PCI DSS 4.0.1 için AKS tarafından düzenlenen küme için kötü amaçlı yazılım koruması

Bu makalede, Ödeme Kartı Endüstri Veri Güvenliği Standardına (PCI DSS 4.0.1) uygun olarak yapılandırılmış bir Azure Kubernetes Service (AKS) kümesi için kötü amaçlı yazılımdan koruma konuları açıklanmaktadır.

Bu makale bir serinin parçasıdır. girişini okuyun.

Tüm bulut çözümlerinde olduğu gibi PCI iş yükü de ağ, kimlik ve veri tehditlerine tabidir. PCI DSS 4.0.1, özellikle bulut ve kapsayıcı ortamlarında kötü amaçlı yazılımdan koruma ve güvenlik açığı yönetimi gereksinimlerini genişletir. Tehditleri erken algılayın ve risk azaltma ile zamanında yanıt verin. İş yükü etkinlikleri için kritik uyarılar oluşturun ve bu uyarıları temel sistem işlemlerine genişletin. Virüsten koruma, kötü amaçlı yazılımdan koruma ve dosya bütünlüğü izleme (FIM) araçları her zaman çalışıyor olmalıdır . Sorumlu bir yanıt planı ve uyarıları araştıran ve eylemde bulunan bir ekibiniz olmalıdır.

Önemli

Kılavuz ve buna eşlik eden uygulama, merkez-uç ağ topolojisini temel alan AKS temel mimarisini temel alır. Merkez sanal ağı çıkış trafiğini denetlemek için güvenlik duvarını, şirket içi ağlardan gelen ağ geçidi trafiğini ve bakım için üçüncü bir ağı içerir. Konuşlanmış sanal ağ, kart sahibi ortamı (CDE) sağlayan ve PCI DSS iş yükünü barındıran AKS kümesini içerir.

GitHub logosu Başvuru Uygulaması Çok Yakında: Düzenlenmiş iş yükleri için Azure Kubernetes Service (AKS) temel kümesi PCI DSS 4.0.1 için başvuru uygulaması şu anda güncelleştirilmekte ve yakında kullanıma sunulacaktır. Bu uygulama, mimarinin ve geliştirme yaşam döngüsünün çeşitli aşamalarında güvenlik araçlarının kurulumunu gösteren düzenlenmiş bir altyapıyı gösterir ve bulut için Microsoft Defender gibi kendi küme içi güvenlik aracılarını ve Azure tarafından sağlanan güvenlik araçlarının örneklerini içerir. Ayrıca ortam ile örnek iş yükü arasındaki etkileşimleri gösteren bir uygulama da içerir. Bu makalenin odak noktası altyapıdır. Örnek, gerçek bir PCI-DSS 4.0.1 iş yükünü göstermeyecektir.

güvenlik açığı yönetimi programı koruma

Gereksinim 5: Tüm sistemleri ve ağları kötü amaçlı yazılımlardan koruma

AKS özellik desteği

AKS, geleneksel bir uygulama konağı gibi davranmaz. AKS kümesindeki düğüm VM'leri sınırlı pozlamaya sahiptir ve doğrudan erişilmeyecek şekilde tasarlanmıştır. Düğüm VM'leri geleneksel VM'lerle aynı olmadığından ortak VM araçlarını kullanamazsınız, bu nedenle bu bölümdeki öneriler yerel Kubernetes yapıları aracılığıyla uygulanır. Bu gereksinimleri doğrudan VM düzeyinde uygulamak kümenizin destekten düşmesine neden olabilir.

DaemonSets'te istediğiniz kötü amaçlı yazılımdan koruma yazılımını her düğümdeki bir podda çalışacak şekilde dağıtmanız gerekir. PCI DSS 4.0.1, kapsayıcılı iş yükleri de dahil olmak üzere otomatik güncelleştirmeler ve gerçek zamanlı korumalar yapabilen kötü amaçlı yazılımdan koruma çözümleri gerektirir.

Sorumluluklarınız

Yazılımın Kubernetes ve kapsayıcılarda özel olduğundan emin olun. Birkaç üçüncü taraf yazılım seçeneği vardır. Popüler seçenekler arasında Prisma Cloud, Aquasec ve Falco gibi açık kaynak seçenekleri bulunur. Üçüncü taraf yazılımların güncel olduğundan ve izleme ve uyarının yerinde olduğundan emin olmak sizin sorumluluğunuzdadır. Kapsayıcılı ortamlar için tasarlanmış konak tabanlı kötü amaçlı yazılım korumalarından ve çalışma zamanı güvenlik araçlarından yararlanın. Görüntü tarama araçlarını kullanarak dağıtımdan önce kapsayıcı görüntülerini güvenlik açıkları ve kötü amaçlı yazılımlara karşı sürekli izleyin.

Gereksinim Sorumluluk
Gereksinim 5.1 Kapsayıcılı iş yükleri de dahil olmak üzere kötü amaçlı yazılımlardan yaygın olarak etkilenen tüm sistemlere kötü amaçlı yazılımdan koruma yazılımı dağıtın.
Gereksinim 5.2 Tüm kötü amaçlı yazılımdan koruma mekanizmalarının beklendiği gibi korunduğunu, güncelleştirildiğinden ve çalıştığından emin olun.
Gereksinim 5.3 Kötü amaçlı yazılımdan koruma mekanizmalarının etkin bir şekilde çalıştığından ve özellikle yönetim tarafından yetkilendirilmediği sürece kullanıcılar tarafından devre dışı bırakılamadığı veya değiştirilemediklerinden emin olun.
Gereksinim 5.4 Sistemleri kötü amaçlı yazılımlara karşı korumaya yönelik güvenlik ilkelerinin ve operasyonel yordamların belgelenmiş, kullanımda ve etkilenen tüm taraflar tarafından bilindiğinden emin olun.

