Klasifikace aplikace pro zabezpečení
Azure může hostovat starší i moderní aplikace prostřednictvím virtuálních počítačů infrastruktury jako služby (IaaS) a platformy jako služby (PaaS). U starších verzí aplikací zodpovídáte za zabezpečení všech závislostí, včetně operačních systémů, middlewaru a dalších součástí. Pro PaaS aplikace nemusíte spravovat a zabezpečovat základní serverové operační systémy. Zodpovídáte za konfiguraci aplikace.
Tento článek popisuje důležité informace o tom, jak pochopit modely hostování a bezpečnostní zodpovědnost každého z nich, které identifikují kritické aplikace.
Pochopení zodpovědnosti jako vlastníka
Zabezpečení aplikace vyžaduje ujištění zabezpečení pro tři aspekty:
Kód aplikace. Logika definující vlastní aplikaci, kterou píšete. Zabezpečení kódu vyžaduje, aby se identifikovala a zmírnila rizika vyplývající z návrhu a implementace aplikace a vyhodnocování rizika dodavatelských řetězců zahrnutých součástí.
Aplikační služby. Cloudové služby, které aplikace používá, jako jsou databáze, zprostředkovatelé identity, centra událostí, Správa zařízení IoT atd. Zabezpečení pro cloudové služby je sdílená zodpovědnost. Poskytovatel cloudu zajišťuje zabezpečení základní služby. Vlastník aplikace je zodpovědný za důsledky v souvislosti se zabezpečením konfigurace a provozu instancí služby používaných aplikací, včetně všech dat uložených a zpracovávaných ve službě.
Platforma hostování aplikací. Výpočetní prostředí, ve kterém se aplikace spouští. To může mít spoustu forem s významnými výkyvy, které jsou zodpovědné za zabezpečení:
Starší verze aplikací. obvykle vyžaduje úplný operační systém (a jakýkoliv middleware) hostovaný na fyzickém nebo virtualizovaném hardwaru. Tento operační systém a instalovaný middleware/další komponenty jsou provozovány a zabezpečeny vlastníkem aplikace nebo jejich týmy. Bezpečnostní zodpovědnost pro součásti fyzického hardwaru a virtualizace operačního systému (hostitelé virtualizace, operační systémy a služby pro správu) se liší:
- Místní – vlastník aplikace zodpovídá za údržbu a zabezpečení.
- IaaS – poskytovatel cloudu zodpovídá za základní infrastrukturu a organizace vlastníka aplikace zodpovídá za konfiguraci virtuálního počítače, operační systém a všechny součásti, které jsou na něm nainstalované.
Moderní aplikace se hostují v prostředích PaaS, jako je třeba Aplikační služba Azure. Základní operační systém je zabezpečený poskytovatelem cloudu. Vlastníci aplikace jsou odpovědni za zabezpečení konfigurace služby Application Service.
Kontejnery jsou mechanizmus balení aplikace, ve kterém jsou aplikace abstraktní z prostředí, ve kterém jsou spuštěny. Kontejnerové aplikace mohou běžet na službě kontejneru poskytovatelem cloudu (moderní aplikace) nebo na serveru spravovaném místně nebo v IaaS.
Identifikace a klasifikace aplikací
Identifikujte aplikace, které mají vysoký potenciální dopad na výkon, nebo vysokou možnou expozici rizik.
- Důležitá podniková data. Aplikace, které zpracovávají nebo ukládají informace, musí mít záruku důvěrnosti, integrity a dostupnosti.
- Regulovaná data. Aplikace, které zpracovávají peněžní a citlivé osobní údaje, které jsou regulovány pomocí standardů, jako je například PCI (Payment Card Industry), Obecné nařízení o ochraně osobních údajů (GDPR) a přenositelnost informací o stavu a Act (HIPAA).
- Důležitá obchodní dostupnost. Aplikace, jejichž funkčnost je pro obchodní poslání zásadní, jako jsou například výrobní linky generující výnosy, zařízení nebo služby, které jsou důležité pro životní a bezpečnostní prostředí a další důležité funkce.
