Implementar aplicações seguras no Azure

Neste artigo apresentamos atividades de segurança e controlos a ter em conta quando implementa aplicações para a nuvem. Questões e conceitos de segurança a ter em conta durante as fases de lançamento e resposta do Ciclo de Vida para o Desenvolvimento de Segurança da Microsoft (SDL) são abordados. O objetivo é ajudá-lo a definir atividades e serviços Azure que você pode usar para implementar uma aplicação mais segura.

Neste artigo, são abrangidas as seguintes fases SDL:

  • Libertar
  • Resposta

Libertar

O foco da fase de lançamento é preparar um projeto para lançamento público. Isto inclui planear formas de executar eficazmente tarefas de manutenção pós-lançamento e resolver vulnerabilidades de segurança que podem ocorrer mais tarde.

Verifique o desempenho da sua aplicação antes do lançamento

Verifique o desempenho da sua aplicação antes de a lançar ou implemente atualizações para a produção. Utilize o Azure Load Testing para realizar testes de carga baseados na nuvem para encontrar problemas de desempenho na sua aplicação, melhorar a qualidade de implementação, certificar-se de que a sua aplicação está sempre disponível ou disponível, e que a sua aplicação pode lidar com o tráfego para o seu lançamento.

Instale uma firewall de aplicação web

Cada vez mais, as aplicações Web são alvo de ataques maliciosos que exploram vulnerabilidades conhecidas comuns. Entre estas explorações estão ataques de injeção DE SQL e ataques de scripts em locais cruzados. Prevenir estes ataques no código de aplicação pode ser um desafio. Pode exigir uma manutenção rigorosa, remendação e monitorização em muitas camadas da topologia da aplicação. Uma WAF centralizada ajuda a simplificar a gestão de segurança. Uma solução WAF também pode reagir a uma ameaça de segurança remendando uma vulnerabilidade conhecida num local central versus a segurança de cada aplicação web individual.

O Gateway de Aplicação do Azure WAF fornece proteção centralizada das suas aplicações web contra explorações e vulnerabilidades comuns. A WAF baseia-se nas regras da regra principal da OWASP 3.0 ou 2.2.9.

Criar um plano de resposta a incidentes

Preparar um plano de resposta a incidentes é crucial para ajudá-lo a lidar com novas ameaças que podem surgir ao longo do tempo. A preparação de um plano de resposta a incidentes inclui identificar os contactos de emergência de segurança adequados e estabelecer planos de manutenção de segurança para código que é herdado de outros grupos na organização e para código de terceiros licenciado.

Realizar uma revisão final de segurança

Rever deliberadamente todas as atividades de segurança que foram realizadas ajuda a garantir a prontidão para a sua versão ou aplicação de software. A revisão final de segurança (FSR) geralmente inclui a análise de modelos de ameaças, saídas de ferramentas e desempenho contra os portões de qualidade e barras de insetos que foram definidas na fase de requisitos.

Certificar a libertação e arquivo

Certificar o software antes de uma versão ajuda a garantir que os requisitos de segurança e privacidade são cumpridos. Arquivar todos os dados pertinentes é essencial para a realização de tarefas de manutenção pós-lançamento. O arquivamento também ajuda a reduzir os custos a longo prazo associados à engenharia de software sustentado.

Resposta

A fase de resposta pós-lançamento centra-se na formação e disponíveis para responder adequadamente a quaisquer relatos de ameaças e vulnerabilidades emergentes de software.

Execute o plano de resposta a incidentes

Ser capaz de implementar o plano de resposta a incidentes instituída na fase de lançamento é essencial para ajudar a proteger os clientes da segurança do software ou vulnerabilidades de privacidade que emergem.

Monitorizar o desempenho da aplicação

A monitorização contínua da sua aplicação após a sua implementação pode ajudá-lo a detetar problemas de desempenho, bem como vulnerabilidades de segurança.

Os serviços Azure que ajudam na monitorização de aplicações são:

  • Azure Application Insights
  • Microsoft Defender para a Cloud

Application Insights

Application Insights é um serviço extensível de Gestão de Desempenho de Aplicações (APM) para desenvolvedores web em várias plataformas. Utilize-o para monitorizar a sua aplicação Web online. O Application Insights deteta automaticamente anomalias de desempenho. Inclui poderosas ferramentas de análise para ajudá-lo a diagnosticar problemas e entender o que os utilizadores realmente fazem com a sua aplicação. Foi concebido para o ajudar a melhorar continuamente o desempenho e a usabilidade.

Microsoft Defender para a Cloud

O Microsoft Defender for Cloud ajuda-o a prevenir, detetar e responder a ameaças com maior visibilidade para (e controlar) a segurança dos seus recursos Azure, incluindo aplicações web. O Microsoft Defender for Cloud ajuda a detetar ameaças que de outra forma poderiam passar despercebidas. Funciona com várias soluções de segurança.

O Defender for Cloud's Free dispõe de uma segurança limitada apenas para os seus recursos Azure. O nível Defender for Cloud Standard alarga estas capacidades a recursos no local e outras nuvens. O Defender for Cloud Standard ajuda-o:

  • Encontrar e corrigir vulnerabilidades de segurança.
  • Aplicar controlos de acesso e aplicação para bloquear atividades maliciosas.
  • Detetar ameaças usando analítica e inteligência.
  • Responda rapidamente quando estiver sob ataque.

Passos seguintes

Nos seguintes artigos, recomendamos controlos de segurança e atividades que podem ajudá-lo a projetar e desenvolver aplicações seguras.