Toepassingsclassificatie voor beveiliging
Azure kan zowel verouderde als moderne toepassingen hosten via IaaS-VM's (Infrastructure as a Service) en PaaS (Platform as a Service). Met oudere toepassingen bent u verantwoordelijk voor het beveiligen van alle afhankelijkheden, inclusief besturingssysteem, middleware en andere onderdelen. Voor PaaS-toepassingen hoeft u het onderliggende server-besturingssysteem niet te beheren en te beveiligen. U bent verantwoordelijk voor de configuratie van de toepassing.
In dit artikel worden de overwegingen beschreven voor het begrijpen van de hostingmodellen en de beveiligingsverantwoordelijkheid van elk, het identificeren van kritieke toepassingen.
Inzicht in uw verantwoordelijkheid als eigenaar
Het beveiligen van een toepassing vereist beveiligingsgaranties voor drie aspecten:
Toepassingscode. De logica die de aangepaste toepassing definieert die u schrijft. Voor het beveiligen van die code zijn het identificeren en beperken van risico's van het ontwerp en de implementatie van de toepassing en het beoordelen van het toeleveringsketenrisico van opgenomen onderdelen vereist.
Toepassingsservices. De cloudservices die de toepassing gebruikt, zoals databases, id-providers, Event Hubs, IoT-apparaatbeheer, en meer. Beveiliging voor cloudservices is een gedeelde verantwoordelijkheid. De cloudprovider zorgt voor de beveiliging van de onderliggende service. De eigenaar van de toepassing is verantwoordelijk voor de gevolgen voor de beveiliging van de configuratie en werking van de service-exemplaren die door de toepassing worden gebruikt, inclusief alle gegevens die zijn opgeslagen en verwerkt in de service.
Platform voor het hosten van toepassingen. De computeromgeving waarin de toepassing wordt uitgevoerd. Dit kan veel vormen aannemen met aanzienlijke variaties op wie verantwoordelijk is voor beveiliging:
Verouderde toepassingen. vereist doorgaans een volledig besturingssysteem (en eventuele middleware) die wordt gehost op fysieke of gevirtualiseerde hardware. Dit besturingssysteem en de geïnstalleerde middleware/andere onderdelen worden beheerd en beveiligd door de eigenaar van de toepassing of hun infrastructuurteam(s). De beveiligingsverantwoordelijkheid voor de fysieke hardware en onderdelen van besturingssysteemvirtualisatie (virtualisatiehosts, besturingssystemen en beheerservices) varieert:
- On-premises: de eigenaar van de toepassing is verantwoordelijk voor onderhoud en beveiliging.
- IaaS: de cloudprovider is verantwoordelijk voor de onderliggende infrastructuur en de organisatie van de toepassingseigenaar is verantwoordelijk voor de VM-configuratie, het besturingssysteem en alle onderdelen die op de VM zijn geïnstalleerd.
Moderne toepassingen worden gehost in PaaS-omgevingen, zoals een Azure-toepassingsservice. Het onderliggende besturingssysteem wordt beveiligd door de cloudprovider. Toepassingseigenaren zijn verantwoordelijk voor de beveiliging van de configuraties van de toepassingsservice.
Containers zijn een mechanisme voor het verpakken van toepassingen waarbij toepassingen worden geabstraheerd uit de omgeving waarin ze worden uitgevoerd. De containertoepassingen kunnen worden uitgevoerd op een containerservice door de cloudprovider (moderne toepassingen) of op een server die on-premises of in IaaS wordt beheerd.
Toepassingen identificeren en classificeren
Identificeer toepassingen met een hoge potentiële impact en,of een hoge mogelijke blootstelling aan risico's.
- Bedrijfskritieke gegevens. Toepassingen die gegevens verwerken of opslaan, moeten de zekerheid hebben van vertrouwelijkheid, integriteit en beschikbaarheid.
- Gereguleerde gegevens. Toepassingen die financiële middelen en gevoelige persoonlijke gegevens verwerken die worden gereguleerd door standaarden zoals pci (Payment Card Industry), algemene verordening gegevensbescherming (AVG) en HIPAA (Health Information Portability and Accountability Act).
- Bedrijfskritieke beschikbaarheid. Toepassingen waarvan de functionaliteit essentieel is voor de bedrijfsmissie, zoals productielijnen die omzet genereren, apparaten of services die essentieel zijn voor het leven en de veiligheid, en andere essentiële functies.
- Aanzienlijke toegang. Toepassingen die toegang hebben tot systemen met een hoge impact via technische middelen, zoals
- Opgeslagen referenties of sleutels/certificaten die toegang verlenen tot de gegevens/service.
- Machtigingen die worden verleend via toegangsbeheerlijsten of andere methoden.
- Hoge blootstelling aan aanvallen. Toepassingen die eenvoudig toegankelijk zijn voor aanvallers, zoals webtoepassingen op het openbare internet. Oudere toepassingen kunnen ook een grotere blootstelling hebben omdat aanvallers (en penetratietesters) zich er vaak op richten, omdat ze weten dat deze verouderde toepassingen vaak beveiligingsproblemen hebben die moeilijk te verhelpen zijn.
Azure-services gebruiken voor fundamentele onderdelen
Ontwikkelaars moeten services van een cloudprovider gebruiken voor goed tot stand gebrachte functies, zoals databases, versleuteling, identiteitsmap en verificatie, in plaats van aangepaste implementaties te bouwen of over te nemen, of oplossingen van derden die integratie met de cloudprovider vereisen. Deze services bieden betere beveiliging, betrouwbaarheid en efficiëntie, omdat cloudproviders deze gebruiken en beveiligen met toegewezen teams met diepgaande expertise op die gebieden.
Het gebruik van deze services biedt uw ontwikkelaars ook de mogelijkheid om het spreekwoordelijke wheel opnieuw uit te vinden, zodat ze de ontwikkeltijd kunnen richten op uw unieke vereisten voor uw bedrijf. Deze oefening moet worden gevolgd om risico's te voorkomen tijdens het ontwikkelen van nieuwe toepassingen en om het risico in bestaande toepassingen te verminderen tijdens de geplande updatecyclus of met een beveiligingsgerichte toepassingsupdate.
We raden u aan cloudservices van uw cloudprovider te gebruiken voor identiteits-, gegevensbeveiliging, sleutelbeheer en toepassingsconfiguraties:
Identiteit: gebruikersdirecties en andere verificatiefuncties zijn complex om te ontwikkelen en essentieel voor beveiligingsgaranties. Vermijd aangepaste verificatieoplossingen. Kies in plaats daarvan native mogelijkheden zoals Azure Active Directory(Azure AD), Azure AD B2B, Azure AD B2C ofoplossingen van derden om gebruikers, partners, klanten, toepassingen, services en andere entiteiten te verifiëren en machtigingen te verlenen. Zie Beveiliging met identiteits- en toegangsbeheer (IAM) in Azure voor meer informatie.
Gegevensbeveiliging: gebruik bestaande mogelijkheden van cloudproviders, zoals native versleuteling in cloudservices, om gegevens te versleutelen en te beveiligen. Als direct gebruik van cryptografie is vereist, gebruikt u goed tot stand gebrachte cryptografische algoritmen en probeert u niet om hun eigen algoritmen uit te vinden.
Sleutelbeheer: verifieert altijd met identiteitsservices in plaats van cryptografische sleutels te verwerken. Voor situaties waarin u sleutels nodig hebt, gebruikt u een beheerd sleutelopslag zoals Azure Key Vault. Dit zorgt ervoor dat sleutels veilig worden verwerkt in de toepassingscode. U kunt CredScan gebruiken om mogelijk blootgestelde sleutels in uw toepassingscode te ontdekken.
Toepassingsconfiguraties: inconsistente configuraties voor toepassingen kunnen beveiligingsrisico's met zich meebrengen. Azure App Configuration biedt een service voor het centraal beheren van toepassingsinstellingen en functievlaggen, waardoor dit risico kan worden beperkt.
Voor meer informatie over het gebruik van cloudservices in plaats van aangepaste implementaties, verwijzen wij u naar Toepassingen en services.
Native mogelijkheden gebruiken
Gebruik systeemeigen beveiligingsmogelijkheden die zijn ingebouwd in cloudservices in plaats van externe beveiligingsonderdelen toe te voegen, zoals gegevensversleuteling, filteren van netwerkverkeer, detectie van bedreigingen en andere functies.
Azure-besturingselementen worden onderhouden en ondersteund door Microsoft. U hoeft niet te investeren in extra hulpprogramma's voor beveiliging.