💪🏼 🦆 🐑 Microsoft Azure安全基础结构书 🐴 🐿️ 👩🏽‍🤝‍👨🏿

本书提供常规信息，设计注意事项，部署方案，最佳实践，技术调查结果以及说明，以帮助您编译有关Azure安全功能的全面介绍。

不需要Azure或PowerShell的专业知识。还假定读者具有企业级信息技术的经验，并且具有在数据中心工作的足够资格。

今天，我们出版本书第一章的一部分。您可以在此处免费下载完整版本。

云安全

在开始考虑本书的主要主题即Microsoft Azure安全基础结构之前，重要的是要了解可以在云中提供何种安全级别。为了找出为什么Azure云平台真正可靠的原因，您需要考虑许多影响云解决方案安全性的重要因素。云中的安全性是公司与云服务提供商之间共同努力的结果。本章讨论了关键因素，这些因素将帮助您了解云技术的局限性，责任和功能，以便以后用作您的业务的可靠平台。

影响云安全的重要因素

在开始全面实施云系统之前，对于组织负责人员而言，重要的是要了解云模型中安全性的工作方式。在开始计划之前，需要先建立这种理解。如果参与者对云中的安全功能不够熟悉，那么整个云部署项目的成功可能会受到威胁。

规划云技术的实施时，重要的是评估其安全性的以下方面：

合规
风险管理
身份和访问管理
操作安全
端点保护
资料保护

这些方面都需要注意。对单个问题的研究深度取决于您公司的特征：例如，医疗机构和制造企业的优先级可能相差很大。在以下各节中，我们将更详细地研究这些方面。

合规

每个组织都有特定的要求，当迁移到云时，重要的是不要违反它们。这些要求的来源可能是内部或外部规则，例如，强制性的行业标准。云服务提供商必须准备好帮助客户满足部署云的要求。在许多情况下，客户必须依靠云服务提供商来满足要求。

为了帮助客户满足当前要求，Microsoft使用以下三种方法。

初步计算需求
- 可靠的技术
- 投资合规流程
- 第三方认证
协助客户合规
- 透明性
- 选择
- 柔韧性
与各行各业的领先企业合作
- 标准制定
- 与立法和监管机构的合作

建议您与云服务提供商紧密合作，以分析组织应满足的需求以及云服务提供商所提供的满足他们的紧密程度。确保云服务提供商已经具有实施最安全，最可靠的云服务的经验，这一点也非常重要，该服务可提供最高的机密性和客户数据保护。

阅读更多：有关Microsoft如何帮助客户满足合规性要求的更多信息，请参阅本文。

风险管理

为了成功实施云系统，客户可以信任供应商基础架构安全系统非常重要。云服务提供商必须实施并严格执行Internet安全风险管理策略和程序。在云环境中管理风险时，重要的是要考虑其动态程度。

微软多年来一直成功地为客户提供在线服务。在这段时间内，开发了高效的流程，使您可以控制这些新风险。作为风险管理的一部分，云服务提供商必须执行以下任务：

识别环境漏洞和对其的威胁。
定量风险分析。
将有关风险的数据发布到云中。
基于对可能的后果及其对业务的影响的分析进行风险管理。
验证可能的对策的有效性并分析残留风险。
持续的风险管理。

客户与云服务提供商积极协作并要求他们确保流程的最大透明度非常重要。在这种情况下，客户将能够分析为应对风险而采取的措施，并评估它们与数据保密级别和组织所需的保护程度之间的对应关系。

身份和访问管理

在当今世界中，用户通常有机会在世界上任何地方使用各种设备进行工作，同时访问各种云服务。在这种情况下，用户身份的安全性变得尤为重要。当使用基于云的系统时，恰恰是身份成为“一个人”和“另一个人”之间的边界。身份是整个基础架构的控制平面，无论是本地还是云。身份用于控制从任何设备对任何服务的访问，并允许您跟踪和分析数据使用的功能。

为了在组织中实施云技术，有必要熟悉管理身份和访问的可用功能，并了解这些方法将如何使您与现有的本地基础架构进行交互。在规划身份和访问管理时，重要的是要考虑以下因素：

身份准备
- 身份准备要求取决于所使用的云计算模型：软件即服务（SaaS），平台即服务（PaaS）或基础架构即服务（IaaS）。
- 评估使用现有本地基础结构安全地自动执行身份准备的功能。
联合会
- 分析可用的方法以及将这些方法与您现有的本地基础结构集成的可能性。
单点登录（SSO）
- 查看您组织的SSO要求以及将SSO与您的应用程序集成的可能性。
个人资料管理
- 查看云服务提供商提供的可用解决方案选项及其对组织的适用性。
门禁控制
- 评估您的云服务提供商提供的数据访问控制功能。
- 实施基于角色的访问控制（RBAC）。

