Zabezpieczanie wdrożenia modułu HSM w chmurze Azure

Azure Cloud HSM zapewnia wysoką pewność sprzętowego modułu zabezpieczeń (HSM) do ochrony kluczy kryptograficznych i zabezpieczenia poufnych danych w chmurze. Implementowanie najlepszych rozwiązań w zakresie zabezpieczeń jest niezbędne, aby zapobiec nieautoryzowanemu access, utrzymywać integralność operacyjną i optymalizować wydajność.

Ten artykuł zawiera zalecenia dotyczące zabezpieczeń ułatwiające ochronę wdrożenia modułu HSM w chmurze Azure.

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące Zero Trust, zobacz centrum wskazówek Zero Trust.

Zabezpieczenia specyficzne dla usługi

Azure Cloud HSM to jednodostępna, zweryfikowana usługa FIPS 140-3 poziom 3, która przyznaje klientom pełny urząd administracyjny nad swoimi modułami HSM. Ochrona root zaufania ma kluczowe znaczenie dla utrzymania bezpieczeństwa wdrożenia.

  • Ogranicz dostęp do klucza prywatnego Właściciela partycji: Ogranicz dostęp do klucza prywatnego Właściciela partycji aplikacji (POTAPO.key). Administrator partycji aplikacji (AOTA) i prywatne klucze POTA są równoważne dostępowi root i mogą resetować hasła dla użytkowników będących oficerami kryptografii (CO) w partycji (AOTA dla partycji 0, POTA dla partycji użytkowników). PO.key nie jest konieczne dla dostępu do HSM podczas wykonywania. Jest to wymagane tylko w przypadku początkowego podpisywania certyfikatu uwierzytelniania właściciela partycji (POAC) i resetowania hasła CO. Przechowywanie PO.key w trybie offline i wykonywanie początkowego podpisywania POAC na maszynie w trybie offline, jeśli to możliwe. Klienci są odpowiedzialny za zabezpieczenie klucza prywatnego POTA — utrata powoduje brak możliwości odzyskania haseł CO. Bezpiecznie przechowuj klucz prywatny POTA i przechowuj odpowiednie kopie zapasowe. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

Zgodność i certyfikacja

Azure Cloud HSM spełnia wiele branżowych standardów zgodności i certyfikatów, w tym FIPS 140-3 Poziom 3, eIDAS i PCI/PCI 3DS. Aby uzyskać szczegółowe informacje, zobacz Zgodność i certyfikacja.

Bezpieczeństwo sieci

Prawidłowe skonfigurowanie sieci może pomóc zapobiec nieautoryzowanemu access i zmniejszyć narażenie na zagrożenia zewnętrzne.

  • Użyj prywatnych punktów końcowych: Pomóż zabezpieczyć wdrożenie modułu HSM w chmurze Azure przy użyciu podsieci prywatnych i prywatnych punktów końcowych, aby zapobiec narażeniu na publiczny Internet. Takie podejście zapewnia, że ruch pozostaje w sieci szkieletowej Microsoft, co zmniejsza ryzyko nieautoryzowanego dostępu. Zobacz Zabezpieczenia sieci dla Azure Cloud HSM.

Zarządzanie tożsamością i dostępem

Efektywne zarządzanie użytkownikami i mechanizmy kontroli uwierzytelniania mają kluczowe znaczenie dla utrzymania bezpieczeństwa i integralności modułu HSM Azure Cloud. Zaimplementowanie odpowiednich mechanizmów kontroli tożsamości użytkowników, poświadczeń i uprawnień może pomóc zapobiec nieautoryzowanemu access i zapewnić ciągłość działania.

  • Użyj silnych haseł: utwórz unikatowe, silne hasła dla użytkowników modułu HSM. Użyj co najmniej 12 znaków, w tym kombinacji wielkich i małych liter, cyfr i znaków specjalnych. Zobacz "zarządzanie użytkownika w Azure Cloud HSM".

  • Bezpiecz poświadczenia użytkownika modułu HSM: Starannie chroń poświadczenia użytkownika modułu HSM, ponieważ Microsoft nie może ich odzyskać, jeśli zostaną utracone. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Zaimplementuj administratorów pomocniczych na potrzeby zapobiegania blokadom: wyznaczyć co najmniej dwóch administratorów, aby zapobiec zablokowaniu modułu HSM w przypadku utraty jednego hasła. Zobacz Zarządzanie użytkownikami w Azure Cloud HSM.

