Azure'da güvenli uygulamalar dağıtma

Bu makalede, bulut için uygulama dağıtırken göz önünde bulundurmanız gereken güvenlik etkinliklerini ve denetimlerini sunuyoruz. Microsoft Güvenlik Geliştirme Yaşam Döngüsü'ne (SDL) ilişkin yayınlama ve yanıt aşamalarında dikkate alınacak güvenlik soruları ve kavramları ele alınmıştır. Amaç, daha güvenli bir uygulama dağıtmak için kullanabileceğiniz etkinlikleri ve Azure hizmetlerini tanımlamanıza yardımcı olmaktır.

Bu makalede aşağıdaki SDL aşamaları ele alınmıştır:

  • Sürüm
  • Yanıt

Sürüm

Yayın aşamasının odak noktası, bir projeyi kamuya açık yayıma hazırlamaktır. Bu, yayın sonrası hizmet görevlerini etkili bir şekilde gerçekleştirmenin ve daha sonra oluşabilecek güvenlik açıklarını gidermenin yollarını planlamayı içerir.

Başlatmadan önce uygulamanızın performansını denetleyin

Uygulamanızı başlatmadan veya güncelleştirmeleri üretime dağıtmadan önce uygulamanızın performansını denetleyin. Azure Yük Testi'ni kullanarak uygulamanızdaki performans sorunlarını bulmak, dağıtım kalitesini geliştirmek, uygulamanızın her zaman çalışır durumda veya kullanılabilir olduğundan ve uygulamanızın lansmanınız için trafiği işleyebileceğinden emin olmak için bulut tabanlı yük testleri çalıştırın.

Bir web uygulaması güvenlik duvarı yükleyin

Web uygulamaları, SQL enjeksiyonu ve siteler arası betik çalıştırma gibi kötü amaçlı saldırıların sık sık hedefidir. Uygulama kodunda bu saldırıların önlenmesi karmaşık olabilir ve uygulamanın birden çok katmanında sıkı bakım, yamalama ve izleme gerektirir. Merkezi bir Web Uygulaması Güvenlik Duvarı (WAF), güvenlik açıklarını tek tek web uygulamalarının güvenliğini sağlamak yerine merkezi bir noktada ele alarak güvenlik yönetimini basitleştirir.

Azure Web Uygulaması Güvenlik Duvarı, Azure Application Gateway ve Azure Front Door için yaygın açıklara ve güvenlik açıklarına karşı merkezi koruma sağlar. WAF, web uygulamalarınız için sağlam güvenlik sağlamak üzere OWASP çekirdek kural setlerinin 3.0 veya 2.2.9 sürümlerini kullanır.

Olay yanıt planı oluşturma

Olay yanıtı planının hazırlanması, zaman içinde ortaya çıkabilecek yeni tehditleri gidermenize yardımcı olmak için çok önemlidir. Olay yanıtı planı hazırlamak, uygun güvenlik acil durum kişilerini belirlemeyi ve kuruluştaki diğer gruplardan devralınan kodlar ve lisanslı üçüncü taraf kodu için güvenlik bakım planları oluşturmayı içerir.

Son güvenlik gözden geçirmesini gerçekleştirin

Gerçekleştirilen tüm güvenlik etkinliklerini sistematik olarak gözden geçirmek, yazılım sürümünüz veya uygulamanız için hazır olma durumunu sağlamaya yardımcı olur. Son güvenlik incelemesi (FSR) genellikle tehdit modellerinin, araç çıktılarının ve performansın, gereksinimler aşamasında tanımlanan kalite geçitleri ve hata eşiklerine göre incelenmesini içerir.

Sürümü onayla ve arşivle

Bir sürümden önce yazılımı sertifikalandırmak, güvenlik ve gizlilik gereksinimlerinin karşılanmasına yardımcı olur. Tüm ilgili verilerin arşivlenmesi, sürüm sonrası bakım görevlerini gerçekleştirmek için gereklidir. Arşivleme, sürekli yazılım mühendisliğiyle ilişkili uzun vadeli maliyetlerin düşürülmesine de yardımcı olur.

Yanıt

Yayın sonrası aşama, geliştirme ekibinin yeni ortaya çıkan yazılım tehditleri ve güvenlik açıkları raporlarına uygun şekilde yanıt verebilmesine odaklanır.

Olay müdahale planını yürütün

Yayın aşamasında uygulamaya konan olay yanıt planını uygulayabilmek, müşterilerin ortaya çıkan yazılım güvenliği veya gizlilik açıklarından korunmasına yardımcı olmak için gereklidir.

Uygulama performansını izleyin

Dağıtıldıktan sonra uygulamanızın sürekli izlenmesi, performans sorunlarının yanı sıra güvenlik açıklarını algılamanıza yardımcı olabilir.

Uygulama izleme konusunda yardımcı olan Azure hizmetleri şunlardır:

  • Azure Uygulama Analizleri
  • Microsoft Defender for Cloud

Application Insights

Application Insights , birden çok platformdaki web geliştiricileri için genişletilebilir bir Uygulama Performansı Yönetimi (APM) hizmetidir. Canlı web uygulamanızı izlemek için kullanın. Application Insights, performans anomalilerini otomatik olarak algılar. Sorunları tanılamanıza ve kullanıcıların uygulamanızla gerçekte ne yaptığını anlamanıza yardımcı olacak güçlü analiz araçları içerir. Performansı ve kullanılabilirliği sürekli geliştirmenize yardımcı olmak için tasarlanmıştır.

Microsoft Defender for Cloud

Bulut için Microsoft Defender , web uygulamaları da dahil olmak üzere Azure kaynaklarınızın güvenliğine yönelik daha fazla görünürlük (ve denetim) ile tehditleri önlemenize, algılamanıza ve yanıtlamanıza yardımcı olur. Bulut için Microsoft Defender, aksi takdirde fark edilmeyebilecek tehditleri algılamaya yardımcı olur. Çeşitli güvenlik çözümleriyle çalışır.

Bulut için Defender'ın Ücretsiz katmanı yalnızca Azure kaynaklarınız için sınırlı güvenlik sunar. Defender for Cloud Standard tier bu özellikleri şirket içi kaynaklara ve diğer bulutlara genişletir. Bulut için Defender Standard size yardımcı olur:

  • Güvenlik açıklarını bulun ve düzeltin.
  • Kötü amaçlı etkinlikleri engellemek için erişim ve uygulama denetimleri uygulayın.
  • Analiz ve istihbarat kullanarak tehditleri algılayın.
  • Saldırı altındayken hızla yanıt verin.

Sonraki Adımlar

Aşağıdaki makalelerde, güvenli uygulamalar tasarlamanıza ve geliştirmenize yardımcı olabilecek güvenlik denetimlerini ve etkinlikleri öneririz.

  • Son güncelleştirme: