamicznego zwiększania się w czasie.

Zwiększenie ryzyka bezpieczeństwa powoduje trzy kluczowe strategie:

  • Ustanów nowoczesny obwód: W przypadku elementów sterujących przez organizację w celu zapewnienia spójnego zestawu kontrolek (obwodu) między tymi elementami zawartości i zagrożeniami dla nich. Obwody powinny być zaprojektowane na podstawie przechwytywania żądań uwierzytelniania dla zasobów (kontrole tożsamości) a przechwytywania ruchu sieciowego w sieciach przedsiębiorstwa. To tradycyjne podejście nie jest możliwe w przypadku zasobów przedsiębiorstwa spoza sieci.

Więcej informacji na temat obwodów i ich relacji z Zero Trust i segmentacji przedsiębiorstwa znajdują się w sekcjach Ład, Ryzyko i Zgodność oraz Zabezpieczeniasieci&.

  • Modernizacja zabezpieczeń infrastruktury: W przypadku systemów operacyjnych i elementów oprogramowania pośredniczącego, które wymagają starszych aplikacji, skorzystaj z technologii w chmurze, aby zmniejszyć ryzyko bezpieczeństwa organizacji. Na przykład wiedza o tym, czy wszystkie serwery w fizycznym centrum danych są aktualizowane przy użyciu poprawek zabezpieczeń, zawsze było trudne ze względu na możliwość odnajdywania. Centra danych zdefiniowane programowo umożliwiają łatwe i szybkie odnajdywanie wszystkich zasobów. Dzięki temu szybkie odnajdywanie umożliwia technologię, taką jak Microsoft Defender dla chmury, aby szybko i dokładnie mierzyć stan poprawek wszystkich serwerów i korygować je.

  • "Ufaj, ale weryfikuj" każdego dostawcy usług w chmurze: Dla elementów, które są pod kontrolą dostawcy usług w chmurze. Należy upewnić się, że rozwiązania w zakresie zabezpieczeń i zgodność z przepisami każdego dostawcy usług w chmurze (duże i małe) spełniają twoje wymagania.

Aby ocenić obciążenie przy użyciu założeń dobrze zaprojektowanej struktury platformy Microsoft Azure, zobacz Dobrze zaprojektowany przegląd platformy Microsoft Azure.

Diagram cyklu zabezpieczeń.

Omówimy następujące obszary w filarze zabezpieczeń platformy Microsoft Azure Well-Architected Framework:

Temat zabezpieczeń Opis
Zasady projektowania zabezpieczeń Te zasady opisują bezpiecznie zaprojektowany system hostowany w chmurze lub lokalnych centrach danych albo kombinację obu tych systemów.
Zarządzanie, ryzyko i zgodność Jak zabezpieczenia organizacji będą monitorowane, poddawane inspekcji i raportowane? Jakie rodzaje ryzyka napotyka organizacja podczas próby ochrony informacji możliwych do zidentyfikowania, własności intelektualnej (IP), informacji finansowych? Czy istnieją określone wymagania branżowe, rządowe lub regulacyjne, które określają lub udostępniają zalecenia dotyczące kryteriów, które muszą spełniać mechanizmy kontroli zabezpieczeń organizacji?
Zgodność Instytucje rządowe i inne organizacje często publikują standardy, aby ułatwić definiowanie dobrych praktyk zabezpieczeń (due diligence), dzięki czemu organizacje mogą uniknąć zaniedbania w zabezpieczeniach.
Administracja Administracja jest praktyką monitorowania, utrzymywania i obsługi systemów informatycznych w celu spełnienia poziomów usług, których wymaga firma. Administracja wprowadza niektóre z najwyższych zagrożeń bezpieczeństwa, ponieważ wykonywanie tych zadań wymaga uprzywilejowanego dostępu do szerokiego zestawu tych systemów i aplikacji.
Aplikacje i usługi Aplikacje i skojarzone z nimi dane ostatecznie działają jako podstawowy magazyn wartości biznesowej na platformie w chmurze.
Zarządzanie tożsamościami i dostępem Tożsamość stanowi podstawę dużej liczby gwarancji zabezpieczeń.
Ochrona i przechowywanie informacji Ochrona danych magazynowanych jest wymagana do zachowania poufności, integralności i zapewniania dostępności we wszystkich obciążeniach.
Zabezpieczenia i zawieranie sieci Zabezpieczenia sieci były tradycyjnym linchpinem wysiłków związanych z zabezpieczeniami przedsiębiorstwa. Jednak przetwarzanie w chmurze zwiększyło wymaganie, aby obwody sieci były bardziej porowe, a wielu atakujących opanowało sztukę ataków na elementy systemu tożsamości (które prawie zawsze pomijają mechanizmy kontroli sieci).
Operacje zabezpieczeń Operacje zabezpieczeń utrzymują i przywracają zabezpieczenia systemu w miarę ataku na żywo przeciwników. Zadania operacji zabezpieczeń są dobrze opisane przez funkcje NIST Cybersecurity Framework wykrywania, reagowania i odzyskiwania.

