Key Vault için Azure güvenlik temeli - Yönetilen HSM
Bu güvenlik temeli, Microsoft bulut güvenliği karşılaştırması sürüm 1.0'dan Key Vault - Yönetilen HSM'ye yönergeleri uygular. Microsoft bulut güvenliği karşılaştırması, Azure'da bulut çözümlerinizin güvenliğini nasıl sağlayabileceğinize ilişkin öneriler sağlar. İçerik, Microsoft bulut güvenliği karşılaştırması tarafından tanımlanan güvenlik denetimlerine ve Key Vault - Yönetilen HSM için geçerli olan ilgili kılavuza göre gruplandırılır.
Bulut için Microsoft Defender kullanarak bu güvenlik temelini ve önerilerini izleyebilirsiniz. Azure İlkesi tanımları, Bulut için Microsoft Defender portalı sayfasının Mevzuat Uyumluluğu bölümünde listelenir.
Bir özelliğin ilgili Azure İlkesi Tanımları olduğunda, Bunlar Microsoft bulut güvenliği karşılaştırma denetimleri ve önerileriyle uyumluluğu ölçmenize yardımcı olmak için bu temelde listelenir. Bazı öneriler, belirli güvenlik senaryolarını etkinleştirmek için ücretli bir Microsoft Defender planı gerektirebilir.
Not
Key Vault için geçerli olmayan özellikler - Yönetilen HSM hariç tutuldu. Key Vault - Yönetilen HSM'nin Microsoft bulut güvenliği karşılaştırmasına nasıl tamamen eşlediğini görmek için tam Key Vault - Yönetilen HSM güvenlik temeli eşleme dosyasına bakın.
Güvenlik profili
Güvenlik profili, Key Vault - Yönetilen HSM'nin yüksek etkili davranışlarını özetler ve bu da güvenlikle ilgili dikkat edilmesi gereken noktaların artmasına neden olabilir.
Hizmet Davranışı Özniteliği | Değer |
---|---|
Ürün Kategorisi | Güvenlik |
Müşteri HOST / işletim sistemine erişebilir | Erişim Yok |
Hizmet müşterinin sanal ağına dağıtılabilir | Yanlış |
Bekleyen müşteri içeriğini depolar | Doğru |
Ağ güvenliği
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Ağ güvenliği.
NS-1: Ağ segmentasyon sınırları oluşturma
Özellikler
Sanal Ağ Tümleştirmesi
Açıklama: Hizmet, müşterinin özel Sanal Ağ (VNet) dağıtımı destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
Ağ Güvenlik Grubu Desteği
Açıklama: Hizmet ağ trafiği, alt ağlarında Ağ Güvenlik Grupları kural atamasına saygı gösterir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
NS-2: Ağ denetimleriyle bulut hizmetlerinin güvenliğini sağlama
Özellikler
Azure Özel Bağlantı
Açıklama: Ağ trafiğini filtrelemek için hizmet yerel IP filtreleme özelliği (NSG veya Azure Güvenlik Duvarı ile karıştırılmamalıdır). Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Kaynaklar için özel bir erişim noktası oluşturmak üzere Özel Bağlantı özelliğini destekleyen tüm Azure kaynakları için özel uç noktaları dağıtın.
Başvuru: Yönetilen HSM'yi Azure Özel Bağlantı ile tümleştirme
Genel Ağ Erişimini Devre Dışı Bırak
Açıklama: Hizmet, hizmet düzeyi IP ACL filtreleme kuralı (NSG veya Azure Güvenlik Duvarı değil) veya 'Genel Ağ Erişimini Devre Dışı Bırak' iki durumlu anahtarı kullanarak genel ağ erişimini devre dışı bırakmayı destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Genel ağ erişimi için anahtarı değiştirerek genel ağ erişimini devre dışı bırakın.
