Delen via

Uw Azure Cloud HSM-implementatie beveiligen

Microsoft Azure Cloud HSM biedt een HSM-oplossing (High Assurance Hardware Security Module) voor het beveiligen van cryptografische sleutels en het beveiligen van gevoelige workloads in de cloud. Het implementeren van aanbevolen beveiligingsprocedures is essentieel om onbevoegde toegang te voorkomen, operationele integriteit te behouden en de prestaties te optimaliseren.

Dit artikel bevat richtlijnen voor het beveiligen van uw Cloud HSM-implementatie.

Beveiliging en naleving

  • Vertrouwensanker beveiligen: Wij adviseren klanten om de toegang tot de privésleutelPO.key van de Partition Owner van de toepassingspartitie (POTA) te beperken. De beheerder van de toepassingspartitie (AOTA) en POTA-persoonlijke sleutels zijn gelijk aan hoofdtoegang. Ze kunnen wachtwoorden opnieuw instellen voor gebruikers van cryptografieofficieren (CO) in een partitie (AOTA voor partitie 0, POTA voor gebruikerspartities).

    PO.key is niet nodig voor HSM-toegang tijdens runtime. Dit is alleen vereist voor de eerste ondertekening van poAC (Partition Owner Authentication Certificate) en CO-wachtwoordherstel. We raden u aan offline op te slaan PO.key en de eerste POAC-ondertekening uit te voeren op een offlinecomputer, indien mogelijk.

    Belangrijk

    Klanten zijn verantwoordelijk voor het beveiligen van hun PERSOONLIJKE POTA-sleutel. Het verlies van de persoonlijke POTA-sleutel resulteert in het niet kunnen herstellen van CO-wachtwoorden. Wij adviseren klanten om hun PERSOONLIJKE POTA-sleutel veilig op te slaan en geschikte back-ups te onderhouden.

Netwerkbeveiliging

Het garanderen van sterke netwerkbeveiliging is essentieel wanneer u Azure Cloud HSM gebruikt. Het correct configureren van uw netwerk kan helpen onbevoegde toegang te voorkomen en blootstelling aan externe bedreigingen te verminderen. Zie Netwerkbeveiliging voor Azure Cloud HSM voor meer informatie.

  • Privé-eindpunten gebruiken: Beveilig uw Azure Cloud HSM-implementatie met behulp van privésubnetten en privé-eindpunten om blootstelling aan het openbare internet te voorkomen. Deze actie zorgt ervoor dat verkeer binnen het Backbone-netwerk van Microsoft blijft, waardoor het risico op onbevoegde toegang wordt beperkt.

Gebruikersbeheer

Effectief gebruikersbeheer is van cruciaal belang voor het onderhouden van de beveiliging en integriteit van Azure Cloud HSM. Het implementeren van de juiste besturingselementen voor gebruikersidentiteiten, referenties en machtigingen kan helpen onbevoegde toegang te voorkomen en operationele continuïteit te garanderen. Zie Gebruikersbeheer in Azure Cloud HSM voor meer informatie.

  • Gebruik sterke wachtwoorden: maak unieke, sterke wachtwoorden voor HSM-gebruikers. Gebruik ten minste 12 tekens, inclusief een combinatie van hoofdletters en kleine letters, cijfers en speciale tekens.

  • Beveilig uw HSM-gebruikersreferenties: bescherm uw HSM-gebruikersreferenties zorgvuldig, omdat Microsoft ze niet kan herstellen als ze verloren gaan.

  • Secundaire beheerders implementeren voor vergrendelingspreventie: Wijs ten minste twee beheerders aan om HSM-vergrendeling te voorkomen als er één wachtwoord verloren gaat.

  • Stel meerdere cryptografiegebruikers (CA's) met beperkte machtigingen in: maak meerdere CA's met verschillende verantwoordelijkheden om te voorkomen dat één gebruiker volledig beheer heeft.

  • Beperk de mogelijkheid van CA's om sleutels te exporteren: beperk het exporteren van sleutelmateriaal door de juiste gebruikerskenmerken in te stellen.

  • Co-controle over CU's beperken: gebruik de disableUserAccess opdracht om te voorkomen dat CO-gebruikers specifieke CA's beheren. CO-gebruikers kunnen deze opdracht echter overslaan met oudere back-ups.

Sleutelbeheer

Effectief sleutelbeheer is essentieel voor het optimaliseren van de prestaties, beveiliging en efficiëntie van Azure Cloud HSM. De juiste verwerking van sleutelopslaglimieten, sleutelterugloopbeveiliging, sleutelkenmerken en cachestrategieën kunnen de beveiliging en prestaties verbeteren. Zie Sleutelbeheer in Azure Cloud HSM voor meer informatie.

  • Sleutelrotatie implementeren: draai regelmatig sleutels om oudere sleutels te vervangen en opslagruimte vrij te maken terwijl de beveiliging behouden blijft.

  • Gebruik een sleutelhiërarchie: Sla minder sleutels op in de HSM met behulp van hoofdsleutels om andere sleutels te versleutelen.

  • Sleutels delen en hergebruiken indien mogelijk: verminder opslagvereisten door sleutels te delen of opnieuw te gebruiken in meerdere sessies, indien van toepassing.

  • Ongebruikte sleutels veilig verwijderen: verwijder sleutels die u langer nodig hebt, om onnodig opslagverbruik te voorkomen.

  • Stel sleutels in als niet-extracteerbaar wanneer mogelijk: gebruik EXTRACTABLE=0 om ervoor te zorgen dat sleutels niet buiten de HSM kunnen worden geëxporteerd.

  • Vertrouwde sleutelterugloop inschakelen: gebruik WRAP_WITH_TRUSTED=1 deze optie om sleutelterugloop te beperken tot vertrouwde sleutels. Met deze actie voorkomt u dat niet-geautoriseerde sleutelexports worden uitgevoerd.

  • Gebruik sleutelkenmerken om machtigingen te beperken: wijs alleen benodigde kenmerken toe wanneer u sleutels genereert, om onbedoelde bewerkingen te beperken.

Authenticatie

Verificatie is een cruciaal aspect van het veilig openen en werken binnen Azure Cloud HSM. Met de juiste verificatiemethoden kunt u referenties beveiligen en veilig toegangsbeheer garanderen. Zie Verificatie in Azure Cloud HSM voor meer informatie.

  • HSM-referenties veilig opslaan: bescherm opgeslagen referenties en voorkom dat ze worden weergegeven wanneer ze niet in gebruik zijn. Configureer uw omgeving om referenties automatisch op te halen en in te stellen.

  • Impliciete aanmelding gebruiken voor JCE-verificatie (Java Cryptography Extension): gebruik waar mogelijk impliciete aanmelding voor JCE-verificatie om automatisch referentiebeheer en verificatie toe te staan.

  • Vermijd het delen van sessies tussen threads: wijs voor toepassingen met meerdere threads een eigen sessie toe om conflicten en beveiligingsproblemen te voorkomen.

  • Nieuwe pogingen aan de clientzijde implementeren: Voeg logica voor nieuwe pogingen toe voor HSM-bewerkingen om potentiële onderhoudsgebeurtenissen of HSM-vervangingen af te handelen.

  • Beheer HSM-clientsessies zorgvuldig: houd er rekening mee dat azurecloudhsm_client sessies worden gedeeld tussen toepassingen op dezelfde host. Het juiste sessiebeheer voorkomt conflicten.

Bewaking en logboekregistratie

  • Audit- en bewerkingslogboeken bewaken: u wordt aangeraden logboekregistratie van bewerkingsgebeurtenissen te configureren. Logboekregistratie van bewerkingsevenementen is essentieel voor HSM-beveiliging. Het biedt een onveranderbaar overzicht van toegang en bewerkingen voor verantwoordelijkheid, traceerbaarheid en naleving van regelgeving. Het helpt bij het detecteren van onbevoegde toegang, het onderzoeken van incidenten en het identificeren van afwijkingen, om de integriteit en vertrouwelijkheid van cryptografische bewerkingen te waarborgen.

    Om beveiliging en privacy te behouden, sluiten logboeken gevoelige gegevens uit (zoals sleutel-id's, sleutelnamen en gebruikersgegevens). Ze leggen HSM-bewerkingen, tijdstempels en metagegevens vast, maar ze kunnen geen succes of mislukking bepalen. Ze kunnen alleen het feit registreren dat de bewerking is uitgevoerd. Deze beperking bestaat omdat de HSM-bewerking plaatsvindt binnen het binnenste TLS-kanaal, dat niet buiten die grens wordt weergegeven.

Bedrijfscontinuïteit en herstel na noodgevallen

  • Robuuste back-up en herstel na noodgevallen implementeren: Azure Cloud HSM biedt hoge beschikbaarheid via geclusterde HSM's die sleutels en beleid synchroniseren terwijl partities automatisch worden gemigreerd tijdens fouten. De service ondersteunt uitgebreide back-up- en herstelbewerkingen die alle sleutels, kenmerken en roltoewijzingen behouden. Back-ups worden beveiligd door HSM-afgeleide sleutels waartoe Microsoft geen toegang heeft.

    Voor bedrijfscontinuïteit en herstel na noodgevallen (BCDR):

    • Beheerde identiteiten gebruiken voor verificatie.
    • Sla back-ups op in persoonlijke Azure Blob Storage.
    • Implementeer minimale RBAC-machtigingen (op rollen gebaseerd toegangsbeheer).
    • Toegang tot gedeelde sleutels uitschakelen.

    Opmerking

    Azure Cloud HSM biedt geen ondersteuning voor het herstellen naar al geactiveerde HSM's.

    Zie Back-up en herstel in Azure Cloud HSM voor gedetailleerde implementatie-instructies en aanvullende herstelopties. Aanvullende herstelopties zijn onder andere het gebruiken extractMaskedObject om sleutels als versleutelde blobs te extraheren, ze veilig op te slaan en ze waar nodig te insertMaskedObject importeren. Een BCDR-best practice is om in twee regio's te implementeren voor failovermogelijkheden.

Verwante inhoud

  • Last updated on