操作安全

对于正在过渡到云技术的组织，重要的是相应地调整内部流程，包括安全监控，审核，事件响应和法医检查。基于云的平台应使IT管理员能够实时监视服务状态，以监视其运行状况并快速从故障中恢复。

您必须确保根据云服务提供商和客户端组织之间的服务级别协议（SLA）监视和维护所有部署的服务。下面列出了影响云安全性的其他因素。

在此过程中培训组织的员工。
实施行业标准和操作规范，例如NIST SP 800-531。
根据行业标准（例如NIST SP 800-612）管理安全信息。
使用云服务提供商提供的威胁分析。
不断更新控制和风险管理以提高运营安全性。

端点保护

云服务提供商基础设施安全性不是决定云安全性的唯一因素。在本章的后面，我们将考虑分布式责任的概念。其方面之一是，在实施云技术时，要求组织提供端点安全性。在公司中引入云系统时，建议增加端点的安全性，因为在这种过渡之后，它们将更经常地打开外部连接并访问可以由其他云服务提供商托管的更多应用程序。

攻击的主要目标是用户，用户通常通过使用端点来接收信息。用户的工作计算机，智能手机以及可用来访问云资源的任何其他设备都是端点。攻击者知道，用户是安全链中最薄弱的环节，并且他们正在不断改进社交工程方法（例如，网络钓鱼电子邮件），其任务是迫使用户执行危害端点的操作。在将端点安全性设计为整体云安全性策略的一部分时，建议您遵循以下准则。

使您的端点软件保持最新。
在端点上启用自动签名更新。
监视对软件更新源的访问。
确保最终用户没有本地管理员特权。
仅向用户提供工作所需的最低特权，并使用基于角色的管理。
快速响应来自端点的通知。

注意一下保护特权访问是确保业务安全的关键步骤。我们建议您阅读aka.ms/cyberpaw上有关特权访问工作站（PAW）的文章，并详细了解Microsoft保护最有价值资产的方法。

资料保护

从安全角度来看，将数据移至云的最终目标是保护数据，无论其位于何处。数据传输过程包括几个阶段。该步骤由数据在特定时间点的位置确定。参见图中的图：

该图显示了以下步骤：

数据存储在用户设备上。数据位于端点，可以是任何设备。必须确保存储在用于商业目的的用户设备（BYOD脚本）上以及公司设备上的数据必须进行加密。
数据从用户的设备传输到云。数据离开用户设备时必须受到保护。有许多技术可用于帮助保护不受位置限制的数据，例如Azure Rights Management。数据通道必须加密。应该强制使用诸如TLS之类的适当技术。
数据存储在云服务提供商的数据中心中。当数据到达云服务提供商的服务器时，存储基础架构必须提供冗余和保护。确保准确找出云服务提供商在存储期间如何实施数据加密，由谁负责密钥管理以及如何确保数据冗余。
数据从云传输到本地环境。在这种情况下，适用于第2阶段的建议，必须同时对文件本身和传输层进行加密。
数据存储在本地环境中。保护本地环境中的数据是客户的任务。实施的关键阶段是对存储在公司数据中心中的数据进行加密。您的基础架构必须提供必要级别的加密，数据冗余和密钥管理。

影响云安全的重要因素
随着云技术的使用，其他原则也开始应用。云服务与具有共享访问时间的本地虚拟机和大型机有多种不同的方式，包括可伸缩性，速度和体系结构。因此，对它们的处理方法应该有所不同。与云服务提供商合作时（例如，在使用Azure时），建议您考虑以下问题。

精心设计的云服务使您可以在几分钟或几小时内使机器投入运行或停止使用它们。这种类型的许多服务可以应付高峰负载，比正常情况下的正常运行高出十倍以上。现在，软件开发非常迅速，每周（甚至每天）进行代码更改已成为常态。因此，必须在工作服务的基础上进行测试，但不得使用机密工作数据。对于任何过渡到使用云技术的组织，重要的是与云服务提供商建立信任关系，并使用所有可用工具确定并相互遵守这些关系中相互接受的要求。

有时我会给我的朋友们以下的例子。如果在90年代我需要一个十几个服务器用于一个新项目，则可能需要4到6个月来制定计划，订购，交付，放置，连接，配置和部署计划，然后团队才能开始测试该服务的工作版本。。如今，借助Azure，我可以在30分钟内仅用电话即可完成此操作。