Gereksinim 5.1

Kötü amaçlı yazılımlardan, özellikle kişisel bilgisayarlardan ve sunuculardan etkilenen tüm sistemlere virüsten koruma yazılımı dağıtın.

Sorumluluklarınız

Uygun bir kötü amaçlı yazılımdan koruma yazılımı seçerek iş yükünü, altyapıyı ve dağıtım işlem hatlarını korumak sizin sorumluluğunuzdadır.

AKS düğümü VM'lerine erişim kısıtlandığından, kötü amaçlı yazılımların düğüm VM'lerine eklenebileceği her katmanda sistemi koruyun. Küme düğümlerinde, kapsayıcı görüntülerinde ve Kubernetes API sunucusuyla çalışma zamanındaki etkileşimlerde algılama ve önleme sistemlerini içerir. Kümeye ek olarak, kümeyle etkileşim kuran bileşenleri koruyun ve atlama kutuları ve derleme aracıları gibi geleneksel bir şekilde virüsten koruma yazılımı yükleyebilirsiniz.

Tarama etkinliklerinizi Güvenlik Geliştirme Yaşam Döngüsü (SDL) ile uyumlu hale getirme. SDL'nin ardından, mimarinin çeşitli bileşenlerinin taranmasının geliştirmenin ilk aşamalarında başlamasını ve güvenlik boşluklarının mümkün olan en erken zamanda kapsanmasını sağlar.

Gereksinim 5.1.1

Virüsten koruma programlarının bilinen tüm kötü amaçlı yazılım türlerini algılama, kaldırma ve koruma özelliklerine sahip olduğundan emin olun.

Sorumluluklarınız

Her yazılım teklifinin özellik kümesi ve yapabilecekleri tarama derinliği hakkında bilgi edinin. Yazılım yaygın tehditleri engellemeli ve yeni tehditleri izlemelidir. Uygun bulunmadıysa yazılımın düzenli olarak güncelleştirildiğinden, testlendiğinden ve değiştirildiğinden emin olun. Saygın satıcılar tarafından geliştirilen yazılımları göz önünde bulundurun.

  • Küme güvenlik açıklarını algılayan izleme araçları.

    AKS'de, geleneksel aracı tabanlı VM çözümlerini doğrudan düğüm VM'lerinde çalıştıramazsınız. DaemonSets'te her düğümdeki bir podda çalışacak kötü amaçlı yazılımdan koruma yazılımı dağıtmanız gerekir.

    Kubernetes ve kapsayıcılı iş yükleri için özelleştirilmiş yazılımları seçin. Birkaç üçüncü taraf yazılım seçeneği vardır. Popüler seçenekler arasında Prisma Cloud ve Aquasec yer alır. Falco gibi açık kaynak seçenekleri de vardır. Dağıtıldığında, kümede tüm kullanıcı ve sistem düğümü havuzlarını taraan aracılar olarak çalışırlar. AKS, çalışma zamanı sistem ikili dosyaları için sistem düğümü havuzlarını kullansa da, temel işlem hala sizin sorumluluğunuzdadır.

    Aracıyı çalıştırmanın amacı, olağan dışı küme etkinliklerini algılamaktır. Örneğin, bir uygulama API sunucusunu çağırmaya mı çalışıyor? Bazı çözümler podlar arasında API çağrılarının günlüğünü oluşturur, raporlar oluşturur ve uyarılar oluşturur. Bu günlükleri gözden geçirdiğinizden ve gerekli eylemleri gerçekleştirdiğinizden emin olun.

    Küme ile AKS kaynak dağıtımı arasındaki izlenmeyen boşlukları en aza indirmek için küme önyüklemesinin hemen ardından güvenlik aracılarını yükleyin. Güvenlik ajanları, yüksek ayrıcalıklarla çalışır ve yalnızca iş yükünü değil, kümede çalışan her şeyi tarar. Veri sızdırma kaynağı olmamalıdır. Ayrıca kapsayıcılar için tedarik zinciri saldırıları yaygındır. Derinlemesine savunma stratejilerini kullanın ve yazılımın ve tüm bağımlılıkların güvenilir olduğundan emin olun.

    Ayrıca, küme işlemlerine katılan dış varlıklarda virüsten koruma yazılımı çalıştırın. Bazı örnekler arasında kümeyle etkileşim kuran atlama kutuları, derleme aracıları ve kapsayıcı görüntüleri yer alır. Araç tarama yaparken, dosyaları kilitlemek gibi dosya sistemi işlemlerini engellememeli veya kümenin kritik operasyonlarına müdahale etmemelidir. Yanlış yapılandırma kararlılık sorunlarına neden olabilir ve kümenizi destekten alabilir.

    Önemli

    Referans uygulaması, kötü amaçlı yazılımdan koruma aracısını çalıştırmak için bir yer tutucu DaemonSet dağıtımı sağlar. Aracı, kümedeki her düğüm VM'sinde çalışır. Bu dağıtıma kötü amaçlı yazılımdan koruma yazılımı seçiminizi yerleştirin.

  • Kapsayıcı güvenliğini koruma.