  • Ustanów wielu użytkowników kryptografii (CU) z ograniczonymi uprawnieniami: Utwórz wiele jednostek CU z odrębnymi obowiązkami, aby uniemożliwić każdemu pojedynczemu użytkownikowi pełną kontrolę. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Ogranicz możliwość eksportowania kluczy przez jednostki CU: uniemożliw jednostkom CU eksportowanie materiału kluczowego, ustawiając odpowiednie atrybuty użytkownika. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Ogranicz kontrolę CO nad jednostkami CU: użyj polecenia disableUserAccess, aby uniemożliwić użytkownikom CO zarządzanie określonymi jednostkami CU. Użytkownicy systemu CO mogą pominąć to polecenie za pomocą starszych kopii zapasowych. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Konfigurowanie tożsamości zarządzanych: ustanów tożsamości zarządzane przypisane przez użytkownika na potrzeby operacji tworzenia kopii zapasowych i przywracania oraz maszyn wirtualnych wykonujących akcje administracyjne. Zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Bezpieczne przechowywanie poświadczeń modułu HSM: chroń przechowywane poświadczenia i unikaj uwidaczniania ich, gdy nie są używane. Skonfiguruj środowisko do automatycznego pobierania i ustawiania poświadczeń. Zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Użyj niejawnego logowania do uwierzytelniania JCE: Jeśli to możliwe, użyj niejawnego logowania do uwierzytelniania Java rozszerzenia kryptografii (JCE), aby umożliwić automatyczne zarządzanie poświadczeniami i ponowne uwierzytelnianie. Przeczytaj o Uwierzytelnianiu w Azure Cloud HSM.

  • Unikaj udostępniania sesji między wątkami: w przypadku aplikacji wielowątkowych przypisz każdy wątek własną sesję, aby zapobiec konfliktom i problemom z zabezpieczeniami. Zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Zaimplementuj ponawianie prób po stronie klienta: dodaj logikę ponawiania dla operacji HSM w celu obsługi potencjalnych zdarzeń konserwacji lub zamian modułu HSM. Zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Uważnie zarządzaj sesjami klienta modułu HSM: należy pamiętać, że azurecloudhsm_client udostępnia sesje między aplikacjami na tym samym hoście. Właściwe zarządzanie sesjami pozwala uniknąć konfliktów. Zobacz Uwierzytelnianie w Azure Cloud HSM.

Ochrona danych

Właściwa obsługa limitów przechowywania kluczy, owijania kluczy, atrybutów kluczy i strategii buforowania może poprawić ochronę i wydajność.

  • Implementacja rotacji kluczy: Regularnie wymieniaj klucze, aby zastąpić starsze i zwolnić przestrzeń magazynową przy zachowaniu zabezpieczeń. Zobacz Zarządzanie kluczami w Azure Cloud HSM.

  • Użyj hierarchii kluczy: przechowywanie mniejszej liczby kluczy w module HSM przy użyciu kluczy głównych do szyfrowania innych kluczy. Zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Udostępnianie i ponowne używanie kluczy, jeśli to możliwe: Zmniejsz wymagania dotyczące przechowywania przez udostępnianie lub ponowne używanie kluczy w wielu sesjach, jeśli to odpowiednie. Zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Bezpieczne usuwanie nieużywanych kluczy: usuń klucze, których już nie potrzebujesz, aby zapobiec niepotrzebnemu zużyciu pamięci. Zobacz Zarządzanie kluczami w Azure Cloud HSM.

  • Ustaw klucze jako niewyciągalne, jeśli to możliwe: użyj EXTRACTABLE=0 aby upewnić się, że klucze nie mogą być eksportowane poza sprzętowy moduł bezpieczeństwa (HSM). Zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Włącz zawijanie zaufanych kluczy: użyj polecenia WRAP_WITH_TRUSTED=1 , aby ograniczyć zawijanie kluczy do zaufanych kluczy. Ta akcja uniemożliwia nieautoryzowane eksporty kluczy. Zapoznaj się z zarządzaniem kluczami w Azure Cloud HSM.

  • Użyj atrybutów klucza, aby ograniczyć uprawnienia: przypisz tylko niezbędne atrybuty podczas generowania kluczy, aby ograniczyć niezamierzone operacje. Zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Obiekty kluczy pamięci podręcznej dla lepszej wydajności: użyj poleceń znajdowania kluczy tylko raz podczas uruchamiania aplikacji i zapisz zwrócony obiekt klucza w pamięci aplikacji, aby zmniejszyć opóźnienie. Zobacz zarządzanie kluczami w Azure Cloud HSM.