Başvuru: Yönetilen HSM'yi Azure Özel Bağlantı ile tümleştirme
Bulut izleme için Microsoft Defender
yerleşik tanımları Azure İlkesi - Microsoft.KeyVault:
Name (Azure portal) |
Description | Efekt | Sürüm (GitHub) |
---|---|---|---|
Azure Key Vault güvenlik duvarı etkinleştirilmelidir | Anahtar kasasına varsayılan olarak genel IP'ler tarafından erişilmemesi için anahtar kasası güvenlik duvarını etkinleştirin. İsteğe bağlı olarak, bu ağlara erişimi sınırlamak için belirli IP aralıklarını yapılandırabilirsiniz. Daha fazla bilgi için: https://docs.microsoft.com/azure/key-vault/general/network-security | Denetim, Reddetme, Devre Dışı | 3.2.1 |
Kimlik yönetimi
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Kimlik yönetimi.
IM-1: Merkezi kimlik ve kimlik doğrulama sistemini kullanma
Özellikler
veri düzlemi erişimi için gerekli Azure AD kimlik doğrulaması
Açıklama: Hizmet, veri düzlemi erişimi için Azure AD kimlik doğrulamasının kullanılmasını destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Doğru | Microsoft |
Yapılandırma Kılavuzu: Varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.
Başvuru: Yönetilen HSM erişim denetimi
Veri Düzlemi Erişimi için Yerel Kimlik Doğrulama Yöntemleri
Açıklama: Yerel kullanıcı adı ve parola gibi veri düzlemi erişimi için desteklenen yerel kimlik doğrulama yöntemleri. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
IM-3: Uygulama kimliklerini güvenli ve otomatik olarak yönetme
Özellikler
Yönetilen Kimlikler
Açıklama: Veri düzlemi eylemleri, yönetilen kimlikleri kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Doğru | Microsoft |
Yapılandırma Kılavuzu: Varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.
Başvuru: Yönetilen HSM'lerinize güvenli erişim
Hizmet Sorumluları
Açıklama: Veri düzlemi, hizmet sorumlularını kullanarak kimlik doğrulamayı destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Doğru | Microsoft |
Yapılandırma Kılavuzu: Varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.
Başvuru: Yönetilen HSM Access Control
IM-7: Koşullara göre kaynak erişimini kısıtlama
Özellikler
Veri Düzlemi için Koşullu Erişim
Açıklama: Veri düzlemi erişimi Azure AD Koşullu Erişim İlkeleri kullanılarak denetlenebilir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: İş yükünde Azure Active Directory (Azure AD) koşullu erişimi için geçerli koşulları ve ölçütleri tanımlayın. Belirli konumlardan erişim engelleme veya erişim verme, riskli oturum açma davranışını engelleme veya belirli uygulamalar için kuruluş tarafından yönetilen cihazlar gerektirme gibi yaygın kullanım durumlarını göz önünde bulundurun.
IM-8: Kimlik bilgilerinin ve gizli dizilerin açığa çıkarmasını kısıtlama
Özellikler
Azure Key Vault'de Hizmet Kimlik Bilgileri ve Gizli Diziler Tümleştirme ve Depolama Desteği
Açıklama: Veri düzlemi, kimlik bilgileri ve gizli dizi deposu için Azure Key Vault yerel kullanımını destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Özellik notları: Yönetilen HSM yalnızca HSM destekli anahtarları destekler.
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
Ayrıcalıklı erişim
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Ayrıcalıklı erişim.
PA-1: Yüksek ayrıcalıklı/yönetici kullanıcıları ayırın ve sınırlayın
Özellikler
Yerel Yönetici Hesapları
Açıklama: Hizmet, yerel yönetim hesabı kavramına sahiptir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
PA-7: Yeterli yönetim (en az ayrıcalık) ilkesini izleyin
Özellikler
Veri Düzlemi için Azure RBAC
Açıklama: Hizmetin veri düzlemi eylemlerine yönetilen erişim için Azure Role-Based Access Control (Azure RBAC) kullanılabilir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Özellik notları: Azure Key Vault Yönetilen HSM, yalnızca yönetim düzlemi işlemleri için Azure AD RBAC'i destekler. Veri düzlemi rol tabanlı erişim, Yönetilen HSM yerel RBAC aracılığıyla gerçekleşir.
