पेंटिंग अज़्योर - क्लाउड कंप्यूटिंग में सुरक्षा पर विचार

कुछ महीने पहले मैंने एक ग्राहक के साथ काम किया था कि कैसे एक टीम को उनके एज़्योर कार्यान्वयन की सुरक्षा का मूल्यांकन करना चाहिए। मैंने पहले कभी एक एज़्योर एप्लिकेशन पर एक पेन्टेस्ट (व्यापक सुरक्षा परीक्षण) नहीं किया था, इसलिए ये विचार उस समय मेरे सिर के ऊपर के विचार थे जो सुरक्षा में मेरे अनुभव के आधार पर थे।

मैट बुरुज़ की किताब, पेन्टिंग अज़ुरे एप्लीकेशन एस, और भी गहरी हो जाती है और क्लाउड कम्प्यूटिंग में केंद्रित सुरक्षा विशेषज्ञों के लिए इसे अवश्य पढ़ा जाना चाहिए, मैं इसे अभी पढ़ रहा हूं।

नीचे मैं आपके साथ इन प्री-बुक विचारों को साझा करता हूं, और भविष्य के लेख में उनकी तुलना उन लोगों के साथ करूंगा जो मैं मैट की किताब पढ़ने के बाद सीखूंगा या पुष्टि करूंगा।

मूल पर मध्यम

तो यहाँ Azure सुरक्षा पर विचार की सूची है जो मुझे मैट की किताब पढ़ने से पहले मिली थी। अन्य चीजों के बारे में नीचे टिप्पणी करने के लिए स्वतंत्र महसूस करें Azure उपयोगकर्ताओं को यह सुनिश्चित करने के लिए जाँच करनी चाहिए कि उनकी Azure तैनाती सुरक्षित है।

