Beveiligingsframe: | voor controle en logboekregistratie Oplossingen

Product/service	Artikel
Dynamics CRM	Gevoelige entiteiten in uw oplossing identificeren en wijzigingscontrole implementeren
Webtoepassing	Zorg ervoor dat controle en logboekregistratie worden afgedwongen voor de toepassing Zorg ervoor dat de logboekrotatie en -scheiding aanwezig zijn Zorg ervoor dat de toepassing geen gevoelige gebruikersgegevens vasthoudt Controleren of audit- en logboekbestanden beperkte toegang hebben Zorg ervoor dat gebruikersbeheergebeurtenissen worden geregistreerd Zorg ervoor dat het systeem ingebouwde verdedigingsmechanismen heeft tegen misbruik Diagnostische logboekregistratie inschakelen voor web-apps in Azure App Service
Database	Zorg ervoor dat aanmeldingscontrole is ingeschakeld op SQL Server Detectie van bedreigingen inschakelen op Azure SQL
Azure Storage	Azure Opslaganalyse gebruiken om de toegang tot Azure Storage te controleren
WCF	Voldoende logboekregistratie implementeren Voldoende afhandeling van auditfouten implementeren
Web-API	Controleren of controle en logboekregistratie worden afgedwongen op web-API
IoT-veldgateway	Zorg ervoor dat de juiste controle en logboekregistratie worden afgedwongen op Field Gateway
IoT-cloudgateway	Zorg ervoor dat de juiste controle en logboekregistratie worden afgedwongen op Cloud Gateway

Gevoelige entiteiten in uw oplossing identificeren en wijzigingscontrole implementeren

Titel	Details
Onderdeel	Dynamics CRM
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Entiteiten identificeren in uw oplossing die gevoelige gegevens bevatten en wijzigingscontrole voor deze entiteiten en velden implementeren

Zorg ervoor dat controle en logboekregistratie worden afgedwongen voor de toepassing

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Schakel controle en logboekregistratie in op alle onderdelen. Auditlogboeken moeten gebruikerscontext vastleggen. Identificeer alle belangrijke gebeurtenissen en registreer deze gebeurtenissen. Gecentraliseerde logboekregistratie implementeren

Zorg ervoor dat de logboekrotatie en -scheiding aanwezig zijn

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Logboekrotatie is een geautomatiseerd proces dat wordt gebruikt in systeembeheer waarin verouderde logboekbestanden worden gearchiveerd. Servers waarop grote toepassingen worden uitgevoerd, registreren vaak elke aanvraag: vanwege omvangrijke logboeken is logboekrotatie een manier om de totale grootte van de logboeken te beperken, terwijl het toch mogelijk is om recente gebeurtenissen te analyseren. Logboekscheiding betekent in feite dat u uw logboekbestanden op een andere partitie moet opslaan als waar uw besturingssysteem/toepassing wordt uitgevoerd om een Denial of Service-aanval of het downgraden van de prestaties van uw toepassing te voorkomen

Zorg ervoor dat de toepassing geen gevoelige gebruikersgegevens vasthoudt

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Controleer of u geen gevoelige gegevens opsmelt die een gebruiker naar uw site verzendt. Controleer op opzettelijke logboekregistratie en bijwerkingen die worden veroorzaakt door ontwerpproblemen. Voorbeelden van gevoelige gegevens zijn: Gebruikersreferenties Burgerservicenummer of andere identificerende informatie Creditcardnummers of andere financiële gegevens Statusinformatie Persoonlijke sleutels of andere gegevens die kunnen worden gebruikt voor het ontsleutelen van versleutelde gegevens Systeem- of toepassingsgegevens die kunnen worden gebruikt om de toepassing effectiever aan te vallen

Controleren of audit- en logboekbestanden beperkte toegang hebben

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Controleer of de toegangsrechten voor logboekbestanden correct zijn ingesteld. Toepassingsaccounts moeten alleen-schrijventoegang hebben en operators en ondersteuningsmedewerkers moeten zo nodig alleen-lezentoegang hebben. Beheerdersaccounts zijn de enige accounts die volledige toegang moeten hebben. Controleer windows-ACL's op logboekbestanden om er zeker van te zijn dat ze correct worden beperkt: Toepassingsaccounts moeten alleen-schrijventoegang hebben Operators en ondersteuningsmedewerkers moeten indien nodig alleen-lezentoegang hebben Beheerders zijn de enige accounts die volledige toegang moeten hebben

