Quadro de segurança: Auditoria e log | Atenuações

Produto/Serviço	Artigo
Dynamics CRM	Identificar entidades sensíveis em sua solução e implementar a auditoria de alteração
Aplicativo Web	Certifique-se de que a auditoria e registro em log é imposto no aplicativo Certifique-se de que a rotação de log e separação estão em vigor Certifique-se de que o aplicativo não registra dados confidenciais do usuário Verifique se os arquivos de Log e auditoria tem acesso restrito Certifique-se de que os eventos de gerenciamento de usuário estão registrados Verifique se o sistema tem embutidas defesas contra uso indevido Habilitar o registro em log de diagnóstico para aplicativos Web no Serviço de Aplicativo do Azure
Backup de banco de dados	Verifique se a auditoria de logon é habilitada no SQL Server Ativar a detecção de ameaças no SQL Azure
Armazenamento do Azure	Uso da Análise de Armazenamento do Azure para auditar o acesso do Armazenamento do Azure
WCF	Implementar o log suficiente Implementar o tratamento de falha de auditoria suficiente
API da Web	Certifique-se de que a auditoria e registro em log é imposto no API da Web
Gateway de Campo de IoT	Certifique-se de que a auditoria e log apropriado é imposta no campo Gateway
Gateway de Nuvem IoT	Certifique-se de que a auditoria e log apropriado é imposta no Gateway de nuvem

Identificar entidades sensíveis em sua solução e implementar a auditoria de alteração

Title	Detalhes
Componente	Dynamics CRM
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Identificar as entidades em sua solução que contém dados confidenciais e implementar a auditoria de alteração nessas entidades e campos

Certifique-se de que a auditoria e o registro em log são impostos no aplicativo

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Habilite a auditoria e log em todos os componentes. Os logs de auditoria devem capturar o contexto do usuário. Identifique todos os eventos importantes e registre em log esses eventos. Implementar o log centralizado

Certifique-se de que a rotação de log e separação estão em vigor

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Rotação de log é um processo automatizado usado na administração do sistema no qual os arquivos de log datado são arquivados. Servidores que executam grandes aplicativos muitas vezes registrar cada solicitação: diante de grandes logs, rotação do log é uma forma de limitar o tamanho total dos logs e ainda permitir a análise dos eventos recentes. Separação de log basicamente significa que você deve armazenar seu log de arquivos em uma partição diferente em que o sistema operacional/aplicativo é executado para avert um ataque de negação de serviço ou o downgrade do seu aplicativo o desempenho

Certifique-se de que o aplicativo não registra dados confidenciais do usuário

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Verifique se você não faça quaisquer dados confidenciais que um usuário envia ao seu site. Verifique se há registro intencional, bem como os efeitos colaterais causados por problemas de design. Exemplos de dados confidenciais: Credenciais do Usuário Número do seguro social ou outras informações de identificação Números de cartão de crédito ou outras informações financeiras Informações de integridade As chaves particulares ou outros dados que pode ser usados para descriptografar informações criptografadas Informações do sistema ou aplicativo que podem ser usadas para atacar com mais eficiência o aplicativo

Verifique se os arquivos de Log e auditoria tem acesso restrito

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Verifique se os direitos de acesso a arquivos de log são configurados de forma apropriada. Contas de aplicativo devem ter acesso somente gravação e operadores e equipe de suporte deve ter acesso somente leitura, conforme necessário. Contas de administradores são as únicas contas que devem ter acesso completo. Verifique a ACL do Windows em arquivos de log para garantir que estejam adequadamente restritos: Contas de aplicativos devem ter acesso somente gravação Operadores e a equipe de suporte deve ter acesso somente leitura, conforme necessário Os administradores são as únicas contas que devem ter acesso completo

Certifique-se de que os eventos de gerenciamento de usuário estão registrados

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Certifique-se de que o aplicativo monitora eventos de gerenciamento de usuário, como logons de usuário bem-sucedidas e com falha, redefinições de senha, alteração de senha, bloqueio de conta, registro de usuário. Fazer isso ajuda a detectar e reagir a comportamentos potencialmente suspeitos. Ele também permite a coleta de dados de operações; Por exemplo, para controlar quem está acessando o aplicativo

Verifique se o sistema tem embutidas defesas contra uso indevido

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Controles devem estar em vigor que lançam a exceção de segurança em caso de uso incorreto do aplicativo. Por exemplo, se a validação de entrada está em vigor e um invasor tente injetar código mal-intencionado que não corresponda ao regex, uma exceção de segurança pode ser gerada que pode ser um indicativo de uso indevido do sistema Por exemplo, é recomendável ter exceções de segurança registradas e ações realizadas para os seguintes problemas: Validação de entrada Violações de CSRF Força bruta (limite superior para o número de solicitações por usuário por recurso) Violações de carregamento de arquivo

Habilitar o registro em log de diagnóstico para aplicativos Web no Serviço de Aplicativo do Azure

Title	Detalhes
Componente	Aplicativo Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	Tipo de ambiente - Azure
Referências	N/D
Etapas	O Azure oferece diagnóstico integrado para ajudar na depuração de um aplicativo Web do Serviço de Aplicativo. Ele também se aplica a aplicativos de API e aplicativos móveis. Os aplicativos Web do Serviço de Aplicativo oferecem funcionalidade de diagnóstico para registro em log tanto de informações do servidor Web quanto do aplicativo Web. Estes estão logicamente separados em diagnóstico de servidor Web e diagnóstico de aplicativos

Verifique se a auditoria de logon é habilitada no SQL Server

Title	Detalhes
Componente	Banco de dados
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	Configurar a Auditoria de Logon
Etapas	Auditoria de logon do servidor de banco de dados deve ser habilitada para ataques de adivinhação de senha/confirmar detectar. É importante capturar as tentativas de logon com falha. Capturar as duas tentativas de logon bem-sucedidas e malsucedidas fornece o benefício adicional durante investigações jurídicas

Ativar a detecção de ameaças no SQL Azure

Title	Detalhes
Componente	Banco de dados
Fase do SDL	Build
Tecnologias aplicáveis	SQL Azure
Atributos	Versão do SQL - V12
Referências	Introdução à Detecção de Ameaças do Banco de Dados SQL
Etapas	A Detecção de Ameaças detecta as atividades anormais do banco de dados que indicam possíveis ameaças de segurança ao banco de dados. Ela fornece uma nova camada de segurança, que permite que os clientes detectem e respondam às ameaças potenciais conforme elas ocorrem, fornecendo alertas de segurança nas atividades anormais. Os usuários podem explorar os eventos suspeitos usando a Auditoria do Banco de Dados SQL do Azure para determinar se eles resultam de uma tentativa de acesso, violação ou exploração dos dados no banco de dados. A Detecção de Ameaças torna simples tratar as possíveis ameaças no banco de dados sem a necessidade de ser um especialista em segurança ou gerenciar os sistemas de monitoramento de segurança avançados

Uso da Análise de Armazenamento do Azure para auditar o acesso do Armazenamento do Azure

Title	Detalhes
Componente	Armazenamento do Azure
Fase do SDL	Implantação
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	Uso da Análise de Armazenamento para monitorar o tipo de autorização
Etapas	Para cada conta de armazenamento, é possível habilitar a Análise de Armazenamento do Azure para realizar o registro em log e armazenar dados de métricas. Os logs de análise de armazenamento fornecem informações importantes, como método de autenticação usado por uma pessoa ao acessar o armazenamento. Isso pode ser muito útil se você estiver protegendo rigorosamente o acesso ao armazenamento. Por exemplo, no Armazenamento de Blobs, é possível definir todos os contêineres para privado e implementar o uso de um serviço SAS em todos os aplicativos. Desse modo, você pode verificar os logs regularmente para ver se seus blobs são acessados usando as chaves da conta de armazenamento, que pode indicar uma violação de segurança, ou se os blobs são públicos, mas não deveriam ser.