Rejestrowanie i monitorowanie

  • Konfigurowanie rejestrowania zdarzeń operacji: rejestrowanie zdarzeń operacji jest niezbędne w przypadku zabezpieczeń modułu HSM. Zapewnia niezmienny rekord dostępu i operacji w celu zapewnienia odpowiedzialności, możliwości śledzenia i zgodności z przepisami. Pomaga wykrywać nieautoryzowany dostęp, badać incydenty i identyfikować anomalie, zapewniając integralność i poufność operacji kryptograficznych. Aby zachować bezpieczeństwo i prywatność, dzienniki wykluczają poufne dane (takie jak identyfikatory kluczy, nazwy kluczy i szczegóły użytkownika). Przechwytują operacje modułu HSM, znaczniki czasu i metadane, ale nie mogą określić powodzenia lub niepowodzenia, ponieważ operacja HSM odbywa się w wewnętrznym kanale TLS. Zobacz Tutorial: rejestrowanie zdarzeń operacji w Azure Cloud HSM.

  • Przesyłanie strumieniowe dzienników do centrum zdarzeń na potrzeby przetwarzania w czasie rzeczywistym: w przypadku przetwarzania dzienników w czasie rzeczywistym i integracji z podrzędnymi systemami SIEM lub niestandardowymi potokami analitycznymi należy skonfigurować centrum zdarzeń jako dodatkowe miejsce docelowe dla ustawień diagnostycznych. Zobacz Tutorial: Konfigurowanie centrum zdarzeń dla modułu HSM w chmurze Azure.

Kopia zapasowa i przywracanie

Azure HSM w chmurze zapewnia wysoką dostępność dzięki klastrowanym modułom HSM, które synchronizują klucze i polityki, automatycznie migrując obciążenia w przypadku awarii.

  • Implementowanie niezawodnej kopii zapasowej i odzyskiwania po awarii: usługa obsługuje kompleksowe operacje tworzenia i przywracania kopii zapasowych, które zachowują wszystkie klucze, atrybuty i przypisania ról. Kopie zapasowe są zabezpieczone przez klucze pochodzące z HSM, do których Microsoft nie ma dostępu. Azure Cloud HSM nie obsługuje przywracania na już aktywowane moduły HSM. W celu zapewnienia ciągłości działania użyj tożsamości zarządzanych do uwierzytelniania, zapisz kopie zapasowe w prywatnych Azure Blob Storage, zaimplementuj minimalne uprawnienia kontroli dostępu opartej na rolach (RBAC) i wyłącz dostęp do klucza współużytkowanego. Dodatkowe opcje odzyskiwania obejmują użycie extractMaskedObject do wyodrębniania kluczy jako zaszyfrowanych obiektów blob, ich bezpieczne przechowywanie oraz importowanie ich w razie potrzeby za pomocą insertMaskedObject. Wdrażanie w dwóch regionach na potrzeby możliwości trybu failover. Zobacz Tworzenie kopii zapasowej i przywracanie zasobów Azure Cloud HSM.

  • Weryfikuj synchronizację użytkowników i kluczy we wszystkich węzłach: Azure Moduł HSM w chmurze działa jako klaster trzech węzłów. Podczas zdarzeń serwisowych, takich jak samonaprawianie lub aktualizacje, użytkownicy lub klucze mogą nie być replikowane na wszystkie węzły. Jeśli występują sporadyczne błędy uwierzytelniania lub operacji, sprawdź, czy wszyscy użytkownicy i klucze istnieją w każdym węźle. Zobacz Synchronizuj użytkowników i kluczy w węzłach Azure Cloud HSM.

Następne kroki

Bezpieczeństwo fizyczne

Azure Cloud HSM jest hostowany w bezpiecznych centrach danych z mechanizmami wykrywania prób naruszenia. Aby uzyskać szczegółowe informacje, zobacz Zabezpieczenia fizyczne.

Operacje serwisowe

Azure Cloud HSM nie ma zaplanowanych okien konserwacyjnych, ale Microsoft powiadamia klientów z wyprzedzeniem o wszelkim przewidywanym wpływie. Aby uzyskać szczegółowe informacje, zobacz Operacje usługi.

  • Last updated on