1. एज़्योर इन्फ्रास्ट्रक्चर का परीक्षण न करें। यह Azure के लिए उपयोगकर्ता अनुबंध का उल्लंघन है और आपको Microsoft के साथ गर्म पानी में मिलेगा। ऐसा कोई नहीं चाहता।
2. केवल उन चीजों का परीक्षण करने के लिए सावधान रहें जो आपके ग्राहक के लिए SCOPE में हैं।
3. क्या Azure Security Center चालू है? यदि नहीं, तो इसे चालू करें । मैं ए.एस.सी.
4. क्या सभी सदस्यताएँ / उप-सदस्यताएँ इस पर हैं? क्या आपके पास पूरा कवरेज है? यदि नहीं, तो निश्चित रूप से इसकी रिपोर्ट करें।
5. क्या कोई नीति निर्धारित है (जो सेटिंग्स ने "सुरक्षित" के रूप में चुना है, जैसे कि सभी भंडारण को आराम से एन्क्रिप्ट किया जाना चाहिए)? यदि हां, तो सेटिंग्स क्या हैं? क्या वे अच्छे दिखते हैं? इसके अलावा, उनके पास किस स्तर का अनुपालन है? जो कुछ भी आज्ञाकारी नहीं है, उन्हें सूचित किया जाना चाहिए।
6. क्या खतरा संरक्षण (भंडारण और डेटाबेस केवल), निगरानी और ऑडिटिंग हर संभव संसाधन पर सेट है? यदि नहीं, तो रिपोर्ट करें।
7. नेटवर्क को देखो, उसी तरह से आप एक पारंपरिक नेटवर्क को देखेंगे, क्या कुछ भी बाहर है? इसके अलावा, क्या वे ज़ोनिंग या ज़ीरो-ट्रस्ट या कुछ और कर रहे हैं? वे किस नेटवर्क सुरक्षा मॉडल का उपयोग कर रहे हैं? सुनिश्चित करें कि वे अपनी योजना के अनुरूप हैं। उनसे पूछें कि उनके नेटवर्क को शुरू करने के लिए उनकी योजना क्या है। यदि उनके पास कोई उत्तर नहीं है, तो यह पूरी तरह से एक और मुद्दा है।
8. क्या उनके पास सभी सर्वरों / वीएम पर सभी बंदरगाहों पर "बस समय" (जेआईटी) स्थापित है? या वे एज़्योर के बाहर से वीएम को एक्सेस करने के लिए जंपबॉक्स का उपयोग कर रहे हैं? या कि बिल्कुल भी अनुमति नहीं है? उन्हें * सब कुछ * के लिए जेआईटी और नेटवर्क सिक्योरिटी ग्रुप्स (एनएसजी) का इस्तेमाल करना चाहिए।
9. क्या उनके पास वीएम पर ऐप वाइटलाईस्टिंग सक्षम है? इसे Adaptive Application Controls कहा जाता है, और यह JIT के ठीक नीचे सुरक्षा केंद्र (ASC) मेनू में, "उन्नत सुरक्षा रक्षा" के तहत है। उन्हें * सभी * सर्वरों के लिए चालू होना चाहिए।
10. क्या वे एक CRM (सुरक्षा घटना और घटना प्रबंधन प्रणाली) का उपयोग कर रहे हैं? क्या वे इसका अच्छी तरह से उपयोग कर रहे हैं? क्या वे इसकी निगरानी कर रहे हैं? यह किस तरह का कवरेज मिल रहा है? क्या ASC इसमें फीड करता है? यह होना चाहिए।
11. वे एक WAF (वेब ​​अनुप्रयोग फ़ायरवॉल) का उपयोग कर रहे हैं? यदि हां, तो इसका परीक्षण करें। यदि वे नहीं हैं, तो इसे सुधार के लिए सलाह के रूप में चिह्नित करें।
12. कोई अन्य तृतीय पक्ष सुरक्षा उपकरण (IPS / IDS / HIPS / अन्य)? यदि हां, तो क्या उन सभी संपत्तियों की पूरी कवरेज मिल रही है जो इस परीक्षण द्वारा कवर की गई हैं? और क्या वे अच्छी तरह से कॉन्फ़िगर किए गए हैं?
13. Azure Security Center की "अनुशंसाएँ" टैब में देखें और यह आपको सभी समस्याएं (नेटवर्क समस्याएँ, कॉन्फ़िगरेशन त्रुटियां, लापता पैच, और अधिक) बताएगा जो आपने अभी तक देखा नहीं है। वास्तव में, आप यहाँ शुरू कर सकते हैं। यह सब कुछ की एक सूची है जो महत्व के क्रम में आपकी नीति के अनुरूप नहीं है।
14. यदि आप Azure, API और फ़ंक्शन (सर्वर रहित) के भीतर वेब ऐप्स का आकलन कर रहे हैं, तो यह एक संपूर्ण विषय है, लेकिन सभी नियमित सुरक्षा परीक्षण नियम लागू होंगे, Azure या नहीं।
15. यदि आपका org Azure DevOps का उपयोग कर रहा है, तो मेरा सुझाव है कि अपनी पाइपलाइन में Azure Secure DevOps Kit सहित कई सुरक्षा परीक्षण जोड़ें। यह सख्त है; आप संभवतः पहले कुछ समय के आस-पास से नहीं गुजरेंगे, इसलिए अपने डेवलपर्स को थोड़ी निराशा के लिए तैयार करें। एज़्योर मार्केटप्लेस में महान सुरक्षा उपकरणों का एक टन है, कुछ जोड़ें, एक पर्याप्त नहीं है।
16. Azure थ्रेट प्रोटेक्शन के भाग के रूप में SQL DataBases के लिए VA चालू करें, और यदि कुछ भी हो रहा है तो यह देखने के लिए तुरंत स्कैन को बंद करें। यह संभवतः आपके लिए बहुत सारी सलाह होगी।
17. सुरक्षा केंद्र के खतरे का पता लगाने वाले भाग में देखें, सत्यापित करें कि कोई सक्रिय हमले नहीं हो रहे हैं या हाल ही में हुए हैं, तदनुसार जांच करें।

मैट बुरुज़ की किताब पढ़ने के बाद और अधिक (और बेहतर तरीके से) सलाह के लिए बने रहें!