吉姆·莫利尼
C + E安全高级程序经理

责任分工

在传统的数据中心中，IT公司本身负责基础结构的各个方面。自从现代客户端-服务器体系结构问世以来（甚至在大型机时代更早），本地计算环境就是这样工作的。如果网络，存储或计算系统无法正常运行，则必须由IT公司确定原因并解决问题。

对于安全部门，情况相似。安全部门与IT部门合作，共同为IT基础架构的组件提供保护。该公司的安全部门设定了要求，并与IT部门进行了讨论，并确定了IT基础架构和操作员可以实施的管理工具。此外，安全部门制定标准并定期审核基础结构以确保符合这些标准。

对于位于本地环境之外的数据中心，所有这一切仍然有效。但是，随着基于公共云的计算环境的到来，IT和安全部门有了新的合作伙伴-云服务提供商。这样的提供商具有自己的IT基础架构，并且需要确保其符合安全性和可管理性要求。

这意味着您不仅需要准备并考虑自己的安全要求，而且还需要具有足够的功能来监视云服务提供商的安全基础结构并跟踪其中的操作。进行此类监视所需的功能取决于贵公司在服务提供商的基础架构中使用的云安全性模型。

云计算

在本节中，我们将简要回顾云计算的主题，以便从有关与云相关和不与云相关的一般思想出发。本节将帮助您了解安全性如何在云中工作，熟悉的数据中心中使用的哪些方法仍然有效以及哪些已更改。

NIST发布的云定义

一段时间以来，术语“云计算”一直没有正式定义。当然，具有“云”下的行业经验的人会理解互联网。对于某些人而言，云计算的本质恰恰是通过Internet提供服务。

一些分析人员使用术语效用计算（“作为效用服务进行计算”），因此将重点放在服务交付的模型上。在公共模型中，每个人都有一定的机会。根据使用的资源量收取费用。这非常类似于个人的电力和天然气消耗。

来自许多国家的主管部门和公司目前正在使用NIST发布的云计算定义。他们认为这是最可靠和有用的。 NIST是美国国家标准技术研究所。

NIST已发布了云计算的“五个基本特征”，并定义了云服务模型和云部署。这些表述对云计算的本质有极大的了解。

该图显示了五个基本功能，云服务模型和云部署模型。

云计算功能

NIST强调了云计算的以下五个基本特征：

可根据要求提供自助餐。 云平台向云服务消费者提供必要资源而无需与他们进行任何交互的能力。实现这种机会的一个示例：消费者填写指示其资源需求的Web表单，然后云服务提供商选择必要的表单。
广泛的网络访问。 具有从世界上几乎任何地方通过任何设备访问云资源的能力。请务必注意，强大的网络访问功能是云计算定义的一部分，提供这种访问权限是成功部署的重要条件。但是该段并不意味着访问应该始终对所有人开放。阅读本书时，您将了解访问控制是任何云系统的关键部分。
支持快速更改。这意味着云服务的使用者可以根据需要快速获取云资源，然后在这种需求消失时将它们返回到共享云资源池中。云服务的设计使消费者可以快速接收和返回资源。从客户的角度来看，可以从云中获取的资源数量实际上是无限的。如果云服务的消费者认为他很快将需要更多资源，则可以向供应商请求它们以应对即将到来的负载。从消费者的角度来看，这种动态弹性是基于无限资源的。
. (). , . , , . . ( .)
. , — , , , , ( ). , — , .

, NIST, . , . , .

:

(laaS). , . , , . , laaS , .
(PaaS). , « », . , ( , ) (, -), , . ( ) , .
(SaaS). « ». , . « » , . Microsoft Exchange Server ( ) Microsoft SharePoint ( ). .

NIST :

. , . — , . , . , — : . .
. - . — ( ). , , , NIST ( ). ( , — , , ).

? , - .
. . — , . — .

, -, . - , — . — , VPN- WAN-.
. , . — , , .

Azure

, . Azure . Azure , Security Development Lifecycle (SDL), « ». Azure , .

Azure : , , , . 1-4 Azure.

— . , Azure. . , , Azure. , - .

. Azure (RBAC). RBAC : azure.microsoft.com/documentation/articles/role-based-access-control-configure.

, , Azure. Azure , . , , .

( , ). Azure — , . , Azure.

, , , Azure. , (, -), (ACL). , (NSG).

. Azure Active Directory 2, « Azure». 3, « Azure».

, Azure Azure. Microsoft. — , . — (SLA).

您可以免费下载本书的完整版本，并在下面的链接中进行研究。

→ 下载

Microsoft Azure安全基础结构书

目录

云安全