보안 프레임: 통신 보안 | 완화

SSL/TLS를 사용하여 Event Hub에 대한 보안 통신

서비스 계정 권한을 확인하고 사용자 지정 서비스 또는 ASP.NET Pages가 CRM의 보안을 준수하는지 확인합니다.

온-프레미스 SQL Server를 Azure Data Factory에 연결하는 동안 데이터 관리 게이트웨이 사용

ID 서버에 대한 모든 트래픽이 HTTPS 연결을 통해 수행되는지 확인합니다.

SSL, TLS 및 DTLS 연결을 인증하는 데 사용되는 X.509 인증서 확인

Azure App Service에서 사용자 지정 도메인에 대한 TLS/SSL 인증서 구성

Azure App Service로의 모든 트래픽을 HTTPS 연결로 강제하다.

예시

다음 예제에는 들어오는 모든 트래픽이 HTTPS를 사용하도록 강제하는 기본 URL 다시 쓰기 규칙이 포함되어 있습니다.

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Force HTTPS" enabled="true">
          <match url="(.*)" ignoreCase="false" />
          <conditions>
            <add input="{HTTPS}" pattern="off" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

이 규칙은 사용자가 HTTP를 사용하여 페이지를 요청할 때 HTTP 상태 코드 301(영구 리디렉션)을 반환하여 작동합니다. 301은 요청을 방문자가 요청한 것과 동일한 URL로 리디렉션하지만 요청의 HTTP 부분을 HTTPS로 바꿉니다. 예를 들어, HTTP://contoso.com는 HTTPS://contoso.com로 리다이렉트됩니다.

HSTS(HTTP Strict Transport Security) 사용

SQL Server 연결 암호화 및 인증서 유효성 검사 확인

SQL Server에 암호화된 통신 강제 적용

Azure Storage에 대한 통신이 HTTPS를 통해 이루어지는지 확인

HTTPS를 사용할 수 없는 경우 Blob을 다운로드한 후 MD5 해시 유효성 검사

SMB 3.x 호환 클라이언트를 사용하여 Azure 파일 공유로 전송 중인 데이터 암호화 보장

인증서 고정 구현

예시

using System;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography;

namespace CertificatePinningExample
{
    class CertificatePinningExample
    {
        /* Note: In this example, we're hardcoding the certificate's public key and algorithm for 
           demonstration purposes. In a real-world application, this should be stored in a secure
           configuration area that can be updated as needed. */

        private static readonly string PINNED_ALGORITHM = "RSA";

        private static readonly string PINNED_PUBLIC_KEY = "3082010A0282010100B0E75B7CBE56D31658EF79B3A1" +
            "294D506A88DFCDD603F6EF15E7F5BCBDF32291EC50B2B82BA158E905FE6A83EE044A48258B07FAC3D6356AF09B2" +
            "3EDAB15D00507B70DB08DB9A20C7D1201417B3071A346D663A241061C151B6EC5B5B4ECCCDCDBEA24F051962809" +
            "FEC499BF2D093C06E3BDA7D0BB83CDC1C2C6660B8ECB2EA30A685ADE2DC83C88314010FFC7F4F0F895EDDBE5C02" +
            "ABF78E50B708E0A0EB984A9AA536BCE61A0C31DB95425C6FEE5A564B158EE7C4F0693C439AE010EF83CA8155750" +
            "09B17537C29F86071E5DD8CA50EBD8A409494F479B07574D83EDCE6F68A8F7D40447471D05BC3F5EAD7862FA748" +
            "EA3C92A60A128344B1CEF7A0B0D94E50203010001";


        public static void Main(string[] args)
        {
            HttpWebRequest request = (HttpWebRequest)WebRequest.Create("https://azure.microsoft.com");
            request.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
            {
                if (certificate == null || sslPolicyErrors != SslPolicyErrors.None)
                {
                    // Error getting certificate or the certificate failed basic validation
                    return false;
                }

                var targetKeyAlgorithm = new Oid(certificate.GetKeyAlgorithm()).FriendlyName;
                var targetPublicKey = certificate.GetPublicKeyString();
                
                if (targetKeyAlgorithm == PINNED_ALGORITHM &&
                    targetPublicKey == PINNED_PUBLIC_KEY)
                {
                    // Success, the certificate matches the pinned value.
                    return true;
                }
                // Reject, either the key or the algorithm does not match the expected value.
                return false;
            };

            try
            {
                var response = (HttpWebResponse)request.GetResponse();
                Console.WriteLine($"Success, HTTP status code: {response.StatusCode}");
            }
            catch(Exception ex)
            {
                Console.WriteLine($"Failure, {ex.Message}");
            }
            Console.WriteLine("Press any key to end.");
            Console.ReadKey();
        }
    }
}

HTTPS 사용 - 보안 전송 채널

WCF: 메시지 보안 보호 수준을 EncryptAndSign으로 설정

예시

다음 예제에서는 메시지만 서명하도록 서비스 및 작업을 구성합니다. 서비스 계약 예제 ProtectionLevel.Sign: 다음은 서비스 계약 수준에서 ProtectionLevel.Sign을 사용하는 예제입니다.

[ServiceContract(Protection Level=ProtectionLevel.Sign] 
public interface IService 
  { 
  string GetData(int value); 
  } 

예시

세분화된 컨트롤의 ProtectionLevel.Sign 작업 계약 예제: 다음은 OperationContract 수준에서 사용하는 ProtectionLevel.Sign 예제입니다.

[OperationContract(ProtectionLevel=ProtectionLevel.Sign] 
string GetData(int value);

WCF: 최소 권한 계정을 사용하여 WCF 서비스 실행

HTTPS 연결을 통해 Web API에 대한 모든 트래픽 강제 적용

예시

다음 코드는 TLS를 확인하는 Web API 인증 필터를 보여줍니다.

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }
}

TLS가 필요한 모든 Web API 작업에 이 필터를 추가합니다.

public class ValuesController : ApiController
{
    [RequireHttps]
    public HttpResponseMessage Get() { ... }
}

Azure Cache for Redis에 대한 통신이 TLS를 통해 이루어지는지 확인

Redis는 신뢰할 수 있는 환경 내의 신뢰할 수 있는 클라이언트에서 액세스하도록 설계되었습니다. 즉, 일반적으로 Redis 인스턴스를 인터넷에 직접 노출하거나 일반적으로 신뢰할 수 없는 클라이언트가 Redis TCP 포트 또는 UNIX 소켓에 직접 액세스할 수 있는 환경에 노출하는 것은 좋지 않습니다.

보안 디바이스와 필드 게이트웨이 간의 통신

SSL/TLS를 사용하여 디바이스-클라우드 게이트웨이 통신 보호