    Kapsayıcılar için Microsoft Defender'da CI/CD güvenlik açığı taraması gibi kapsayıcı görüntüleri aracılığıyla gelebilecek tehditleri algılamak için işlem hattında kapsayıcı tarama araçlarını çalıştırın. Üçüncü taraf seçenekleri arasında Trivy ve Clair yer alır. Görüntüler oluştururken, her zaman distronun gereksinim duymadığı görüntüler için uğraşın. Bu görüntüler yalnızca temel Linux görüntüsündeki temel ikili dosyaları içerir ve saldırılar için yüzey alanını azaltır. Depolarınızda bekleyen görüntüleri sürekli taramak için Kapsayıcılar için Microsoft Defender'da güvenlik açığı değerlendirmesi gibi sürekli bir tarama çözümü kullanın.

Gereksinim 5.1.2

Yaygın olarak hedef almayan veya kötü amaçlı yazılımlardan etkilenmeyen sistemler için, virüsten koruma yazılımı gerektirmeye devam edip etmediklerini doğrulamak üzere gelişen kötü amaçlı yazılım tehditlerini belirlemek ve değerlendirmek için düzenli değerlendirmeler yapın.

Sorumluluklarınız

Yaygın güvenlik açıkları küme dışındaki bileşenleri etkileyebilir. Azure platformundan CVE'leri ve diğer güvenlik uyarılarını izleyerek güvenlik açıklarını takip edin. Azure'da barındırılan hizmetlerde güvenlik açıklarını algılayıp virüsten koruma çözümleri çalıştırabilen yeni özellikler için Azure güncelleştirmelerini denetleyin.

Örneğin, blob depolamada şüpheli yüklemeleri algılamak için kötü amaçlı yazılım itibar kontrolü olmalıdır. Depolama için Microsoft Defender, kötü amaçlı yazılım itibar taraması içerir. Ayrıca, böyle bir hizmet için bir virüsten koruma çözümü gerekip gerekmediğini de göz önünde bulundurun.

Gereksinim 5.2

Tüm virüsten koruma mekanizmalarının aşağıdaki gibi korundığından emin olun:

  • Güncel tutulur.
  • Düzenli taramalar gerçekleştirin.
  • PCI DSS Gereksinimi 10.7'ye göre tutulan denetim günlükleri oluşturun.

Sorumluluklarınız

  • Virüsten koruma yazılımının en son sürümünü kullanarak kümenin yeni saldırılara karşı korunduğundan emin olun. Dikkate alınması gereken iki tür güncelleştirme vardır:
    • Virüsten koruma yazılımının en son özellik güncelleştirmelerini takip etmesi gerekir. Bunun bir yolu, platform güncelleştirmelerinizin bir parçası olarak güncelleştirmeleri zamanlamaktır.
    • Güvenlik bilgileri güncelleştirmeleri, en son tehditleri algılamak ve tanımlamak için kullanılabilir oldukları anda uygulanmalıdır. Otomatik güncelleştirmeleri tercih edin.
  • Güvenlik açığı taramalarının zamanlandığı gibi çalıştığını doğrulayın.
  • Tarama sonucunda oluşturulan ve sağlıklı ve sağlıksız bileşenleri gösteren günlükleri saklayın. Önerilen saklama süresi, bir yıl olan Gereksinim 10.7'de verilmiştir.
  • Algılanan sorunları önceliklendiren ve düzelten bir işlemi gerçekleştirmeniz gerekir.

Uç Nokta için Microsoft Defender virüsten koruma güncelleştirmelerinin nasıl uygulandığı hakkında bilgi için bkz. Microsoft Defender Virüsten Koruma güvenlik bilgileri ve ürün güncelleştirmeleri.

Gereksinim 5.3

Virüsten koruma özellikleri etkin bir şekilde çalışıyor olmalıdır ve kullanıcılar tarafından devre dışı bırakılamaz veya değiştirilemez. Yönetim tarafından her bir duruma özgü olarak sınırlı bir süre için yetkilendirildiği durumlar dışında.

Sorumluluklarınız

Güvenlik aracısını izlemek ve uyarmak sizin sorumluluğundadır. Yalnızca iş yükü için değil, aynı zamanda temel sistem işlemleri için de kritik uyarılar oluşturun. Aracı her zaman çalışıyor olmalıdır. Kötü amaçlı yazılımdan koruma yazılımı tarafından tetiklenen uyarılara yanıt verin.

  • Tarama etkinliklerinin günlük kaydını tutun. Tarama işleminin diskten veya bellekten kazınmış kart sahibi verilerini günlüğe kaydetmediğinden emin olun.
  • Beklenmeyen bir uyumsuzluğa neden olabilecek etkinlikler için uyarılar ayarlayın. Uyarılar yanlışlıkla kapatılmamalıdır.
  • Ajan dağıtımını ve diğer tüm kritik güvenlik araçlarını değiştirme yetkilerini kısıtlayın. Bu izinleri iş yükü dağıtım izinlerinden ayrı tutun.
  • Güvenlik aracıları beklendiği gibi çalışmıyorsa iş yüklerini dağıtmayın.

Gereksinim 5.4

Sistemleri kötü amaçlı yazılımlara karşı korumaya yönelik güvenlik ilkelerinin ve operasyonel yordamların belgelendiğini, kullanıldığını ve etkilenen tüm taraflara iletildiğini doğrulayın.