- Významný přístup. Aplikace, které mají přístup k systémům s vysokým dopadem prostřednictvím technických prostředků, jako např.
- Uložené přihlašovací údaje nebo klíče/certifikáty, které udělují přístup k datům/službě.
- Oprávnění udělená prostřednictvím seznamů řízení přístupu nebo jiných metod.
- Vysoká expozice útokům. Aplikace, které jsou snadno přístupné pro útočníci, jako jsou webové aplikace na veřejném Internetu. Starší verze aplikací můžou být taky vyšší, protože útočníci (a testeri průniku) jsou často cílené, protože znají, že tyto starší verze aplikací mají často chyby zabezpečení, které je obtížné opravit.
Použití služeb Azure pro základní komponenty
Vývojáři by měli používat služby, které jsou dostupné od poskytovatele cloudu, pro dobře zavedené funkce, jako jsou databáze, šifrování, adresář identit a ověřování, namísto sestavování nebo přijímání vlastních implementací nebo řešení jiných výrobců, která vyžadují integraci s poskytovatelem cloudu. Tyto služby poskytují lepší zabezpečení, spolehlivost a efektivitu, protože poskytovatelé cloudu fungují a zabezpečují pomocí vyhrazených týmů s hlubokými odbornými znalostmi v těchto oblastech.
Použití těchto služeb také uvolňuje vaše vývojářské prostředky od rezásobování prostredku proaktivující, aby bylo možné zaměřit vývoj na vaše jedinečné požadavky na vaši firmu. Tento postup by měl být dodržen, aby nedocházelo k rizikům při vývoji nových aplikací a snížil riziko v existujících aplikacích buď během plánovaného aktualizačního cyklu, nebo pomocí aktualizace aplikace zaměřené na zabezpečení.
Pro konfiguraci identit, ochrany dat, správy klíčů a aplikací doporučujeme používat cloudové služby od poskytovatele cloudu:
Identita – uživatelské adresáře a další funkce ověřování jsou složité pro vývoj a kriticky důležité pro zajištění zabezpečení. Vyhněte se vlastním ověřovacím řešením. místo toho si pro ověřování a udělení oprávnění pro uživatele, partnery, zákazníky, aplikace, služby a další entity zvolíme nativní možnosti jako Azure Active Directory (Azure ad), azure ad B2B, Azure AD B2Cnebo řešení třetích stran. Další informace najdete v tématu zabezpečení pomocí správy identit a přístupu (IAM) v Azure.
Ochrana dat – pomocí navázaných funkcí od poskytovatelů cloudu, jako jsou nativní šifrování v cloudových službách, můžete šifrovat a chránit data. Pokud je vyžadováno přímé použití kryptografie, použijte dobře zavedené kryptografické algoritmy a nepokusit se o vlastní zásobu.
Správa klíčů – místo zpracování kryptografického klíče se vždy ověřují pomocí služby identity. V situacích, kdy potřebujete klíče, použijte úložiště spravovaného klíče, jako je Azure Key Vault. Tím se zajistí, že se klíče v kódu aplikace budou bezpečně zpracovávat. CredScan můžete použít ke zjištění potenciálně vystavených klíčů v kódu aplikace.
Konfigurace aplikací – nekonzistentní konfigurace pro aplikace mohou vytvářet bezpečnostní rizika. Azure App Configuration poskytuje službu pro centrální správu nastavení aplikací a příznaků funkcí, což pomáhá zmírnit toto riziko.
Další informace o použití Cloud Services namísto vlastních implementací, referenčních aplikací a služeb.
Použití nativních schopností
Místo přidávání externích součástí zabezpečení, jako je šifrování dat, filtrování síťových přenosů, detekce hrozeb a další funkce, použijte nativní funkce zabezpečení integrované do cloudových služeb.
Ovládací prvky Azure jsou udržované a podporované Microsoftem. Nemusíte investovat do dalších nástrojů zabezpečení.