Proteger sua implantação de HSM na nuvem Azure

Azure HSM de nuvem fornece uma solução HSM (módulo de segurança de hardware) de alta garantia para proteger chaves criptográficas e proteger cargas de trabalho confidenciais na nuvem. Implementar as práticas recomendadas de segurança é essencial para impedir o acesso não autorizado, manter a integridade operacional e otimizar o desempenho.

Este artigo fornece recomendações de segurança para ajudar a proteger sua implantação de HSM na nuvem Azure.

As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes Confiança Zero abrangentes, consulte o Confiança Zero Guidance Center.

Segurança específica do serviço

Azure Cloud HSM é um serviço de locatário único validado FIPS 140-3 nível 3 que concede aos clientes autoridade administrativa total sobre suas HSMs. Proteger a raiz da confiança é fundamental para manter a segurança de sua implantação.

  • Restringir o acesso à chave privada do Proprietário da Partição: limite o acesso à chave privada do Proprietário da Partição da Partição de Aplicativo (POTA) (PO.key). O administrador das chaves privadas Partição de Aplicativo (AOTA) e POTA são equivalentes ao acesso raiz e podem redefinir as senhas para usuários de CO (oficial de criptografia) em uma partição (AOTA para partição 0, POTA para partições de usuário). PO.key é desnecessário para acesso ao HSM durante o tempo de execução. Ele é necessário apenas para a assinatura inicial do Certificado de Autenticação do Proprietário da Partição (POAC) e para redefinições de senha de CO. Armazene PO.key offline e realize a assinatura inicial do POAC em um computador offline, se possível. Os clientes são responsáveis por proteger sua chave privada POTA , perdendo-a resulta na incapacidade de recuperar senhas de CO. Armazene com segurança a chave privada POTA e mantenha backups adequados. Consulte User management in Azure Cloud HSM.

Conformidade e certificação

Azure HSM de Nuvem atende a vários padrões e certificações de conformidade do setor, incluindo FIPS 140-3 Nível 3, eIDAS e PCI/PCI 3DS. Para obter detalhes, consulte Conformidade e certificação.

Segurança de rede

Configurar corretamente sua rede pode ajudar a impedir o acesso não autorizado e reduzir a exposição a ameaças externas.

  • Usar pontos de extremidade privados: ajuda a proteger a sua implantação do HSM de nuvem do Azure usando sub-redes privadas e pontos de extremidade privados para evitar a exposição à internet pública. Essa abordagem garante que o tráfego permaneça dentro da rede de backbone Microsoft, o que reduz o risco de acesso não autorizado. Consulte Network security for Azure Cloud HSM.

Gerenciamento de identidade e acesso

Controles eficazes de gerenciamento e autenticação do usuário são cruciais para manter a segurança e a integridade do HSM de nuvem Azure. Implementar controles adequados para identidades de usuário, credenciais e permissões pode ajudar a impedir o acesso não autorizado e garantir a continuidade operacional.

  • Use senhas fortes: crie senhas exclusivas e fortes para usuários do HSM. Use pelo menos 12 caracteres, incluindo uma mistura de letras maiúsculas e minúsculas, números e caracteres especiais. Consulte User management in Azure Cloud HSM.

  • Secure suas credenciais de usuário do HSM: proteja cuidadosamente suas credenciais de usuário do HSM, pois Microsoft não podem recuperá-las se forem perdidas. Consulte User management in Azure Cloud HSM.

  • Implementar administradores secundários para prevenção de bloqueio: designe pelo menos dois administradores para impedir o bloqueio de HSM caso uma senha seja perdida. Consulte User management in Azure Cloud HSM.

  • Estabeleça várias CUs (usuários de criptografia) com permissões restritas: crie várias CUs com responsabilidades distintas para impedir que qualquer usuário tenha controle total. Consulte User management in Azure Cloud HSM.

  • Limite a capacidade das CUs de exportar chaves: restrinja as CUs de exportar material de chave definindo os atributos de usuário apropriados. Consulte User management in Azure Cloud HSM.

  • Limitar o controle do CO sobre as CUs: use o comando disableUserAccess para impedir que os usuários do CO gerenciem CUs específicas. Os usuários de CO podem ignorar esse comando com backups mais antigos. Consulte User management in Azure Cloud HSM.

  • Configurar identidades gerenciadas: estabelecer identidades gerenciadas atribuídas pelo usuário para operações de backup e restauração e para VMs que executam ações administrativas. Consulte User management in Azure Cloud HSM.

  • Armazene com segurança as credenciais de HSM: proteja as credenciais armazenadas e evite expô-las quando elas não estiverem em uso. Configure seu ambiente para recuperar e definir credenciais automaticamente. Consulte Authentication no Azure Cloud HSM.

  • Use login implícito para autenticação JCE: sempre que possível, use login implícito para autenticação JCE (Extensão de Criptografia Java) para permitir o gerenciamento automático de credenciais e a reautenticação. Consulte Authentication no Azure Cloud HSM.

  • Evite compartilhar sessões entre threads: para aplicativos multithreaded, atribua a cada thread sua própria sessão para evitar conflitos e problemas de segurança. Consulte Authentication no Azure Cloud HSM.

  • Implementar novas tentativas no lado do cliente: adicione lógica de repetição para operações do HSM para lidar com possíveis eventos de manutenção ou substituições do HSM. Consulte Authentication no Azure Cloud HSM.

  • Gerencie as sessões de cliente do HSM com cuidado: lembre-se de que azurecloudhsm_client compartilha sessões entre aplicativos no mesmo host. O gerenciamento de sessão adequado evita conflitos. Consulte Authentication no Azure Cloud HSM.

Proteção de dados

O tratamento adequado de limites de armazenamento de chaves, segurança de encapsulamento de chaves, atributos de chave e estratégias de cache podem melhorar a proteção e o desempenho.

  • Implement key rotation: Regularmente roteie as chaves para substituir as mais antigas e liberar espaço de armazenamento, mantendo a segurança. Consulte Gerenciamento de chaves no Azure Cloud HSM.

  • Use uma hierarquia de chaves: armazene menos chaves no HSM usando chaves mestras para criptografar outras chaves. Consulte Gerenciamento de chaves no Azure Cloud HSM.

  • Compartilhar e reutilizar chaves quando viável: reduza os requisitos de storage compartilhando ou reutilizando chaves em várias sessões, quando apropriado. Consulte Gerenciamento de Chaves no Azure Cloud HSM.

  • Excluir chaves não utilizados com segurança: remova as chaves que você não precisa mais, para evitar o consumo desnecessário de armazenamento. Consulte Gerenciamento de chaves no Azure Cloud HSM.

  • Defina as chaves como não rastreáveis quando possível: use EXTRACTABLE=0 para garantir que as chaves não possam ser exportadas fora do HSM. Consulte Gerenciamento de chaves no Azure Cloud HSM.

  • Habilitar encapsulamento de chave confiável: use WRAP_WITH_TRUSTED=1 para restringir o encapsulamento de chaves a chaves confiáveis. Essa ação impede exportações de chaves não autorizadas. Consulte Gerenciamento de Chaves no Azure Cloud HSM.

  • Use atributos de chave para restringir permissões: atribua somente os atributos necessários ao gerar chaves para limitar operações não intencionais. Consulte Gerenciamento de chaves no Azure Cloud HSM.

  • Objetos de chave de cache para desempenho: use comandos de localização de chave apenas uma vez durante a inicialização do aplicativo e armazene o objeto de chave retornado na memória do aplicativo para reduzir a latência. Consulte Gerenciamento de chaves no Azure Cloud HSM.

Registro e monitoramento

  • Configurar o log de eventos de operação: o log de eventos de operação é vital para a segurança do HSM. Ele fornece um registro imutável de acesso e operações para responsabilidade, rastreabilidade e conformidade regulatória. Ele ajuda a detectar o acesso não autorizado, investigar incidentes e identificar anomalias, para ajudar a garantir a integridade e a confidencialidade das operações criptográficas. Para manter a segurança e a privacidade, os logs excluem dados confidenciais (como IDs de chave, nomes de chave e detalhes do usuário). Eles capturam operações de HSM, carimbos de data/hora e metadados, mas não podem determinar êxito ou falha porque a operação HSM ocorre dentro do canal TLS interno. Consulte Tutorial: Log de eventos de operação no Azure Cloud HSM.

  • Transmissão de logs para o Hub de Eventos em tempo real: para processar logs em tempo real e integrá-los a sistemas SIEM ou a pipelines personalizados de análise, configure o Hub de Eventos como um destino adicional nas definições de diagnóstico. Consulte Tutorial: Configurar o Hub de Eventos para Azure HSM de Nuvem.

Backup e recuperação

Azure HSM de Nuvem fornece alta disponibilidade por meio de HSMs clusterizados que sincronizam chaves e políticas durante a migração automática de cargas de trabalho durante falhas.

  • Implementar backup robusto e recuperação de desastre: o serviço dá suporte a operações abrangentes de backup e restauração que preservam todas as chaves, atributos e atribuições de função. Os backups são protegidos por chaves derivadas de HSM que Microsoft não podem acessar. Azure HSM de nuvem não dá suporte à restauração para HSMs já ativados. Para continuidade dos negócios, use identidades gerenciadas para autenticação, armazene backups em Armazenamento de Blobs do Azure privadas, implemente permissões mínimas de RBAC (controle de acesso baseado em função) e desabilite o acesso de chave compartilhada. Opções de recuperação adicionais incluem o uso de extractMaskedObject para extrair chaves como blobs criptografados, armazená-las com segurança e importá-las quando necessário com insertMaskedObject. Implantar em duas regiões para funcionalidade de failover. Consulte Fazer backup e restaurar recursos de HSM na Nuvem Azure.

  • Verificar a sincronização de usuários e chaves em todos os nós: O HSM no Azure Cloud opera como um cluster de três nós. Durante eventos de serviço, como processos internos de autorrecuperação ou atualizações, os usuários ou chaves podem não ser replicados para todos os nós. Se você tiver falhas intermitentes de autenticação ou operação, verifique se todos os usuários e chaves existem em cada nó. Consulte Sincronizar os usuários e chaves nos nós HSM do Azure Cloud.

Próximas Etapas 

Segurança física

Azure Cloud HSM é hospedado em datacenters seguros com mecanismos de detecção de adulteração. Para obter detalhes, consulte Segurança física.

Operações de serviço

Azure HSM de nuvem não tem janelas de manutenção agendadas, mas Microsoft notifica os clientes antes de qualquer impacto previsto. Para obter detalhes, consulte Operações de serviço.

  • Last updated on