Sorumluluklarınız

Özellikle sistemi korumak için kullanılan virüsten koruma çözümü hakkındaki ayrıntılar olmak üzere süreç ve ilkeler hakkında ayrıntılı belgeler bulundurmanız kritik önem taşır. Ürün döngüsünde güvenlik bilgileri güncelleştirmelerinin nerede tutulacağı, taramaların sıklığı ve gerçek zamanlı tarama özellikleri hakkında bilgiler gibi bilgileri ekleyin.

Günlükleri depolamak için saklama politikalarına sahip olun. Uyumluluk amacıyla uzun süreli depolamaya sahip olmak isteyebilirsiniz.

Sorunları değerlendirmek ve düzeltmek için standart işletim yordamları hakkındaki belgeleri koruyun. Düzenlemeye tabi ortamları çalıştıran kişiler, güvenlik güvencelerini desteklemek için eğitilmeli, bilgilendirilmeli ve teşvik edilmelidir. Bu, ilke açısından onay sürecinin bir parçası olan kişiler için önemlidir.

Gereksinim 6: Güvenli sistemler ve uygulamalar geliştirme ve koruma

AKS özellik desteği

Diğer Azure hizmetleri gibi AKS de geliştirme sürecinin aşamaları boyunca güvenlik için Microsoft Güvenlik Geliştirme Yaşam Döngüsü (SDL) süreçlerini izler. Geliştirmenin ilk aşamalarından itibaren çeşitli bileşenler taranır ve güvenlik boşlukları mümkün olan en erken şekilde kapsanır.

AKS görüntüleri, görüntülerdeki güvenlik açıklarının 30 gün içinde düzeltilmesi gereken FedRAMP SLA yaklaşımını izler. Bu gereksinimi zorunlu kılmak için tüm görüntüler DevSecOps işlem hattı aracılığıyla temizlenir.

AKS, düğüm havuzları için haftalık olarak yeni görüntüler sağlar. Sanal Makine Ölçek Kümeleri çalışan düğümlerine düzeltme eki uygulamak ve güncellemeleri sağlamak sizin sorumluluğunuzdadır. Daha fazla bilgi için Azure Kubernetes Service (AKS) düğümü görüntüsünü yükseltme konusuna bakın.

AKS denetim düzlemi için AKS, güvenlik düzeltme eklerini yükler veya yükseltir. Her 24 saatte bir güncelleştirilir.

AKS denetim düzlemi ve çalışan düğümleri, özellikle AKS CIS, Ubuntu CIS ve Windows CIS gibi İnternet Güvenliği Merkezi (CIS) karşılaştırmaları kullanılarak güçlendirilir.

AKS, Azure Container Registry ile tümleşir. Çeşitli risk düzeylerinde güvenlik açığı olan görüntüleri ve uygulamaları belirlemek için Azure Container Registry'yi Bulut için Microsoft Defender sürekli tarama özellikleriyle kullanın. Görüntü taraması ve risk denetimi hakkında bilgi için Kapsayıcılar için Microsoft Defender sayfasına bakın.

PCI DSS 4.0.1 sistem, uygulama ve altyapıdaki güvenlik açıklarının düzenli olarak belirlenmesini ve azaltılmasını gerektirir. Buna düzenli güvenlik açığı taramaları, sızma testi ve güvenli kodlama uygulamaları dahildir. Dağıtımdan önce kapsayıcı görüntülerini taramak ve bulutta yerel güvenlik açığı yönetim araçlarıyla bulut ortamlarını değerlendirmek için otomatik araçları kullanın. Kod Olarak Altyapı (IaC) ve kapsayıcı düzenleme sistemlerinde yanlış yapılandırma tabanlı güvenlik açıklarını giderin.

Sorumluluklarınız

Gereksinim Sorumluluk
Gereksinim 6.1 Güvenlik açıklarını belirlemek için, güvenlik açığı bilgileri için saygın dış kaynakları kullanarak bir süreç oluşturun ve yeni bulunan güvenlik açıklarına bir risk derecelendirmesi (örneğin, "yüksek", "orta" veya "düşük") atayın.
Gereksinim 6.2 Satıcı tarafından sağlanan geçerli güvenlik düzeltme eklerini yükleyerek tüm sistem bileşenlerinin ve yazılımlarının bilinen güvenlik açıklarından korunduğundan emin olun. Kritik güvenlik düzeltme eklerini yayından sonra bir ay içinde yükleyin.
Gereksinim 6.3 Güvenli kodlama uygulamalarını ve kod incelemelerini kullanarak iç ve dış yazılım uygulamalarını (uygulamalara web tabanlı yönetim erişimi dahil) güvenli bir şekilde geliştirin.
Gereksinim 6.4 Sistem bileşenlerinde yapılan tüm değişiklikler için değişiklik denetimi işlemlerini ve yordamlarını izleyin.
Gereksinim 6.5 Yazılım geliştirme süreçlerindeki yaygın kodlama güvenlik açıklarını giderin.
Gereksinim 6.6 Genel kullanıma yönelik web uygulamaları için, yeni tehditleri ve güvenlik açıklarını sürekli olarak ele alın ve bu uygulamaların bilinen saldırılara karşı korunduğundan emin olun.
Gereksinim 6.7 Güvenli sistemlerin ve uygulamaların geliştirilmesine ve korunmasına yönelik güvenlik ilkelerinin ve operasyonel yordamların belgelenmiş, kullanımda ve etkilenen tüm taraflar tarafından bilindiğinden emin olun.

