Целостность инфраструктуры Azure

  • Статья

Установка программного обеспечения

Все компоненты стека программного обеспечения, установленные в среде Azure, специально созданы в соответствии с процессом жизненного цикла разработки защищенных приложений (Майкрософт) (SDL). Все компоненты программного обеспечения (включая образы операционной системы и Базу данных SQL) развертываются в рамках процесса управления изменениями и выпусками. Операционная система, которая работает на всех узлах, является настроенной версией. Точный номер версии выбирается контроллером структуры (FC) в соответствии с ролью, которую должна играть ОС. Кроме того, ОС узла не разрешает установку несанкционированных программных компонентов.

Некоторые компоненты Azure были развернуты в качестве клиентов Azure в гостевой виртуальной машине под управлением гостевой ОС.

Поиск вирусов в сборках

Сборки компонентов программного обеспечения Azure (включая ОС) должны пройти проверку на вирусы с помощью антивирусной программы Endpoint Protection. В ходе каждой проверки на вирусы создается журнал в соответствующем каталоге сборки с подробным описанием компонентов и результатов проверки. Проверка на вирусы входит в исходный код сборки для всех компонентов в Azure. Код не перемещается в рабочую среду без чистого и успешного сканирования на вирусы. Если проблемы отмечены, сборка зависает. Сборка передается группам безопасности в Microsoft Security, чтобы определить, где в сборку вошел "мошеннический" код.

Закрытые и заблокированные среды

По умолчанию на узлах инфраструктуры Azure и гостевых виртуальных машинах не созданы учетные записи пользователей. Кроме того, учетные записи администраторов Windows по умолчанию также отключены. Администраторы динамической поддержки Azure могут при надлежащей проверке подлинности входить на эти компьютеры и администрировать рабочую сеть Azure для аварийного восстановления.

Проверка подлинности для базы данных SQL Azure

Как и в любой реализации SQL Server, управление учетными записями пользователей нужно жестко контролировать. База данных SQL Azure поддерживает только аутентификацию SQL Server. Чтобы дополнить модель безопасности данных клиента, следует использовать учетные записи пользователей с надежными паролями и определенными правами.

Списки управления доступом и брандмауэры между корпоративной сетью Майкрософт и кластером Azure

Списки управления доступом (ACL) или брандмауэр между платформой служб и корпоративной сетью Майкрософт защищают экземпляры Базы данных SQL от несанкционированного доступа. Кроме того, только пользователи из диапазонов IP-адресов из корпоративной сети Майкрософт имеют доступ к конечной точке управления платформой Windows Fabric.

Списки управления доступом и брандмауэры между узлами в кластере Базы данных SQL

В рамках стратегии глубинной защиты списки управления доступом и брандмауэр были реализованы между узлами в кластере База данных SQL. Все обмен данными в кластере Windows Fabric платформы и весь выполняемый код являются доверенными.

Пользовательские агенты мониторинга

База данных SQL использует пользовательские агенты мониторинга, называемые модулями наблюдения, для наблюдения за работоспособностью кластера Базы данных SQL.

Веб-протоколы

Мониторинг и перезапуск экземпляров роли

Azure гарантирует, что все развернутые, работающие роли (веб-роли или рабочие роли серверной обработки) будут подвергаться постоянному мониторингу работоспособности. Мониторинг работоспособности гарантирует, что они эффективно и эффективно предоставляют службы, для которых они были подготовлены. Если роль становится неработоспособной в результате критического сбоя в размещаемом приложении или проблемы конфигурации в самом экземпляре роли, FC обнаружит ошибки в экземпляре роли и инициирует исправление состояния.

Возможность подключения к вычислительным ресурсам

Azure гарантирует, что развернутые приложения и службы доступны с помощью стандартных веб-протоколов. Виртуальные экземпляры веб-роли с выходом в Интернет имеют подключение к Интернету и доступны веб-пользователям напрямую. Для защиты конфиденциальности и целостности операций, выполняемых рабочими ролями от имени общедоступных виртуальных экземпляров веб-роли, виртуальные экземпляры рабочих ролей серверной обработки имеют внешнее подключение к Интернету, но не могут быть доступны напрямую внешним веб-пользователям.

Дальнейшие действия

Дополнительные сведения о действиях корпорации Майкрософт в сфере защиты инфраструктуры Azure приведены в следующих статьях: