Application Gateway için Azure güvenlik temeli

Önemli

Bu güvenlik temeli, Microsoft Bulut Güvenliği Karşılaştırması'nın (v1.0) önceki bir sürümünü temel alır. Application Gateway için geçerli güvenlik yönergeleri için bkz. Azure Application Gateway'inizin güvenliğini sağlama.

Bu güvenlik temeli , Microsoft bulut güvenlik karşılaştırması sürüm 1.0'dan Application Gateway'e yönergeler uygular. Microsoft bulut güvenliği karşılaştırması, Azure'da bulut çözümlerinizin güvenliğini nasıl sağlayabileceğinize ilişkin öneriler sağlar. İçerik, Microsoft bulut güvenlik karşılaştırması tarafından tanımlanan güvenlik denetimlerine ve Application Gateway için geçerli olan ilgili kılavuza göre gruplandırılır.

Bulut için Microsoft Defender'ı kullanarak bu güvenlik temelini ve önerilerini izleyebilirsiniz. Azure İlkesi tanımları, Bulut için Microsoft Defender portalı sayfasının Mevzuat Uyumluluğu bölümünde listelenir.

Bir özellik ilgili Azure İlkesi Tanımlarına sahip olduğunda, Microsoft bulut güvenliği karşılaştırma denetimleri ve önerileriyle uyumluluğu ölçmenize yardımcı olmak için bu temelde listelenir. Bazı öneriler, belirli güvenlik senaryolarını etkinleştirmek için ücretli bir Microsoft Defender planı gerektirebilir.

Uyarı

Application Gateway için geçerli olmayan özellikler dışlandı. Application Gateway'in Microsoft bulut güvenlik karşılaştırmasına tamamen nasıl eşlediğini görmek için application gateway güvenlik temeli eşleme dosyasının tamamına bakın.

Güvenlik profili

Güvenlik profili, Application Gateway'in yüksek etkili davranışlarını özetler ve bu da güvenlikle ilgili dikkat edilmesi gereken noktaların artmasına neden olabilir.

Hizmet Davranışı Özniteliği	Değer
Ürün Kategorisi	Ağ Kurma
Müşteri HOST/ işletim sistemine erişebilir	Erişim Yok
Hizmet müşterinin sanal ağına dağıtılabilir	Doğru
Hareketsiz durumda müşteri içeriğini depolar	Doğru

Ağ güvenliği

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Ağ güvenliği.

NS-1: Ağ segmentasyonu sınırları oluşturma

Özellikler

Sanal Ağ Tümleştirmesi

Açıklama: Hizmet, müşterinin özel Sanal Ağına (VNet) dağıtımı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

Referans: Application Gateway altyapı yapılandırması

Ağ Güvenlik Grubu Desteği

Açıklama: Hizmet ağ trafiği, alt ağlarında Ağ Güvenlik Grupları kural atamasını dikkate alır. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Trafiği bağlantı noktası, protokol, kaynak IP adresi veya hedef IP adresine göre kısıtlamak veya izlemek için ağ güvenlik gruplarını (NSG) kullanın. Hizmetinizin açık bağlantı noktalarını kısıtlamak için NSG kuralları oluşturun (örneğin, yönetim bağlantı noktalarına güvenilmeyen ağlardan erişilmesini engelleme). NSG'lerin varsayılan olarak tüm gelen trafiği reddettiklerine ancak sanal ağ ve Azure Load Balancer'lardan gelen trafiğe izin verdiğine dikkat edin.

Referans: Ağ güvenlik grupları

Microsoft Defender Bulut İzleme

Azure İlkesi yerleşik tanımları - Microsoft.Network:

İsim (Azure portalı)	Description	Effect(s)	Sürüm (GitHub)
Alt ağlar bir Ağ Güvenlik Grubu ile ilişkilendirilmelidir	Ağ Güvenlik Grubu (NSG) ile erişimi kısıtlayarak alt ağınızı olası tehditlerden koruyun. NSG'ler, alt ağınıza yönelik ağ trafiğine izin veren veya reddeden Erişim Denetim Listesi (ACL) kurallarının listesini içerir.	DenetleEğerMevcutDeğilse, Devre Dışı	3.0.0

NS-2: Ağ denetimleriyle bulut hizmetlerinin güvenliğini sağlama

Özellikler

Azure Özel Bağlantı

Açıklama: Ağ trafiğini filtrelemek için hizmet yerel IP filtreleme özelliği (NSG veya Azure Güvenlik Duvarı ile karıştırılmamalıdır). Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Özel Bağlantı özelliğini destekleyen tüm Azure kaynakları için özel uç noktaları dağıtarak kaynaklar için özel bir erişim noktası oluşturun.

Başvuru: Azure Application Gateway Özel Bağlantısını Yapılandırma (önizleme)

Genel Ağ Erişimini Devre Dışı Bırak

Açıklama: Hizmet, hizmet düzeyi IP ACL filtreleme kuralı (NSG veya Azure Güvenlik Duvarı değil) veya 'Genel Ağ Erişimini Devre Dışı Bırak' iki durumlu anahtarı kullanarak genel ağ erişimini devre dışı bırakmayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Özellik notları: Application Gateway yönetimi için sınırlı genel bağlantı gereklidir.

Daha fazla bilgi için lütfen şu adresi ziyaret edin: Application Gateway altyapı yapılandırması

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Kimlik yönetimi

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Kimlik yönetimi.

IM-1: Merkezi kimlik ve kimlik doğrulama sistemini kullanma

Özellikler

Veri Düzlemi Erişimi için Azure AD Kimlik Doğrulaması Gerekiyor

Açıklama: Hizmet, veri düzlemi erişimi için Azure AD kimlik doğrulamasını kullanmayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

IM-3: Uygulama kimliklerini güvenli ve otomatik olarak yönetme

Özellikler

Yönetilen Kimlikler

Açıklama: Veri düzlemi eylemleri, yönetilen kimlikleri kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Özellik notları: Diğer hizmetlerden yönetilen kimlikler Application Gateway'de kimlik doğrulaması yapamasa da, Yönetilen kimlik Application Gateway tarafından Azure Key Vault'ta kimlik doğrulaması yapmak için kullanılabilir ve dağıtım zamanında belirtilmesi isteğe bağlıdır. Hizmet, Azure RBAC denetimlerini kabul eder.

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

IM-8: Kimlik bilgilerinin ve sırların açığa çıkmasını kısıtlama

Özellikler

Azure Key Vault'ta Hizmet Kimlik Bilgileri ve Gizli Bilgilerin Entegrasyonu ve Depolama Desteği

Açıklama: Veri düzlemi, kimlik bilgileri ve gizli dizi deposu için Azure Key Vault'un yerel kullanımını destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Özellik notları: Müşteri bir TLS sertifikasını karşıya yüklediğinde, otomatik olarak yönetilen bir Azure Key Vault Hizmeti içinde depolanır.

Application Gateway v1, Azure Key Vault tümleştirmeyi desteklemez. Kimlik bilgileri ve sertifikalar farklı bir gizli depolama alanında muhafaza edilir.

Yapılandırma Kılavuzu: Gizli dizilerin ve kimlik bilgilerinin kod veya yapılandırma dosyalarına eklemek yerine Azure Key Vault gibi güvenli konumlarda depolandığından emin olun.

Referans: Azure portalını kullanarak TLS sonlandırma ile Application Gateway yapılandırın

Ayrıcalıklı erişim

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Ayrıcalıklı erişim.

PA-8: Bulut sağlayıcısı desteği için erişim sürecini belirleme

Özellikler

Müşteri Kilidi Kutusu

Açıklama: Customer Lockbox, Microsoft destek erişimi için kullanılabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

Veri koruma

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Veri koruma.

DP-1: Hassas verileri bulma, sınıflandırma ve etiketleme

Özellikler

Hassas Veri Bulma ve Sınıflandırma

Açıklama: Hizmette veri bulma ve sınıflandırma için araçlar (Azure Purview veya Azure Information Protection gibi) kullanılabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Özellik notları: Kaynak yapılandırmasının (müşterinin TLS sunucu sertifikalarını içerir) dışında Application Gateway yalnızca geçici verileri depolar ve istekleri müşterilere arka uçta ara sunucu olarak sunar.

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-2: Hassas verileri hedefleyen anomalileri ve tehditleri izleme

Özellikler

Veri Sızıntısı/Kaybı Önleme

Açıklama: Hizmet, hassas veri hareketlerini izlemek için DLP çözümünü destekler (müşterinin içeriğinde). Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-3: Aktarımdaki hassas verileri şifreleme

Özellikler

Veri Aktarımı Sırasındaki Şifreleme

Açıklama: Hizmet, veri düzlemi için aktarım içi veri şifrelemesini destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Özellik notları: Müşterinin kaynak yapılandırma verileri her zaman denetim düzlemindeki TLS kanalları aracılığıyla taşınır. Veri düzlemi için hizmet, müşterinin TCP ve TLS varyantları arasında seçim yapmasını sağlar. Müşteriler kendi ihtiyaçlarına göre seçim yapmalarını sağlar.

Yapılandırma Kılavuzu: Yerleşik aktarım şifrelemesi özelliğinde yerel verilerin bulunduğu hizmetlerde güvenli aktarımı etkinleştirin. Herhangi bir web uygulaması ve hizmeti üzerinde HTTPS uygulayın ve TLS v1.2 veya üzerinin kullanıldığından emin olun. SSL 3.0, TLS v1.0 gibi eski sürümler devre dışı bırakılmalıdır. Sanal Makinelerin uzaktan yönetimi için şifrelenmemiş bir protokol yerine SSH (Linux için) veya RDP/TLS (Windows için) kullanın.

Başvuru: Application Gateway ile TLS sonlandırma ve uçtan uca TLS'ye genel bakış

DP-4: Hareketsiz durumdaki veri şifrelemesini varsayılan olarak etkinleştirin

Özellikler

Platform Anahtarlarını Kullanarak Durgun Veri Şifreleme

Açıklama: Platform anahtarları kullanılarak beklemedeki verilerin şifrelenmesi desteklenir, beklemedeki tüm müşteri içerikleri Microsoft tarafından yönetilen bu anahtarlarla şifrelenir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Doğru	Microsoft

Özellik notları: Müşterinin kaynak yapılandırmasıyla ilgili verileri şifreleme özellikli bir depolama hesabında, gizli diziler ise yönetilen bir Azure Key Vault'ta depolanır. DRI/dev analizi için Kusto'ya yalnızca kaynak yapılandırma verileri gönderilir.

Application Gateway bir proxy ürünü olduğundan, müşterinin çalışma zamanı veri trafiğini depolamaz ve bunu doğrudan arka uca iletir. Hizmet, ağ trafiğini arka uç/istemciye yönlendirirken, geçici olarak bellekte şifrelenmemiş bir biçimde tutar.

Yapılandırma Kılavuzu: Bu varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.

DP-6: Güvenli bir anahtar yönetim süreci kullanın

Özellikler

Azure Key Vault'ta Anahtar Yönetimi

Açıklama: Hizmet tüm müşteri anahtarları, gizli diziler veya sertifikalar için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

DP-7: Güvenli bir sertifika yönetim işlemi kullanma

Özellikler

Azure Key Vault'ta Sertifika Yönetimi

Açıklama: Hizmet, tüm müşteri sertifikaları için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Özellik notları: Müşteri bir TLS sertifikasını karşıya yüklediğinde, otomatik olarak yönetilen bir Azure Key Vault Hizmeti içinde depolanır.

Application Gateway v1, Azure Key Vault tümleştirmeyi desteklemez. Kimlik bilgileri ve sertifikalar farklı bir gizli depolama alanında muhafaza edilir.

Yapılandırma Kılavuzu: Sertifika oluşturma, içeri aktarma, döndürme, iptal etme, depolama ve sertifikayı temizleme dahil olmak üzere sertifika yaşam döngüsünü oluşturmak ve denetlemek için Azure Key Vault'u kullanın. Sertifika oluşturma işleminin, aşağıdakiler gibi güvenli olmayan özellikler kullanmadan tanımlı standartlara uydığından emin olun: yetersiz anahtar boyutu, fazla uzun geçerlilik süresi, güvenli olmayan şifreleme. Azure Key Vault'ta ve Azure hizmetinde (destekleniyorsa) sertifikanın otomatik döndürmesini, tanımlı bir zamanlamaya göre veya sertifika süre sonu olduğunda ayarlayın. Uygulamada otomatik döndürme desteklenmiyorsa, Azure Key Vault'ta ve uygulamada el ile kullanılan yöntemler kullanılarak bunların hala döndürüldüğünden emin olun.

Başvuru: Key Vault sertifikalarıyla TLS sonlandırma

Varlık yönetimi

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Varlık yönetimi.

-2: Yalnızca onaylanan hizmetleri kullanın

Özellikler

Azure Politika Desteği

Açıklama: Hizmet yapılandırmaları Azure İlkesi aracılığıyla izlenebilir ve zorunlu kılınabilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Özellik notları: Application Gateway'ler müşterinin sanal asına sağlanır ve yönetim trafiği için gereken bazı muafiyetleri engelleyip gerekli tüm Azure İlkelerini bir sanal ağa uygulayabilir.

Yapılandırma Kılavuzu: Azure kaynaklarınızın yapılandırmalarını denetlemek ve zorunlu kılmak üzere Azure İlkesi'ni yapılandırmak üzere Bulut için Microsoft Defender'ı kullanın. Kaynaklarda bir yapılandırma sapması algılandığında uyarılar oluşturmak için Azure İzleyici'yi kullanın. Azure kaynakları genelinde güvenli yapılandırmayı uygulamak amacıyla Azure İlkesi [reddet] ve [var değilse dağıt] efektlerini kullanın.

Başvuru: Azure ağ hizmetleri için Azure İlkesi yerleşik tanımları

Log tutma ve tehdit algılama

Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Loglama ve tehdit algılama.

LT-1: Tehdit algılama özelliklerini etkinleştirme

Özellikler

Hizmetler / Ürün Sunumu için Microsoft Defender

Açıklama: Hizmet, güvenlik sorunlarını izlemek ve uyarmak için teklife özgü bir Microsoft Defender çözümüne sahiptir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Yanlış	Geçerli değil	Geçerli değil

Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.

LT-4: Güvenlik araştırması için kayıt tutmayı etkinleştir

Özellikler

Azure Kaynak Günlükleri

Açıklama: Hizmet, hizmete özgü gelişmiş ölçümler ve günlükler sağlayabilen kaynak günlükleri oluşturur. Müşteri bu kaynak günlüklerini yapılandırabilir ve depolama hesabı veya Log Analytics çalışma alanı gibi kendi veri havuzuna gönderebilir. Daha fazla bilgi edinin.

Destekleniyor	Varsayılan Olarak Etkin	Yapılandırma Sorumluluğu
Doğru	Yanlış	Müşteri

Yapılandırma Kılavuzu: Hizmet için kaynak günlüklerini etkinleştirin. Örneğin, Key Vault, bir anahtar kasasından sır alan eylemler için ek kaynak günlüklerini desteklerken, Azure SQL, veritabanına yapılan istekleri izleyen kaynak günlüklerine sahiptir. Kaynak günlüklerinin içeriği Azure hizmetine ve kaynak türüne göre değişir.

Başvuru: Application Gateway için arka uç sistem durumu ve tanılama günlükleri

Sonraki Adımlar

• Bkz. Microsoft bulut güvenliği karşılaştırması genel bakış
• Azure güvenlik temelleri hakkında daha fazla bilgi edinin