Azure平台旨在提供安全性并满足所有开发人员要求。 了解如何使用内置服务安全地存储应用程序数据，以便只有授权的服务和客户端才能访问此数据。
引言
安全性是任何体系结构中最重要的方面之一。 保护业务和客户数据至关重要。 数据泄漏会破坏公司的声誉并造成重大的财务损失。 在本模块中，我们将讨论开发云环境时的基本体系结构安全性问题。
通过探索优先考虑安全性的云解决方案的开发，我们将看到一个虚拟的Azure用户如何在实践中使用这些原则。
Lamna Healthcare是国家医疗保健提供者。 他的IT部门最近开始将他的大多数IT系统移至Azure。 该组织使用具有各种体系结构和技术平台的自己的应用程序，开源应用程序和标准应用程序。 我们将学习在不损害安全性的前提下将系统和数据传输到云所需要做的事情。
注意事项
尽管本模块中讨论的概念并不详尽，但它们包括一些与在云中创建解决方案有关的重要概念。 Microsoft发布了广泛的模板，指南和示例，用于在Azure平台上开发应用程序。 强烈建议您在规划和设计体系结构之前，先查看Azure体系结构中心中的内容。
学习目标
在本模块中，您将学习如何执行以下任务：
- 了解如何使用深度保护来确保架构安全。
- 了解如何保护身份。
- 找出可用哪些技术来保护您的Azure基础结构。
- 了解如何以及在何处使用加密来保护您的数据。
- 了解如何保护网络级架构。
- 了解如何使用应用程序安全性准则将安全性措施集成到您的应用程序中。
深度保护
不能解决所有威胁，也不能解决所有问题。 假设Lamna Healthcare失去了安全感。 显然，这一领域应重点关注。 Lamna员工不知道从哪里开始，以及是否有可能购买解决方案以确保安全的环境。 他们确定他们需要一种整体方法，但是不知道它是什么。 在这里，我们将详细讨论深度保护的关键概念，确定支持防御策略深度的关键安全技术和方法，并讨论如何在开发Azure服务体系结构中使用这些概念。
分层安全方法
深度防御是一种使用多种机制来减慢旨在获得未经授权的信息访问权限的攻击的策略。 每个级别都提供保护，因此，如果攻击者克服一个级别，则下一个级别将阻止进一步的渗透。 Microsoft在物理数据中心和Azure服务中都采用了分层的安全性方法。 深度保护的目的是确保信息的安全性，并防止未经许可的人盗用数据。 用于确定安全状态的一般原则是机密性，完整性和可用性，通常称为CIA（机密性，完整性，可用性）。
- 保密是最低特权的原则。 信息访问仅对明确授予许可的人员可用。 该信息包括用户密码保护，远程访问证书和电子邮件内容。
- 完整性 -防止未经授权更改无效或传输的数据。 数据传输中使用的一般方法是使用单向哈希算法为发件人创建唯一的指纹。 哈希值与数据一起发送到收件人。 接收者重新计算数据哈希值，并将其与原始哈希值进行比较，以使数据不会丢失，并且在传输过程中也不会发生变化。
- 可用性 —确保授权用户可以使用服务。 拒绝服务攻击是失去用户可访问性的最常见原因。 此外，在发生自然灾害的情况下，系统设计为避免单点故障，并在地理位置偏远的位置部署应用程序的多个实例。
安全等级
深度保护可以表示为几个同心环，其中心是数据。 每个环在数据周围增加了一层额外的安全保护。 这种方法消除了对一个保护级别的依赖，降低了攻击速度，并为遥测数据提供了警报，因此您可以手动或自动采取措施。 让我们看一下每个级别。
资料
攻击者几乎总是在寻找数据：
- 哪些存储在数据库中；
- 它们存储在虚拟机的磁盘上；
- 存储在SaaS应用程序（例如Office 365）中；
- 存储在云存储中。
需要负责数据存储和访问控制的人员提供足够的保护。 法规要求通常需要特定的控制和程序，以确保数据的机密性，完整性和可访问性。
应用领域
- 确保应用程序受到保护并且没有漏洞。
- 在安全媒体上保守机密应用程序的机密
- 将安全性作为所有应用程序的要求。
通过将安全性集成到应用程序开发生命周期中，可以减少代码中的漏洞数量。 鼓励所有开发团队在默认情况下确保应用程序安全。 安全要求必须是不变的。
计算服务
- 保护对虚拟机的访问
- 实施端点保护并及时应用所有修复程序
恶意程序，缺少补丁程序以及对系统的保护不足，使您的环境容易受到攻击。 此级别旨在确保您的计算资源的安全性，并且您具有正确的控制权以最小化安全性问题。
联播网
- 通过细分和访问控制来限制资源之间的交互
- 设置默认禁止
- 尽可能限制入站和出站互联网流量
- 安全连接到本地网络
此级别的目标是限制资源中的网络连接，并仅使用最必要的连接。 分离资源并使用网络级控件仅限制必需组件之间的通信。 通过限制数据交换，可以降低在网络中移动计算机的风险。
周长
- 使用分布式拒绝服务（DDoS）保护来过滤大规模攻击，以免导致最终用户拒绝服务
- 使用外围防火墙检测网络警报并接收警报
沿着网络的外围，需要防止网络对资源的攻击。 识别此类攻击，消除其影响并向其发出警报是网络安全的重要元素。
政策与访问
- 管理对基础架构的访问，管理变更
- 使用单点登录和多因素身份验证
- 检查事件和更改
策略和访问级别旨在确保身份的安全，控制仅向需要访问的人提供访问以及注册更改。
人身安全
- 确保建筑物的物理安全并控制对数据中心中计算设备的访问是第一道防线。
物理安全性包括限制对资源的物理访问的措施。 它确保攻击者不会克服其余所有级别，并保护数据免于丢失和被盗。
每一层都可以根据机密性，完整性和访问模型执行一项或多项任务。
共同责任
计算环境正在从客户管理的数据中心转移到基于云的数据中心，责任也随之转移。 现在，安全是云服务提供商和客户的共同责任。
持续改进
威胁的情况正在实时，大规模地变化，因此安全架构从来都不是完美的。 微软和我们的客户需要具备以智能，快速，准确的方式应对这些威胁的能力。
Azure安全中心为客户提供统一的安全管理功能和高级威胁防护，以识别并响应本地环境和Azure中的安全事件。 反过来，Azure客户必须不断检查和开发其安全体系结构。
Lamna Healthcare的深度保护
Lamna Healthcare一直在所有IT部门中积极部署深度保护。 由于该组织负责处理大量机密医疗数据，因此，它知道采用集成方法将是最佳选择。
为了保护公司数据，在公司中创建了一个虚拟工作组，由来自每个IT部门和安全部门的代表组成。 该小组的任务是使工程师和架构师熟悉消除漏洞和消除漏洞的方法，并为与组织中的项目合作提供信息支持。
自然，这项工作将永远不会完成。 因此，为了保持所需的保护级别，该公司计划定期审查政策，程序，技术方面和体系结构，以不断寻求提高安全性的方法。
总结
我们检查了什么是深度防御，它具有什么级别以及每个级别的任务是什么。 架构中的这种安全策略可确保采用集成方法来保护整个环境，而不是单个级别或技术。
其他零件
要完成此免费培训，请点击
链接 。 在那里，您将找到以下部分：
- 引言
- 深度保护
- 身份管理
- 基础设施保护
- 加密方式
- 网络安全
- 总结
- 部署前要考虑的五个关键安全功能。
- 使用Azure Key Vault管理服务器应用程序中的机密
- 使用条件访问保护Azure资源