Implementar o log suficiente

Title	Detalhes
Componente	WCF
Fase do SDL	Build
Tecnologias aplicáveis	.NET Framework
Atributos	N/D
Referências	MSDN, Fortify Kingdom
Etapas	A falta de uma trilha de auditoria adequada após um incidente de segurança pode atrapalhar os esforços forenses. Windows Communication Foundation (WCF) oferece a capacidade de registrar tentativas de autenticação bem-sucedidas e/ou com falha. Registro em log as tentativas de autenticação com falha pode avisar os administradores de possíveis ataques de força bruta. Da mesma forma, o log de eventos de autenticação bem-sucedida pode fornecer uma trilha de auditoria útil quando uma conta legítima seja comprometida. Habilitar o recurso de auditoria de segurança de serviço do WCF

Exemplo

A seguir está um exemplo de configuração com a auditoria ativada

<system.serviceModel>
    <behaviors>
        <serviceBehaviors>
            <behavior name=""NewBehavior"">
                <serviceSecurityAudit auditLogLocation=""Default""
                suppressAuditFailure=""false"" 
                serviceAuthorizationAuditLevel=""SuccessAndFailure""
                messageAuthenticationAuditLevel=""SuccessAndFailure"" />
                ...
            </behavior>
        </servicebehaviors>
    </behaviors>
</system.serviceModel>

Implementar o tratamento de falha de auditoria suficiente

Title	Detalhes
Componente	WCF
Fase do SDL	Build
Tecnologias aplicáveis	.NET Framework
Atributos	N/D
Referências	MSDN, Fortify Kingdom
Etapas	Solução desenvolvida está configurada para não gerar uma exceção quando ele falha ao gravar em um log de auditoria. Se o WCF está configurado para não lançar uma exceção quando não é possível gravar em um log de auditoria, o programa não será notificado da falha e auditoria de eventos de segurança crítica pode não ocorrer.

Exemplo

O <behavior/> elemento do arquivo de configuração WCF abaixo instrui o WCF não notificar o aplicativo quando o WCF não consegue gravar um log de auditoria.

<behaviors>
    <serviceBehaviors>
        <behavior name="NewBehavior">
            <serviceSecurityAudit auditLogLocation="Application"
            suppressAuditFailure="true"
            serviceAuthorizationAuditLevel="Success"
            messageAuthenticationAuditLevel="Success" />
        </behavior>
    </serviceBehaviors>
</behaviors>

Configure o WCF para notificar o programa sempre que não é possível gravar em um log de auditoria. O programa deve ter um esquema de notificação alternativo em vigor para a organização que trilhas de auditoria não estão sendo mantidos de alerta.

Certifique-se de que a auditoria e registro em log é imposto no API da Web

Title	Detalhes
Componente	API Web
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Habilite a auditoria e log em APIs da Web. Os logs de auditoria devem capturar o contexto do usuário. Identifique todos os eventos importantes e registre em log esses eventos. Implementar o log centralizado

Certifique-se de que a auditoria e log apropriado é imposta no campo Gateway

Title	Detalhes
Componente	Gateway de Campo de IoT
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	N/D
Etapas	Quando vários dispositivos se conectam a um Gateway de campo, certifique-se de que as tentativas de conexão e o status de autenticação (êxito ou falha) de dispositivos individuais são registradas e mantidas no campo Gateway. Além disso, nos casos em que o Gateway de campo é manter as credenciais de IoT Hub para dispositivos individuais, certifique-se de que a auditoria é executada quando essas credenciais são recuperadas. Desenvolva um processo para carregar periodicamente os logs em IoT Hub/armazenamento do Azure para retenção a longo prazo.

Certifique-se de que a auditoria e log apropriado é imposta no Gateway de nuvem

Title	Detalhes
Componente	Gateway de Nuvem IoT
Fase do SDL	Build
Tecnologias aplicáveis	Genérico
Atributos	N/D
Referências	Introdução ao monitoramento de operações do Hub IoT
Etapas	Design para coletar e armazenar dados de auditoria coletados por meio do monitoramento de operações de Hub IoT. Habilite monitoramentos categorias a seguir: Operações de identidade do dispositivo Comunicações do dispositivo para a nuvem Comunicações da nuvem para o dispositivo conexões Carregamentos de arquivos