Zarządzanie tożsamościami

Rozważ użycie usługi Azure Active Directory (Azure AD) do uwierzytelniania i autoryzacji użytkowników. Usługa Azure AD to w pełni zarządzana usługa służąca do zarządzania tożsamościami i dostępem. Można jej użyć do tworzenia domen, które istnieją tylko na platformie Azure, lub do integracji z lokalnymi tożsamościami usługi Active Directory.

Azure AD jest również używany przez:

  • Microsoft 365
  • Dynamics 365
  • Wiele aplikacji innych firm

W przypadku aplikacji przeznaczonych dla konsumentów usługa Azure Active Directory B2C umożliwia użytkownikom uwierzytelnianie przy użyciu istniejących kont społecznościowych, takich jak:

  • Facebook
  • Google
  • LinkedIn

Użytkownicy mogą również utworzyć nowe konto użytkownika zarządzane przez Azure AD.

Jeśli chcesz zintegrować lokalne środowisko usługi Active Directory z siecią platformy Azure, w zależności od wymagań można zastosować różne podejścia. Aby uzyskać więcej informacji, zapoznaj się z tematem Identity Management reference architectures (Architektury referencyjne zarządzania tożsamościami).

Ochrona infrastruktury

Kontroluj dostęp do wdrażanych zasobów platformy Azure. Każda subskrypcja platformy Azure jest połączona relacją zaufania z dzierżawą usługi Azure AD.

Użyj kontroli dostępu opartej na rolach platformy Azure (rola RBAC platformy Azure), aby udzielić użytkownikom w organizacji odpowiednich uprawnień do zasobów platformy Azure. Aby udzielić dostępu, przypisz role platformy Azure użytkownikom lub grupom w określonym zakresie. Zakres może być:

  • Subskrypcja
  • Grupa zasobów
  • Pojedynczy zasób

Dokonuj inspekcji wszystkich zmian w infrastrukturze.

Zabezpieczenia aplikacji

Ogólnie rzecz biorąc, najlepsze rozwiązania z zakresu zabezpieczeń podczas tworzenia aplikacji nadal mają zastosowanie w chmurze. Najlepsze rozwiązania obejmują:

  • Szyfrowanie danych przesyłanych przy użyciu najnowszych obsługiwanych TLS wersji
  • Ochrona przed atakami CSRF i XSS
  • Zapobieganie atakom polegającym na wstrzyknięciu kodu SQL

Aplikacje w chmurze często używają usług zarządzanych, które mają klucze dostępu. Nigdy nie sprawdzaj tych kluczy w kontroli źródła. Rozważ przechowywanie wpisów tajnych aplikacji w usłudze Azure Key Vault.

Niezależność i szyfrowanie danych

Upewnij się, że dane pozostają w poprawnej strefie geopolitycznej podczas korzystania z usług danych platformy Azure. Magazyn platformy Azure z replikacją geograficzną korzysta z koncepcji regionu sparowanego w tym samym regionie geopolitycznym.

W celu zapewnienia ochrony kluczy kryptograficznych i wpisów tajnych użyj usługi Key Vault. Za pomocą usługi Key Vault można szyfrować klucze i wpisy tajne, korzystając z kluczy chronionych przez sprzętowe moduły zabezpieczeń (HSM, hardware security module). Wiele usług magazynu i bazy danych platformy Azure obsługuje szyfrowanie danych magazynowanych, w tym:

Zasoby dotyczące zabezpieczeń

Filar zabezpieczeń jest częścią kompleksowego zestawu wskazówek dotyczących zabezpieczeń, które obejmują również:

Następny krok

Zasady