Zorg ervoor dat gebruikersbeheergebeurtenissen worden geregistreerd

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Zorg ervoor dat de toepassing gebeurtenissen voor gebruikersbeheer bewaakt, zoals geslaagde en mislukte gebruikersaanmelding, wachtwoordherstel, wachtwoordwijzigingen, accountvergrendeling, gebruikersregistratie. Op deze manier kunt u mogelijk verdacht gedrag detecteren en erop reageren. Het maakt het ook mogelijk om operationele gegevens te verzamelen; bijvoorbeeld om bij te houden wie toegang heeft tot de toepassing

Zorg ervoor dat het systeem ingebouwde beveiliging tegen misbruik heeft

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Er moeten controles zijn ingesteld die beveiligingssuitzondering veroorzaken in het geval van misbruik van toepassingen. Als er bijvoorbeeld invoervalidatie is ingesteld en een aanvaller schadelijke code probeert te injecteren die niet overeenkomt met de regex, kan er een beveiligingsuitzondering worden gegenereerd die kan wijzen op systeemmisbruik Het wordt bijvoorbeeld aanbevolen om beveiligingsproblemen vast te leggen en acties te ondernemen voor de volgende problemen: Invoervalidatie CSRF-schendingen Brute force (bovengrens voor het aantal aanvragen per gebruiker per resource) Schendingen van het uploaden van bestanden

Diagnostische logboekregistratie inschakelen voor web-apps in Azure App Service

Titel	Details
Onderdeel	Webtoepassing
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	EnvironmentType - Azure
Referenties	N.v.t.
Stappen	Azure biedt ingebouwde diagnostische gegevens om te helpen bij het opsporen van fouten in een App Service web-app. Het is ook van toepassing op API-apps en mobiele apps. App Service web-apps bieden diagnostische functionaliteit voor het vastleggen van gegevens van zowel de webserver als de webtoepassing. Deze zijn logisch onderverdeeld in diagnostische gegevens van webservers en toepassingsdiagnose

Zorg ervoor dat aanmeldingscontrole is ingeschakeld op SQL Server

Titel	Details
Onderdeel	Database
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	Aanmeldingscontrole configureren
Stappen	Aanmeldingscontrole van databaseserver moet zijn ingeschakeld om aanvallen met het raden van wachtwoorden te detecteren/bevestigen. Het is belangrijk om mislukte aanmeldingspogingen vast te leggen. Het vastleggen van zowel geslaagde als mislukte aanmeldingspogingen biedt extra voordeel tijdens forensisch onderzoek

Detectie van bedreigingen inschakelen op Azure SQL

Titel	Details
Onderdeel	Database
SDL-fase	Build
Toepasselijke technologieën	SQL Azure
Kenmerken	SQL-versie - V12
Referenties	Aan de slag met detectie van bedreigingen in SQL Database
Stappen	Bedreigingsdetectie detecteert afwijkende databaseactiviteiten die mogelijke beveiligingsrisico's voor de database aangeven. Het biedt een nieuwe beveiligingslaag, waarmee klanten potentiële bedreigingen kunnen detecteren en erop kunnen reageren wanneer ze optreden door beveiligingswaarschuwingen te geven over afwijkende activiteiten. Gebruikers kunnen de verdachte gebeurtenissen verkennen met behulp van Azure SQL Database Auditing om te bepalen of ze het gevolg zijn van een poging om gegevens in de database te openen, te schenden of te misbruiken. Detectie van bedreigingen maakt het eenvoudig om potentiële bedreigingen voor de database aan te pakken zonder dat u een beveiligingsexpert hoeft te zijn of geavanceerde beveiligingsbewakingssystemen hoeft te beheren

Azure Opslaganalyse gebruiken om de toegang tot Azure Storage te controleren

Titel	Details
Onderdeel	Azure Storage
SDL-fase	Implementatie
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	Autorisatietype controleren met behulp van Opslaganalyse
Stappen	Voor elk opslagaccount kan azure Opslaganalyse inschakelen om logboekregistratie uit te voeren en metrische gegevens op te slaan. De logboeken voor opslaganalyse bieden belangrijke informatie, zoals de verificatiemethode die door iemand wordt gebruikt bij het openen van de opslag. Dit kan erg handig zijn als u de toegang tot opslag strikt bewaakt. In Blob Storage kunt u bijvoorbeeld alle containers instellen op privé en het gebruik van een SAS-service in uw toepassingen implementeren. Vervolgens kunt u de logboeken regelmatig controleren om te zien of uw blobs worden geopend met behulp van de opslagaccountsleutels. Dit kan duiden op een beveiligingsschending, of dat de blobs openbaar zijn, maar dat zouden ze niet moeten zijn.

Voldoende logboekregistratie implementeren

Titel	Details
Onderdeel	WCF
SDL-fase	Build
Toepasselijke technologieën	.NET Framework
Kenmerken	N.v.t.
Referenties	MSDN, Fortify Kingdom
Stappen	Het ontbreken van een juiste audittrail na een beveiligingsincident kan forensische inspanningen belemmeren. Windows Communication Foundation (WCF) biedt de mogelijkheid om geslaagde en/of mislukte verificatiepogingen te registreren. Mislukte verificatiepogingen kunnen beheerders waarschuwen voor mogelijke beveiligingsaanvallen. Op dezelfde manier kan het vastleggen van geslaagde verificatiegebeurtenissen een nuttige audittrail bieden wanneer een legitiem account is gecompromitteerd. De servicebeveiligingscontrolefunctie van WCF inschakelen

Voorbeeld

Hier volgt een voorbeeldconfiguratie waarbij controle is ingeschakeld

<system.serviceModel>
    <behaviors>
        <serviceBehaviors>
            <behavior name=""NewBehavior"">
                <serviceSecurityAudit auditLogLocation=""Default""
                suppressAuditFailure=""false"" 
                serviceAuthorizationAuditLevel=""SuccessAndFailure""
                messageAuthenticationAuditLevel=""SuccessAndFailure"" />
                ...
            </behavior>
        </servicebehaviors>
    </behaviors>
</system.serviceModel>

Implementeer voldoende afhandeling van auditfouten

Titel	Details
Onderdeel	WCF
SDL-fase	Build
Toepasselijke technologieën	.NET Framework
Kenmerken	N.v.t.
Referenties	MSDN, Fortify Kingdom
Stappen	De ontwikkelde oplossing is geconfigureerd om geen uitzondering te genereren wanneer het schrijven naar een auditlogboek mislukt. Als WCF is geconfigureerd om geen uitzondering te genereren wanneer het niet kan schrijven naar een auditlogboek, wordt het programma niet op de hoogte gesteld van de fout en worden kritieke beveiligingsgebeurtenissen mogelijk niet gecontroleerd.

Voorbeeld

Het <behavior/> onderstaande element van het WCF-configuratiebestand instrueert WCF om de toepassing niet te waarschuwen wanneer WCF niet naar een auditlogboek kan schrijven.

<behaviors>
    <serviceBehaviors>
        <behavior name="NewBehavior">
            <serviceSecurityAudit auditLogLocation="Application"
            suppressAuditFailure="true"
            serviceAuthorizationAuditLevel="Success"
            messageAuthenticationAuditLevel="Success" />
        </behavior>
    </serviceBehaviors>
</behaviors>

Configureer WCF om het programma op de hoogte te stellen wanneer het niet kan schrijven naar een auditlogboek. Het programma moet een alternatief meldingsschema hebben om de organisatie te waarschuwen dat audittrails niet worden onderhouden.

Controleren of controle en logboekregistratie worden afgedwongen op de web-API

Titel	Details
Onderdeel	Web-API
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Schakel controle en logboekregistratie in op web-API's. Auditlogboeken moeten gebruikerscontext vastleggen. Identificeer alle belangrijke gebeurtenissen en registreer deze gebeurtenissen. Gecentraliseerde logboekregistratie implementeren

Zorg ervoor dat de juiste controle en logboekregistratie worden afgedwongen op Field Gateway

Titel	Details
Onderdeel	IoT-veldgateway
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	N.v.t.
Stappen	Wanneer meerdere apparaten verbinding maken met een Field Gateway, moet u ervoor zorgen dat verbindingspogingen en verificatiestatus (geslaagd of mislukt) voor afzonderlijke apparaten worden geregistreerd en onderhouden op de Field Gateway. In gevallen waarin Field Gateway de IoT Hub referenties voor afzonderlijke apparaten onderhoudt, moet u er ook voor zorgen dat de controle wordt uitgevoerd wanneer deze referenties worden opgehaald. Ontwikkel een proces om de logboeken periodiek te uploaden naar Azure IoT Hub/opslag voor langetermijnretentie.

Zorg ervoor dat de juiste controle en logboekregistratie worden afgedwongen op Cloud Gateway

Titel	Details
Onderdeel	IoT-cloudgateway
SDL-fase	Build
Toepasselijke technologieën	Algemeen
Kenmerken	N.v.t.
Referenties	Inleiding tot bewaking van IoT Hub-bewerkingen
Stappen	Ontwerp voor het verzamelen en opslaan van controlegegevens die zijn verzameld via IoT Hub Operations Monitoring. Schakel de volgende bewakingscategorieën in: Apparaatidentiteitsbewerkingen Apparaat-naar-cloud-communicatie Cloud-naar-apparaat-communicatie Verbindingen Bestandsuploads