Gereksinim 6.1

Güvenlik açıklarını belirlemek için, güvenlik açığı bilgileri için saygın dış kaynakları kullanarak bir süreç oluşturun ve yeni bulunan güvenlik açıklarına bir risk derecelendirmesi (örneğin , yüksek, orta veya düşük) atayın.

Sorumluluklarınız

Algılanan güvenlik açıklarını denetleyebilen ve uygun dereceye sahip işlemlere sahip olun. Bulut için Microsoft Defender, kaynak türüne, önem derecesine ve ortamına göre öneriler ve uyarılar gösterir. Çoğu uyarı, MITRE ATT&CK® taktiklerine sahip olup, öldürme zinciri amacını anlamanıza yardımcı olabilir. Sorunu araştırmak ve azaltmak için bir düzeltme planınız olduğundan emin olun.

AKS'de Azure Container Registry'yi çeşitli risk düzeylerindeki savunmasız görüntüleri ve uygulamaları belirlemek için sürekli tarama ile birlikte kullanabilirsiniz. Sonuçları Bulut için Microsoft Defender görüntüleyebilirsiniz.

Daha fazla bilgi için bkz. Defender for Cloud'da kapsayıcı koruması.

Gereksinim 6.2

Satıcı tarafından sağlanan geçerli güvenlik düzeltme eklerini yükleyerek tüm sistem bileşenlerinin ve yazılımlarının bilinen güvenlik açıklarından korunduğundan emin olun. Kritik güvenlik düzeltme eklerini yayından sonra bir ay içinde yükleyin.

Sorumluluklarınız

  • Üçüncü taraf satıcıların tedarik zinciri saldırılarını önlemek için tüm bağımlılıklara güvenildiğinden emin olun. Saygın satıcıları seçmeniz önemlidir.

  • AKS, düğüm havuzları için haftalık olarak yeni görüntüler sağlar. Bu görüntüler otomatik olarak uygulanmaz. Mevcut oldukları anda uygulayın. Düğüm görüntüsü yükseltmesi aracılığıyla el ile veya otomatik olarak güncelleştirebilirsiniz. Daha fazla bilgi için bkz. Azure Kubernetes Service (AKS) düğüm görüntü yükseltmesi.

    AKS denetim düzlemi için AKS, güvenlik düzeltme eklerini yükler veya yükseltir.

  • AKS düğümleri her 24 saatte bir işletim sistemi ve güvenlik düzeltme eklerini tek tek otomatik olarak indirir ve yükler. Bu güncelleştirmeleri almak istiyorsanız güvenlik duvarınız bu trafiği engellememelidir.

    Uygulanan güncelleştirmeler hakkında bilgi almak için güvenlik aracısının raporlama özelliklerini etkinleştirmeyi göz önünde bulundurun. Bazı güvenlik güncelleştirmeleri yeniden başlatma gerektirir. Uyarıları gözden geçirmeyi ve bu yeniden başlatmalarla uygulama kapalı kalma süresinin en düşük veya sıfır olmasını sağlamak için işlem yapmaya dikkat edin. Yeniden başlatmaları denetimli bir şekilde gerçekleştirmek için açık kaynaklı bir seçenek Kured'dir (Kubernetes yeniden başlatma daemon'ı).

  • Düzeltme sürecini, sağladığınız küme dışındaki atlama kutuları ve yapı aracılar gibi kaynaklara genişletin.

  • Desteklenen AKS sürümleriyle güncel kalın. Tasarımınız ömrünün sonuna ulaşmış bir sürüm kullanıyorsa, geçerli bir sürüme yükseltin. Daha fazla bilgi için bkz . Desteklenen AKS sürümleri.

Gereksinim 6.3

İç ve dış yazılım uygulamalarını (uygulamalara web tabanlı yönetim erişimi dahil) aşağıdaki gibi güvenli bir şekilde geliştirin:

  • PCI DSS'ye uygun olarak (örneğin, güvenli kimlik doğrulaması ve kayıt tutma).
  • Endüstri standartlarına ve/veya en iyi yöntemlere göre.
  • Bir üçüncü taraf tarafından geliştirilen ısmarlama veya özel yazılım dahil olmak üzere dahili olarak geliştirilen tüm yazılımlar için geçerli olan yazılım geliştirme yaşam döngüsü boyunca bilgi güvenliğinin bir arada kullanılması.

Sorumluluklarınız

İş yükü yaşam döngüsü ve işlemlerinin bir parçası olarak güvenlik seçimlerini tümleştirin ve önceliklerini belirleyin.

NiST çerçevesi gibi çeşitli sektör çerçeveleri yaşam döngüsüyle eşlenir. NIST işlevleri (Tanımla, Koru, Algıla, Yanıtla ve Kurtar) her aşamada önleyici denetimler için stratejiler sağlar.

Microsoft SDL, geliştirme sürecinin aşamaları boyunca güvenlik için en iyi yöntemleri, araçları ve süreçleri sağlar. AKS de dahil olmak üzere tüm Azure hizmetleri için Microsoft SDL uygulamaları izlenir. Ayrıca, işletim bulut hizmetleri için operasyonel güvenlik güvencesi (OSA) çerçevesini de takip ediyoruz. Benzer bir işleme sahip olduğunuzdan emin olun. Bu uygulamalar, uygulamalarınızın güvenliğini sağlamaya yardımcı olmak için yayımlanır.

Daha fazla bilgi için aşağıdaki kaynaklara bakın:

Gereksinim 6.3.1

Uygulamalar etkin hale gelmeden veya müşterilere sunulmadan önce geliştirme, test ve/veya özel uygulama hesaplarını, kullanıcı kimliklerini ve parolaları kaldırın.

Sorumluluklarınız

Küme oluşturma işlemi kapsamında varsayılan olarak birden çok yerel Kubernetes kullanıcısı oluşturulur. Bu kullanıcılar benzersiz bir kimliği temsil etmediğinden denetlenemez. Bazıları yüksek ayrıcalıklara sahiptir. AKS'nin Yerel hesapları devre dışı bırak özelliğini kullanarak bu kullanıcıları devre dışı bırakın.

Diğer konular için resmi PCI DSS 4.0.1 standardındaki yönergelere bakın.

Gereksinim 6.3.2

Üretime veya müşterilere sunulmadan önce olası kodlama güvenlik açıklarını belirlemek için özel kodu (hem elle hem de otomatikleştirilmiş süreçler kullanılarak) gözden geçirin.

  • Kod değişiklikleri, kaynak kod yazarı dışındaki kişiler tarafından ve kod gözden geçirme teknikleri ve güvenli kodlama uygulamaları hakkında bilgi sahibi olan kişiler tarafından gözden geçirilir.
  • Kod incelemeleri, kodun güvenli kodlama yönergelerine göre geliştirildiğinden emin olur.
  • Uygun düzeltmeler yayından önce uygulanır.
  • Kod gözden geçirme sonuçları yayımlanmadan önce yönetim tarafından gözden geçirilir ve onaylanır.
Sorumluluklarınız

  • Kümede yüklü olan tüm yazılımlar kapsayıcı kayıt defterinizden alınır. Uygulama koduna benzer şekilde, işlemlerin ve kişilerin Azure'ı ve üçüncü taraf görüntüleri (Dockerfile ve OCI) incelemesini sağlayın.

  • Küme oluşturulduğunda kapsayıcı görüntülerini ilk aşamalardan taramaya başlayın. Tarama işlemini sürekli tümleştirme/sürekli dağıtım işlem hatlarınızın bir parçası yapın.

    Dağıtım işlem hatlarınızın hem küme önyükleme görüntülerinin hem de iş yükünüzün bir gözden geçirme ve/veya karantina geçidinden geçtiği şekilde geçitli olduğundan emin olun. Kümeye çekilmeden önce hangi işlemlerin ve bu işlemlerin nasıl kullanıldıklarına ilişkin geçmişi koruyun.

  • Görüntü boyutunu küçültün. Görüntüler genellikle ihtiyaç duyduklarından daha fazla ikili dosya içerir. Görüntü boyutunu küçültmenin yalnızca performans avantajları yoktur, aynı zamanda saldırı yüzeyini de sınırlar. Örneğin, dağıtımsız görüntülerin kullanılması temel Linux görüntülerinin saldırı yüzeyini en aza indirir.

  • Dockerfile ve bildirimlerin bütünlüğünü doğrulayan statik analiz araçlarını kullanın. Üçüncü taraf seçenekleri Arasında Dockle ve Trivy yer alır.

  • Yalnızca imzalı görüntüleri kullanın.

  • Azure tarafından sağlanan temel görüntüyü ve CIS karşılaştırmalarıyla nasıl uyumlu olduğunu anlayın (ve kabul edin). Daha fazla bilgi için bkz. Internet Güvenliği Merkezi (CIS) karşılaştırmaları.

Bulut için Microsoft Defender'da sürekli tarama özelliğine sahip Azure Container Registry, güvenlik açığı bulunan görüntüleri ve iş yükünde oluşturabileceği çeşitli riskleri belirlemeye yardımcı olur. Görüntü taraması ve risk denetimi hakkında daha fazla bilgi için bkz . Kapsayıcı güvenliği.

Gereksinim 6.4

Sistem bileşenlerinde yapılan tüm değişiklikler için değişiklik denetimi işlemlerini ve yordamlarını izleyin.

Sorumluluklarınız

Değişiklik denetimi işlemlerini belgelediğinizden ve dağıtım işlem hatlarını bu işlemlere göre tasarladığınızdan emin olun. İşlemlerin ve gerçek işlem hatlarının hizalanmadığı durumları algılamaya yönelik diğer işlemleri dahil edin.

Gereksinimler 6.4.1 & 6.4.2

  • Geliştirme/test ortamlarını üretim ortamlarından ayırın ve erişim denetimleriyle ayrımı zorunlu kılın.
  • Geliştirme/test ve üretim ortamları arasındaki görevlerin ayrılması.
Sorumluluklarınız

Bu ortamlarda çalışan ayrı üretim ve üretim öncesi ortamları ve rolleri koruyun.

  • Geliştirme/test amacıyla üretim kümenizi kullanmayın. Örneğin, üretim kümelerinizde Kubernetes'e Köprü yüklemeyin. Üretim dışı iş yükleri için ayrılmış kümeler kullanın.

  • Üretim ortamlarınızın üretim öncesi ortamlara ağ erişimine izin vermediğinden emin olun (veya tam tersi).

  • Üretim öncesi ve üretim ortamlarında sistem kimliklerini yeniden kullanmayın.

