Wprowadzenie do testu porównawczego zabezpieczeń w chmurze firmy Microsoft

Uwaga / Notatka

Test porównawczy zabezpieczeń w chmurze firmy Microsoft jest następcą testu porównawczego zabezpieczeń platformy Azure (ASB), który został przemianowany w październiku 2022 roku.

Nowe usługi i funkcje są wydawane codziennie na platformach dostawców usług platformy Azure i w chmurze, deweloperzy szybko publikują nowe aplikacje w chmurze oparte na tych usługach, a osoby atakujące nieustannie szukają nowych sposobów wykorzystania nieprawidłowo skonfigurowanych zasobów. Chmura szybko się porusza, deweloperzy szybko się poruszają, a osoby atakujące również szybko się przemieszczają. Jak zachować bezpieczeństwo wdrożeń w chmurze i upewnić się, że wdrożenia w chmurze są bezpieczne? W jaki sposób rozwiązania w zakresie zabezpieczeń systemów w chmurze różnią się od systemów lokalnych i różnią się między dostawcami usług w chmurze? Jak monitorować obciążenie pod kątem spójności na wielu platformach w chmurze?

Firma Microsoft odkryła, że korzystanie z testów porównawczych zabezpieczeń może pomóc w szybkim zabezpieczaniu wdrożeń w chmurze. Kompleksowa struktura najlepszych rozwiązań w zakresie zabezpieczeń od dostawców usług w chmurze może dać punkt wyjścia do wybierania określonych ustawień konfiguracji zabezpieczeń w środowisku chmury w wielu dostawcach usług i umożliwia monitorowanie tych konfiguracji przy użyciu jednego okienka szkła.

Test porównawczy zabezpieczeń w chmurze firmy Microsoft (MCSB) zawiera zbiór zaleceń dotyczących zabezpieczeń o dużym wpływie, których można użyć do zabezpieczania usług w chmurze w jednym lub wielochmurowym środowisku. Zalecenia MCSB obejmują dwa kluczowe aspekty:

• Mechanizmy kontroli zabezpieczeń: te rekomendacje są ogólnie stosowane w obciążeniach w chmurze. Każde zalecenie identyfikuje listę uczestników projektu, które są zwykle zaangażowane w planowanie, zatwierdzanie lub wdrażanie testu porównawczego.
• Punkty odniesienia usługi: te mechanizmy kontroli dotyczą poszczególnych usług w chmurze w celu udostępnienia zaleceń dotyczących konfiguracji zabezpieczeń tej konkretnej usługi. Obecnie mamy dostępne tylko punkty odniesienia usługi dla platformy Azure.

Implementowanie testu porównawczego zabezpieczeń w chmurze firmy Microsoft

• Zaplanuj implementację MCSB, przeglądając dokumentację mechanizmów kontroli przedsiębiorstwa i punktów odniesienia specyficznych dla usług, aby zaplanować strukturę kontroli i sposób mapowania ich na wskazówki, takie jak Centrum kontroli zabezpieczeń Internetu (CIS), National Institute of Standards and Technology (NIST) oraz struktura Payment Card Industry Data Security Standard (PCI-DSS).
• Monitoruj zgodność ze stanem MCSB (i innymi zestawami kontroli) przy użyciu pulpitu nawigacyjnego zgodności z przepisami usługi Microsoft Defender for Cloud dla środowiska z wieloma chmurami. .
• Ustanów zabezpieczenia, aby zautomatyzować bezpieczne konfiguracje i wymusić zgodność z mcSB (i innymi wymaganiami w organizacji) przy użyciu funkcji, takich jak Azure Blueprints, Azure Policy lub równoważne technologie z innych platform w chmurze.

Typowe przypadki użycia

Test porównawczy zabezpieczeń w chmurze firmy Microsoft często może służyć do rozwiązywania typowych wyzwań dla klientów lub partnerów usług, którzy są:

• Nowość na platformie Azure (i inne główne platformy w chmurze, takie jak AWS) i szuka najlepszych rozwiązań w zakresie zabezpieczeń w celu zapewnienia bezpiecznego wdrożenia usług w chmurze i własnego obciążenia aplikacji.
• Chcesz poprawić stan zabezpieczeń istniejących wdrożeń w chmurze, aby określić priorytety najważniejszych czynników ryzyka i środków zaradczych.
• Korzystanie ze środowisk wielochmurowych (takich jak platforma Azure i AWS) oraz sprostanie wyzwaniom związanym z dopasowaniem monitorowania i oceny kontroli zabezpieczeń przy użyciu jednego okienka szkła.
• Ocenianie funkcji/możliwości zabezpieczeń platformy Azure (i innych głównych platform w chmurze, takich jak AWS), przed dołączaniem/zatwierdzaniem usług do katalogu usług w chmurze.
• Konieczność spełnienia wymagań dotyczących zgodności w wysoce regulowanych branżach, takich jak instytucje rządowe, finanse i opieka zdrowotna. Ci klienci muszą zapewnić konfiguracje usług platformy Azure i innych chmur w celu spełnienia specyfikacji zabezpieczeń zdefiniowanej w ramach takich jak CIS, NIST lub PCI. MCSB zapewnia efektywne podejście dzięki kontrolom już wstępnie przypisanym do tych branżowych wytycznych.

Terminologia

Terminy "kontrola" i "punkt odniesienia" są często używane w dokumentacji testu porównawczego zabezpieczeń w chmurze firmy Microsoft. Ważne jest, aby zrozumieć, w jaki sposób mcSB używa tych terminów.

Termin	Opis	Przykład
Kontrola	Kontrolka jest ogólnym opisem funkcji lub działania, które należy rozwiązać i nie są specyficzne dla technologii lub implementacji.	Ochrona danych jest jedną z rodzin kontroli zabezpieczeń. Ochrona danych zawiera konkretne akcje, które należy rozwiązać, aby zapewnić ochronę danych.
Punkt odniesienia	Punkt odniesienia to implementacja kontroli poszczególnych usług platformy Azure. Każda organizacja określa rekomendację testu porównawczego i odpowiednie konfiguracje są wymagane na platformie Azure. Uwaga: Obecnie mamy dostępne tylko punkty odniesienia usługi dla platformy Azure.	Firma Contoso chce włączyć funkcje zabezpieczeń usługi Azure SQL, postępując zgodnie z konfiguracją zalecaną w punkcie odniesienia zabezpieczeń usługi Azure SQL.

Z zadowoleniem przyjmujemy Twoją opinię na temat testu porównawczego zabezpieczeń w chmurze firmy Microsoft! Zachęcamy do przekazywania komentarzy w obszarze opinii poniżej. Jeśli wolisz udostępniać swoje dane wejściowe bardziej prywatnie zespołowi ds. zabezpieczeń w chmurze firmy Microsoft, wyślij nam wiadomość e-mail na adres benchmarkfeedback@microsoft.com.