Daha fazla bilgi için lütfen şu adresi ziyaret edin: Yönetilen HSM rol yönetimi
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
Veri koruma
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Veri koruma.
DP-3: Aktarımdaki hassas verileri şifreleme
Özellikler
AktarımDaki Veriler Şifrelemesi
Açıklama: Hizmet, veri düzlemi için aktarım sırasında veri şifrelemesini destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Doğru | Microsoft |
Yapılandırma Kılavuzu: Varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.
DP-4: Bekleyen şifrelemedeki verileri varsayılan olarak etkinleştirme
Özellikler
Platform Anahtarlarını Kullanarak Bekleyen Verileri Şifreleme
Açıklama: Platform anahtarları kullanılarak bekleyen veriler desteklenir, bekleyen tüm müşteri içeriği bu Microsoft tarafından yönetilen anahtarlarla şifrelenir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Doğru | Microsoft |
Yapılandırma Kılavuzu: Varsayılan dağıtımda etkinleştirildiğinden ek yapılandırma gerekmez.
Başvuru: Azure Key Vault Yönetilen HSM – Bulutta verilerinizi denetleme
DP-5: Gerektiğinde bekleyen şifrelemede verilerde müşteri tarafından yönetilen anahtar seçeneğini kullanın
Özellikler
CMK Kullanarak Bekleyen Verileri Şifreleme
Açıklama: Müşteri tarafından yönetilen anahtarlar kullanılarak bekleyen veriler, hizmet tarafından depolanan müşteri içeriği için desteklenir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Azure Key Vault, müşteri tarafından yönetilen anahtar (CMK) şifrelemesi için anahtarlarınızı depoladığınız yerdir. Yönetilen HSM yalnızca HSM destekli anahtarları destekler.
Başvuru: Yönetilen HSM Güvenlik Etki Alanı Hakkında
DP-6: Güvenli bir anahtar yönetim işlemi kullanma
Özellikler
Azure Key Vault'de Anahtar Yönetimi
Açıklama: Hizmet tüm müşteri anahtarları, gizli diziler veya sertifikalar için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Anahtar kasasında anahtar yaşam döngünüzü güvenli bir şekilde yönetmek için Azure Key Vault en iyi yöntemlerini izleyin.
Yönetilen HSM kullanırken en iyi yöntemler
Başvuru: Azure Key Vault Yönetilen HSM – Bulutta verilerinizi denetleme
Bulut izleme için Microsoft Defender
yerleşik tanımları Azure İlkesi - Microsoft.KeyVault:
Name (Azure portal) |
Description | Efekt | Sürüm (GitHub) |
---|---|---|---|
Key Vault anahtarların son kullanma tarihi olmalıdır | Şifreleme anahtarlarının tanımlı bir sona erme tarihi olmalıdır ve kalıcı olmamalıdır. Süresiz olarak geçerli olan anahtarlar, potansiyel bir saldırgana anahtarın güvenliğini aşmak için daha fazla zaman sağlar. Şifreleme anahtarlarında son kullanma tarihlerini ayarlamak önerilen bir güvenlik uygulamasıdır. | Denetim, Reddetme, Devre Dışı | 1.0.2 |
DP-7: Güvenli bir sertifika yönetim işlemi kullanma
Özellikler
Azure Key Vault'de Sertifika Yönetimi
Açıklama: Hizmet, tüm müşteri sertifikaları için Azure Key Vault tümleştirmesini destekler. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Özellik notları: Yönetilen HSM yalnızca HSM destekli anahtarları destekler.
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
Bulut izleme için Microsoft Defender
yerleşik tanımları Azure İlkesi - Microsoft.KeyVault:
Name (Azure portal) |
Description | Efekt | Sürüm (GitHub) |
---|---|---|---|
Sertifikalar belirtilen en yüksek geçerlilik süresine sahip olmalıdır | Bir sertifikanın anahtar kasanızda geçerli olabileceği en uzun süreyi belirterek kurumsal uyumluluk gereksinimlerinizi yönetin. | denetim, Denetim, reddetme, Reddetme, devre dışı, Devre dışı | 2.2.1 |
Varlık yönetimi
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Varlık yönetimi.
AM-2: Yalnızca onaylanan hizmetleri kullanın
Özellikler
Azure İlkesi Desteği
Açıklama: Hizmet yapılandırmaları Azure İlkesi aracılığıyla izlenebilir ve zorunlu kılınabilir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Azure kaynaklarınızın yapılandırmalarını denetlemek ve zorunlu kılmak üzere Azure İlkesi yapılandırmak üzere Bulut için Microsoft Defender kullanın. Kaynaklarda bir yapılandırma sapması algılandığında uyarılar oluşturmak için Azure İzleyici'yi kullanın. Azure kaynakları arasında güvenli yapılandırmayı zorlamak için Azure İlkesi [deny] ve [deploy if not exists] efektlerini kullanın.
Günlüğe kaydetme ve tehdit algılama
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Günlüğe kaydetme ve tehdit algılama.
LT-1: Tehdit algılama özelliklerini etkinleştirme
Özellikler
Hizmet için Microsoft Defender / Ürün Teklifi
Açıklama: Hizmet, güvenlik sorunlarını izlemek ve uyarı vermek için teklife özgü bir Microsoft Defender çözümüne sahiptir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
LT-4: Güvenlik araştırması için günlüğe kaydetmeyi etkinleştirme
Özellikler
Azure Kaynak Günlükleri
Açıklama: Hizmet, hizmete özgü gelişmiş ölçümler ve günlükler sağlayabilen kaynak günlükleri oluşturur. Müşteri bu kaynak günlüklerini yapılandırabilir ve depolama hesabı veya log analytics çalışma alanı gibi kendi veri havuzuna gönderebilir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Hizmet için kaynak günlüklerini etkinleştirin. Örneğin, Key Vault bir anahtar kasasından gizli dizi alan eylemler için ek kaynak günlüklerini destekler ve Azure SQL veritabanına yönelik istekleri izleyen kaynak günlükleri vardır. Kaynak günlüklerinin içeriği Azure hizmetine ve kaynak türüne göre değişir.
Başvuru: Azure Yönetilen HSM Günlüğü
Yedekleme ve kurtarma
Daha fazla bilgi için bkz. Microsoft bulut güvenliği karşılaştırması: Yedekleme ve kurtarma.
BR-1: Düzenli otomatik yedeklemelerden emin olun
Özellikler
Azure Backup
Açıklama: Hizmet, Azure Backup hizmeti tarafından yedeklenebilir. Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Yanlış | Geçerli değil | Geçerli değil |
Yapılandırma Kılavuzu: Bu özellik, bu hizmetin güvenliğini sağlamak için desteklenmez.
Hizmet Yerel Yedekleme Özelliği
Açıklama: Hizmet kendi yerel yedekleme özelliğini destekler (Azure Backup kullanmıyorsa). Daha fazla bilgi edinin.
Destekleniyor | Varsayılan Olarak Etkin | Yapılandırma Sorumluluğu |
---|---|---|
Doğru | Yanlış | Müşteri |
Yapılandırma Kılavuzu: Bu özellik yapılandırması için geçerli bir Microsoft kılavuzu yoktur. Lütfen kuruluşunuzun bu güvenlik özelliğini yapılandırmak isteyip istemediğini gözden geçirin ve belirleyin.
Başvuru: Tam yedekleme ve geri yükleme
Sonraki adımlar
- Bkz. Microsoft bulut güvenliği karşılaştırması genel bakış
- Azure güvenlik temelleri hakkında daha fazla bilgi edinin