    Küme yöneticileri veya işlem hattı sorumluları gibi gruplar için Microsoft Entra gruplarını kullanın. Erişim denetimleri olarak genelleştirilmiş veya ortak grupları kullanmayın. Bu grupları üretim öncesi ve üretim kümeleri arasında yeniden kullanma. Bunun bir yolu, üyeliklerde açık olmak üzere grup adında küme adını (veya başka bir opak tanımlayıcıyı) kullanmaktır.

    Azure rol tabanlı erişim denetimi (RBAC) rollerini ortamlar arasında uygun şekilde kullanın. Genellikle üretim öncesi ortamlarda daha fazla rol ve hak atanır.

    Yalnızca üretim öncesi kimliklere (işlem hatlarına veya yazılım mühendisliği ekiplerine verilir) üretim ortamında erişim verilmemelidir. Buna karşılık, üretim öncesi kümelerde yalnızca üretim kimliklerine (işlem hatları gibi) erişim verilmemelidir.

    Üretim öncesi ve üretim ortamındaki herhangi bir kaynak için kullanıcı tarafından atanan yönetilen kimliği kullanmayın. Bu öneri yalnızca kümenizde dağıtılan kaynak için değil, kullanıcı tarafından atanan yönetilen kimlikleri destekleyen tüm kaynaklar için geçerlidir. Kural olarak, kimlik gerektiren Azure kaynaklarının diğer kaynaklarla paylaşmak yerine kendi benzersiz kimlikleri olmalıdır.

  • Mümkünse üretim öncesi kümeler de dahil olmak üzere yüksek ayrıcalıklı erişim için tam zamanında (JIT) erişimi kullanın. Hem üretim öncesi hem de üretim öncesi kümelerde koşullu erişim ilkelerini kullanın.

Gereksinim 6.4.3

Üretim verileri (canlı PAN'lar) test veya geliştirme için kullanılmaz.

Sorumluluklarınız

CHD verilerinin geliştirme/test ortamına akmadığından emin olun. Verileri üretimden geliştirme/test aşamasına taşıma yordamını sağlayan net belgelere sahip olun. Gerçek verilerin kaldırılması bu yordama dahil edilmeli ve sorumlu taraflar tarafından onaylanmalıdır.

Gereksinim 6.4.4

Sistem etkin hale gelmeden veya üretime geçmeden önce test verilerinin ve hesaplarının sistem bileşenlerinden kaldırılması.

Sorumluluklarınız

Üretime dağıtmadan önce sistemdeki varsayılan yapılandırma verilerini, örnek verileri ve iyi bilinen test verilerini kaldırın. Kart sahibi verilerini test amacıyla kullanmayın.

Gereksinim 6.4.5

Güvenlik düzeltme eklerinin ve yazılım değişikliklerinin uygulanmasına yönelik değişiklik denetimi yordamları şunları içermelidir:

  • 6.4.5.1: Etki belgeleri.
  • 6.4.5.2: Yetkili taraflarca belgelenen değişiklik onayı.
  • 6.4.5.3: Değişikliğin sistemin güvenliğini olumsuz etkilemediğini doğrulamak için işlevsellik testi.
  • 6.4.5.4: Geri alma prosedürleri.
Sorumluluklarınız

Bu kılavuz noktaları önceki gereksinimlerle eşleniyor:

  • Güvenlik düzeltme ekleri ve yazılım değişiklikleri sonucunda beklenen altyapı değişikliklerini belgele. Kod olarak altyapı (IaC) yaklaşımıyla bu işlem daha kolaydır. Örneğin, bir Bicep dosyası veya Azure Resource Manager şablonu (ARM şablonu) ile durum işlemini kullanarak dağıtımın değişikliklerini önizleyebilirsiniz. Daha fazla bilgi için altyapı değişiklikleriniz hakkında Bicep dağıtım what-if işlemi konusuna bakın.

  • Normal dağıtımlar için değişikliklerin onayını doğrulayan dağıtım işlem hatlarınıza geçitler uygulayın. Acil yerleştirmelerde geçitlerin atlanmış olabileceği durumların gerekçesini belgeleyin.

    Değişikliklerin düzeylerini ve derinliğini tanımlayın. Ekibin küçük değişikliklerden farklı olarak önemli değişikliklerin tanımı üzerinde anlaşmaya vardığından emin olun. Pratikse, bu değişikliklerin bazılarını bulmayı otomatikleştirin. İş yükü, altyapı ve işlem hattı için gözden geçirenlerin düzeyleri net bir şekilde anlayıp bu ölçütlere göre doğrulamaları gerekir.

  • Güvenlik özelliklerini test edin. Güvenlik (hem izin verme hem de reddetme) kaygılarını test etmek için yapay işlemlerin kullanıldığından emin olun. Ayrıca bu sentetik testlerin üretim öncesi ortamlarda çalıştığından emin olun.

  • Güvenlik düzeltmesinde beklenmeyen sonuçlar olması durumunda geri alma işlemi gerçekleştirin. Yaygın bir strateji, mavi-yeşil dağıtımları kullanarak dağıtım yaparken önceki durumu korumaktır. Veritabanları dahil iş yükleri için, belirli topolojiniz ve dağıtım birimlerinize uygun şekilde çalışan bir strateji geliştirin.

Gereksinim 6.5

Yazılım geliştirme süreçlerindeki yaygın kodlama güvenlik açıklarını şu şekilde giderin:

  • Yaygın kodlama güvenlik açıklarını önleme de dahil olmak üzere geliştiricileri en az yıllık olarak güncel güvenli kodlama teknikleriyle eğitin.
  • Güvenli kodlama yönergelerini temel alan uygulamalar geliştirin.

Sorumluluklarınız

Uygulama ekiplerinin ve operasyon ekiplerinin iş yükü ve altyapı tarama etkinliklerini destekleyecek şekilde eğitilmiş, bilgilendirilmiş ve teşvik edilmiş olması kritik önem taşır. Daha fazla bilgi için aşağıdaki kaynaklara bakın:

Gereksinim 6.6

Genel kullanıma yönelik web uygulamaları için, yeni tehditleri ve güvenlik açıklarını sürekli olarak ele alın. Bu uygulamaların aşağıdaki yöntemlerden biri tarafından bilinen saldırılara karşı korunduğundan emin olun:

  • El ile veya otomatik uygulama güvenlik açığı güvenlik değerlendirmesi araçlarını veya yöntemlerini kullanarak genel kullanıma yönelik web uygulamalarını gözden geçirin. Herhangi bir değişiklik yaptıktan sonra en az yıllık olarak bir güvenlik açığı değerlendirmesi gerçekleştirin.

    Uyarı

    Bu değerlendirme, Gereksinim 11.2 kapsamında gerçekleştirilen güvenlik açığı taramalarıyla aynı değildir.

  • Web tabanlı saldırıları algılayan ve engelleyen otomatik bir çözüm yükleyin. Örneğin, bir web uygulaması güvenlik duvarı. Genel kullanıma yönelik web uygulamalarının önüne dağıtın ve tüm trafiği etkin bir şekilde değerlendirin.

Sorumluluklarınız

Web uygulaması güvenlik duvarı (WAF) kullanarak genel İnternet'ten gelen trafiği algılamak için denetimler yapın. Bu mimaride, Azure Uygulama Ağ Geçidi tüm gelen trafiği tümleşik WAF kullanarak denetler. WAF, Open Web Application Security Project'ten (OWASP) Temel Kural Kümesi'ni (CRS) temel alır. Teknik denetimler yerinde değilse telafi denetimlerine sahip olun. Bunun bir yolu, el ile kod denetiminden geçmektir.

Kural kümesinin en son sürümlerini kullandığınızdan emin olun ve iş yükünüzle ilgili kuralları uygulayın. Kurallar Önleme modunda çalıştırılmalıdır. WAF'nin etkin olup olmadığını ve bu modda çalıştığını denetleen bir Azure İlkesi örneği ekleyerek bu gereksinimi uygulayabilirsiniz.

Algılanan tehditlerle ilgili ayrıntıları almak için Application Gateway WAF tarafından oluşturulan günlükleri tutun. Kuralları gerektiği gibi ayarlayın.

Uygulama koduna odaklanan sızma testi gerçekleştirin. Bu şekilde, uygulama ekibinin parçası olmayan uygulayıcılar bilgi toplayarak, güvenlik açıklarını analiz ederek ve raporlayarak güvenlik açıkları (SQL ekleme ve dizin geçişi gibi) bulur. Bu alıştırmada uygulayıcıların hassas verilere erişmesi gerekebilir. Amacın kötüye kullanılmadığından emin olmak için Sızma Testi Katılım Kuralları bölümünde verilen yönergeleri izleyin.

Gereksinim 6.7

Güvenli sistemlerin ve uygulamaların geliştirilmesine ve korunmasına yönelik güvenlik ilkelerinin ve operasyonel yordamların belgelenmiş, kullanımda ve etkilenen tüm taraflar tarafından bilindiğinden emin olun.

Sorumluluklarınız

İşlemler ve ilkeler hakkında kapsamlı belgeler bulundurmanız kritik önem taşır. Ekipleriniz, iş yükü yaşam döngüsü ve işlemlerinin bir parçası olarak güvenlik seçimlerine öncelik vermek için eğitilmelidir.

Microsoft SDL, geliştirme sürecinin aşamaları boyunca güvenlik için en iyi yöntemleri, araçları ve süreçleri sağlar. Microsoft'ta yazılım oluştururken Microsoft SDL uygulamaları kesinlikle izlenir. Ayrıca, işletim bulut hizmetleri için operasyonel güvenlik güvencesi (OSA) çerçevesini de takip ediyoruz. Bu uygulamalar, uygulamalarınızın güvenliğini sağlamaya yardımcı olmak için yayımlanır.

Daha fazla bilgi için aşağıdaki kaynaklara bakın:

Algılanan sorunlar için testin kapsamını, önceliklendirme işlemlerini ve düzeltme stratejisini açıklayan sızma testi için kapsamlı belgeler tutun. Bir olay meydana gelirse, Kök neden analizinin bir parçası olarak Gereksinim 6'nın değerlendirmesini ekleyin. Boşluklar algılanırsa (örneğin, bir OWASP kuralı ihlali algılanırsa), bu boşlukları kapatın.

Belgelerde, beklenen WAF koruma durumu hakkında net yönergelere sahip olun.

Düzenlemeye tabi ortamlar çalıştıran kişiler, güvenlik güvencelerini desteklemek için eğitilmeli, bilgilendirilmeli ve teşvik edilmelidir. İlke açısından onay sürecinin bir parçası olan kişiler için önemlidir.

Sonraki Adımlar

Ağ kaynaklarına ve kart sahibi verilerine tüm erişimleri takip edin ve izleyin. Güvenlik sistemlerini ve süreçlerini düzenli olarak test edin.

İzleme ve günlüğe kaydetme uygulaması

  • Son güncelleştirme: