Het beveiligingsrijpheidsmodel biedt een stapsgewijze route om de beveiligingspositie van uw werklast te versterken.
Begin met het opzetten van essentiële basisbeginselen, zoals versleuteling en identiteitsbeheer, en bouw vervolgens op deze basis door uw implementatieprocessen te beveiligen en uw systemen te beveiligen. Naarmate u volwassen bent, identificeert u proactief bedreigingen door middel van modellering en implementatie van uitgebreide bewaking. Gebruik realtime productie-inzichten om uw beveiligingsmechanismen continu te verfijnen en uiteindelijk gespecialiseerde beveiliging te implementeren voor organisaties die geavanceerde bedreigingen ondervinden.
Het model is gestructureerd in vijf verschillende volwassenheidsniveaus, elk met een primair doel en een set kernstrategieën. Gebruik de onderstaande weergaven op tabbladen om elk niveau te verkennen. Controleer ook de gemarkeerde compromissen en bijbehorende risico's terwijl u vordert.
Stel een minimale levensvatbare beveiligingspostuur in die als basis moet dienen om verder te bouwen.
Niveau 1 van het volwassen model helpt workloadteams een solide beveiligingsbasis te bereiken die ze gedurende de hele levenscyclus van de workload kunnen uitbreiden en verbeteren. Deze basis, ook wel de beveiligingsbasislijn genoemd, legt de minimale beveiligingsvereisten en verwachtingen vast die u moet implementeren. Anker de basislijn in goed gedefinieerde en volwassen industriestandaarden en richtlijnen voor regelgeving.
De basislijn moet het architectuurontwerp van de workload informeren. Er moet worden aangegeven waar beveiligingsmechanismen moeten worden geïmplementeerd en hoe deze mechanismen communiceren met andere workloadonderdelen. De basislijn moet niet alleen beveiligingshulpprogramma's, maar ook gestandaardiseerde processen rond workloadbewerkingen informeren, waaronder DevOps-procedures. Coderingsprocedures, zoals invoervalidatie en uitvoercodering, moeten standaard beveiligde processen hebben. Voer regelmatig codebeoordelingen en geautomatiseerde beveiligingsscans uit.
Belangrijke strategieën
✓ Basislijnbeveiliging integreren in de ontwikkelingsfasen van de levenscyclus van softwareontwikkeling (SDLC)
Wanneer u begint met de ontwikkelingsfase van de implementatie van uw workload, kunt u procedures standaardiseren die zijn afgestemd op uw vereisten voor de beveiligingsbasislijn. Deze procedures moeten bestaan uit regelmatig uitgevoerde codebeoordelingen en geautomatiseerde beveiligingsscans, invoervalidatie en codering van uitvoer. Zie Veilige toepassingen ontwikkelen in Azure voor meer informatie over aanbevolen procedures.
✓ Identiteits- en toegangsbeheer extern maken voor een id-provider (IdP)
Identiteits- en toegangsbeheer kan snel complex en lastig worden naarmate de ontwikkeling van uw workload vordert. Gebruik een IdP, zoals Microsoft Entra, om beveiligingsstandaarden te handhaven door de toegang tot workloadonderdelen nauw te beheren en niet-menselijke identiteiten te gebruiken, zoals beheerde identiteiten.
IDP's verbeteren ook de beveiliging en naleving via meervoudige verificatie en gedetailleerde toegangslogboeken. Deze functies stroomlijnen gebruikersinteracties en verminderen operationele lasten.
✓ Bekijk toegangspatronen van sleutelidentiteiten en pas een passend beveiligingsniveau toe
Wanneer u uw IdP-oplossing implementeert, neemt u enige tijd om het toegangsgedrag in uw workloadteams te observeren. Kom te weten hoe gebruikers toegang krijgen tot verschillende workload-onderdelen, zodat u het juiste toegangsniveau kunt kiezen dat moet worden verleend. Zoek naar mogelijkheden om menselijke toegang tot processen, zoals implementaties en databasewijzigingen, te vervangen door beheerde identiteiten. Als menselijke accounts toegang tot gevoelige resources vereisen, kunt u Just-In-Time-toegang standaardiseren als het standaardmechanisme.
Compromis: U kunt weerstand ondervinden bij het aannemen van dit toegangsbeleid. Sommige gebruikers denken dat dit beleid hun werk vertraagt. Zorg ervoor dat alle leden van het workloadteam begrijpen dat beveiliging de verantwoordelijkheid van iedereen is en dat het implementeren van krachtige besturingselementen voor toegang iedereen helpt bij het onderhouden van een veilige workload.
Gegevens in rust versleutelen
Beveilig inactieve gegevens om bij te dragen aan de waarborging van vertrouwelijkheid en integriteit van gegevens, twee hoekstenen van moderne beveiliging. Gebruik sterke versleuteling en pas strikte toegangsbeheer toe op gegevensarchieven. Azure versleutelt standaard alle gegevensarchieven op het onderliggende hardwareniveau. U kunt echter versleuteling implementeren voor uw workloadgegevens om extra beveiligingsmaatregelen toe te voegen. Configureer versleuteling op schijven, opslagaccounts en databases van uw virtuele machine (VM) met behulp van ingebouwde mechanismen om uw ontwerp eenvoudig te houden.
Compromis: U kunt uw eigen sleutel (BYOK) overbrengen naar veel Azure-services in plaats van een door Microsoft beheerde sleutel te gebruiken. BYOK biedt meer controle over uw resources en voldoet mogelijk aan wettelijke vereisten. Maar BYOK verhoogt de operationele last, omdat u de sleutelrotatie moet beheren. En als u uw sleutel kwijtraakt, loopt u het risico dat u de toegang tot uw gegevens verliest.
✓ Gegevens tijdens overdracht versleutelen
Beveilig gegevens die onderweg zijn om uw workload te beschermen tegen aanvallers die toegang hebben tot uw gegevens en systemen. Als u geen versleuteling gebruikt of een zwakke codering gebruikt, kunnen aanvallers uw gegevens onderscheppen. Gebruik geen TLS-versie (Transport Layer Security) versie 1.1 of lager in een onderdeel. Migreer oudere versies om TLS 1.2 de standaardversie voor alle systemen te maken. Alle Azure-services die gegevens verzenden via netwerken of internet, maken gebruik van TLS 1.2.
✓ Toepassingsgeheimen beveiligen
Toepassingsgeheimen zijn vertrouwelijke onderdelen die communicatie tussen workloadonderdelen mogelijk maken, waaronder gevoelige gegevens, zoals wachtwoorden, API-sleutels en certificaten voor verificatie en toegang tot resources. Beheer deze geheimen op de juiste manier om beveiliging en integriteit te behouden. Onjuiste verwerking kan leiden tot gegevensschendingen, serviceonderbrekingen, schendingen van regelgeving en andere problemen. Gebruik een oplossing zoals Azure Key Vault om geheimen veilig te beheren.
De implementatiebeveiliging versterken en maatregelen voor het voorkomen van bedreigingen in uw workloadinfrastructuur vaststellen.
In niveau 2 van de beveiligingspijler bouwt u voort op uw basisbeveiligingsconfiguratie om potentiële bedreigingen tijdens de implementatie van workloads verder te verminderen. Deze fase benadrukt de versterking van de implementatieprocedures, het opstellen van een onderhoudsplan voor codeassets en workloadonderdelen, het ontwikkelen van een framework voor gegevensclassificatie, het beveiligen van netwerkinkomende punten en het beveiligen van workloadonderdelen, alle essentiële stappen om uw algehele beveiligingspostuur te verbeteren.
Trade-off: Het beveiligen van uw SDLC is een interatief proces waarvoor nieuwe processen moeten worden gebruikt en soms een verschuiving in mindset voor ontwikkelaars. Het toepassen van controles op implementaties kan frustrerend zijn voor ontwikkelaars, dus het helpt bij het bevorderen van een cultuur van gedeelde verantwoordelijkheid voor beveiliging. Hoewel de ontwikkelingssnelheid mogelijk wordt vertraagd, stelt het beveiligen van uw implementaties uw team voor succes op de lange termijn in.
Deze metingen helpen u uw workload veilig te bouwen en klaar te maken voor operationeel gebruik, terwijl u een solide beveiligingspostuur behoudt.
Belangrijke strategieën
✓ Beveilig de implementatiefase van uw SDLC
Niveau 1 van de beveiligingspijler richt zich op het beveiligen van de ontwikkelingsfase van uw SDLC. Op niveau 2 wordt ervan uitgegaan dat u basisbeveiligingsmaatregelen hebt ingesteld voor de ontwikkelingsfase en dat u klaar bent om de eerste iteraties van uw workload of onderdelen van uw workload te implementeren.
In deze fase richt u zich op het bouwen van uw implementatieautomatisering om de efficiëntie en beveiliging te optimaliseren. Gebruik implementatiepijplijnen zoals Azure Pipelines of GitHub Actions en standaardiseer deze pijplijnen uitsluitend voor alle wijzigingen in uw workload. Voer regelmatig goede procedures voor codecontroles uit om ervoor te zorgen dat uw codebasis vrij is van defecten en code die risico's kan veroorzaken. Ten slotte moet u uw team vertrouwd maken met de levenscyclus van Microsoft Security Development. Naarmate uw workload verandert, herzie regelmatig de aanbevelingen van deze richtlijnen om ervoor te zorgen dat uw SDLC optimaal is voor beveiliging.
Compromis: Het beveiligen van uw SDLC is een iteratief proces dat vereist dat u nieuwe processen in gebruik neemt en soms een verschuiving in mindset voor ontwikkelaars. Het toepassen van controles op implementaties kan frustrerend zijn voor ontwikkelaars, dus het helpt bij het bevorderen van een cultuur van gedeelde verantwoordelijkheid voor beveiliging. Het beveiligen van uw implementaties vermindert mogelijk de ontwikkelingssnelheid, maar het stelt uw team in voor succes op lange termijn.
✓ Een onderhoudsplan ontwikkelen
In de context van beveiliging verwijst een onderhoudsplan naar standaardprocedures die u gebruikt om de beveiliging van uw code- en workloadonderdelen gedurende hun levenscyclus te behouden. Bouw mechanismen en processen voor het afhandelen van oplossingen voor noodgevallen in uw implementatiepijplijn. U kunt bijvoorbeeld implementaties versnellen via kwaliteitspoorten met behulp van directe communicatie tussen teams en het ontwikkelen van versnelde terugdraai- en roll-forward-plannen.
Neem software, bibliotheken en infrastructuurpatching op in uw standaardprocessen om ervoor te zorgen dat alle onderdelen van uw workload altijd up-to-date zijn. Bewaar een catalogus met versiebeheerassets om te helpen tijdens het reageren op incidenten, het oplossen van problemen en systeemherstel. U kunt automatisering ook gebruiken om deze versies te vergelijken met bekende beveiligingsproblemen in het programma Common Vulnerabilities and Exposures.
✓ Gegevens classificeren op basis van gevoeligheidsbehoeften
Gebruik een systeem voor gegevensclassificatie en de bijbehorende ondersteunende processen om ervoor te zorgen dat u vertrouwelijkheid en integriteit behoudt. Begin met brede categorieën, zoals Openbaar, Algemeen, Vertrouwelijk en Zeer vertrouwelijk, en pas de juiste beveiligingsniveaus toe om deze categorieën in uw gegevensarchieven te beschermen. Overweeg om te investeren in hulpprogramma's zoals Microsoft Purview om uw gegevens te beheren. Zie de richtlijnen voor gegevensclassificatie in de Microsoft nalevingsdocumentatie voor gedetailleerde beste praktijken.
Afweging: Gegevensclassificatie kan een dure onderneming zijn wat betreft kosten en inspanning, zelfs als u hulpprogramma's gebruikt. Zodra u uw initiële categorieën hebt gemaakt en een initiële classificatieoefening hebt uitgevoerd, bepaalt u hoeveel inspanning er nodig is voor doorlopend onderhoud handmatig of met hulpprogramma's. Zorg ervoor dat u rekening moet houden met tijd en kosten voor training in uw schattingen.
✓ Autorisatie- en verificatiecontroles toepassen
Als onderdeel van de implementatie van uw IdP-oplossing kunt u beginnen met het toepassen van besturingselementen met betrekking tot autorisatie en verificatie. Gebruik op rollen gebaseerd toegangsbeheer om de toegang tot workloadonderdelen te beperken door gedetailleerde machtigingen toe te passen op resources op basis van gebruikersrollen. Pas deze machtigingen toe op basis van het principe van minimale toegang.
Verbeter uw controles verder met behulp van beleid voor voorwaardelijke toegang. Dit beleid verleent of weigert toegang tot resources op basis van specifieke voorwaarden, zoals de geografische locatie van een gebruiker of het apparaat van een gebruiker voldoet aan het beveiligingsbeleid. U kunt ook profiteren van functies zoals Just-In-Time-toegang om de toegang tot gevoelige onderdelen te vergrendelen.
Risico: Beheerdersaccounts zijn een van de meest cruciale aanvalsvectoren in uw omgeving. U moet ze alleen maken en gebruiken nadat u zorgvuldig rekening hebt gehouden met uw behoeften en hoe deze overeenkomen met aanbevolen procedures voor bevoegde accounts. Als aanvallers controle krijgen over een beheerdersaccount, kan uw hele omgeving een ernstig risico lopen.
✓ Beveilig het toegangspunt voor uw netwerk
Beveilig uw netwerkingressie zoveel als praktisch om uw algehele beveiligingspostuur te verbeteren. Een beveiligd netwerkingress is uw eerste verdedigingslinie tegen externe aanvallers. Uw cloudprovider heeft mogelijk verschillende hulpprogramma's die u in uw specifieke omgeving kunt gebruiken, maar zorg ervoor dat u alle mogelijke ingangspunten in uw workload begrijpt. U kunt een firewall toevoegen aan een virtueel netwerk of de bijbehorende subnetten, zoals netwerkbeveiligingsgroepen in virtuele Azure-netwerken. Als u platformresources zoals Azure SQL Database gebruikt, hebt u mogelijk opties om openbare en persoonlijke toegang binnen de configuratie van de resource zelf te beperken of uit te schakelen. Beperk of schakel alle directe toegang tot virtuele machines in praktische mate uit.
In het algemeen kiest u voor een native of partnerfirewall om alle binnenkomende verkeer naar uw workload te beheren. U kunt ook een webtoepassingsfirewall gebruiken die is ingebouwd in een taakverdelingsoplossing, zoals Azure Front Door of een API-gateway, zoals Azure API Management.
Compromis: Firewalloplossingen kunnen aanzienlijke kosten aan uw workload toevoegen, met name als ze te veel zijn ingericht. Onderzoek de beste oplossing voor uw scenario en zorg ervoor dat u klein en omhoog kunt schalen naarmate uw workload zich ontwikkelt om de kosten onder controle te houden.
✓ De kwetsbaarheid voor aanvallen beperken
Het harden van de workload is een iteratief proces dat continue verbetering vereist. Wees alert en analyseer de workload op beveiligingsproblemen. Wanneer uw workload verder wordt ontwikkeld, gebruikt u een hulpprogramma voor het scannen van beveiligingsproblemen om u te helpen kwetsbare onderdelen eenvoudig te identificeren. In een vroeg stadium van uw ontwikkeling is een betere strategie om de verhardingsoefening handmatig uit te voeren. Bekijk de configuraties van uw onderdelen om potentiële zwakke plekken te vinden, zoals onjuist geconfigureerde of niet-geconfigureerde firewallregels of ongepaste machtigingen. Zoek naar ongebruikte of onnodige onderdelen die u volledig kunt afsluiten of verwijderen en voor ongebruikte accounts die u kunt deactiveren.
Proactief beveiligingsrisico's identificeren en beperken met grondige evaluatie- en reactiemogelijkheden.
Op niveau 3 van het volwassen model moet u geavanceerde processen en mechanismen integreren in uw workload om beveiligingsrisico's proactief te identificeren en te beperken. Strategieën zoals threat modeling, netwerkstroomclassificaties en geavanceerde versleutelingstechnieken bouwen een extra niveau van voorbereiding op de basismechanismen die u al moet hebben. Met een plan voor incidentrespons worden uw strategieën voor bedreigingsdetectie en risicobeperking samengemaakt en wordt de manier waarop u beveiligingsincidenten beheert standaardiseren.
Belangrijke strategieën
✓ Bedreigingsmodellering opnemen in uw softwareontwikkelingslevenscyclus (SDLC)
Threat modeling is een technische techniek die u kunt gebruiken om bedreigingen, aanvallen, beveiligingsproblemen en tegenmaatregelen te identificeren die van invloed kunnen zijn op uw workload. U kunt threat modeling gebruiken om het ontwerp van uw workload vorm te geven, te voldoen aan de beveiligingsdoelstellingen van uw bedrijf en het risico te verminderen. Wanneer u een bedreigingsmodelleringsoefening uitvoert, neemt u de volgende strategieën op:
Valideer de beveiligingsvereisten voor de workload. Voltooi het proces van het verzamelen en codificeren van de beveiligingsvereisten voor workloads in een vroeg stadium van de ontwikkeling van uw workload. Valideer op niveau 3 de vereisten als een voorbereidende stap in de oefening voor bedreigingsmodellering.
Valideer het architectuurdiagram van de workload. Een architectuurdiagram met stromen moet vroeg in het ontwikkelings- en implementatieproces van de workload worden voltooid. Op niveau 3 moet u het ontwerp opnieuw bekijken om ervoor te zorgen dat het voldoet aan de vereisten van de klant.
Potentiële bedreigingen identificeren. Analyseer mogelijke bedreigingen voor elk onderdeel vanuit een extern perspectief. Bepaal hoe een aanvaller misbruik kan maken van een specifieke resource om verdere toegang te krijgen. Bedreigingen classificeren volgens een industriestandaard methodologie zoals STRIDE om inzicht te verkrijgen in de aard van elke bedreiging en de juiste beveiligingscontroles toe te passen.
Strategieën voor risicobeperking plannen. Nadat u potentiële bedreigingen hebt geïdentificeerd, kunt u beginnen met het bouwen van risicobeperkingsplannen om uw beveiligingsontwerp te verbeteren. Neem deze mitigatiestrategieën op in de backlog van uw team voor het bijhouden.
Hulpprogramma's voor threat modeling gebruiken. Gebruik een hulpprogramma zoals het hulpprogramma Microsoft Threat Modeling om de oefeningen efficiënter te maken en de benadering en rapportageprocessen te standaardiseren.
Compromis: Threat modeling is een intensieve oefening en kan de ontwikkeling vertragen. Geef rekening met de extra inspanning die nodig is in uw ontwikkelingsplanning.
✓ Netwerkverkeersstromen classificeren
Als u netwerkverkeersstromen wilt classificeren, bekijkt u eerst het schematisch van de workloadarchitectuur om inzicht te hebben in de intentie en kenmerken van de stroom. Houd rekening met de netwerkkenmerken van de stroom, zoals protocol- en pakketdetails en eventuele nalevingsvereisten. Classificeer de stroom op basis van de zichtbaarheid van externe netwerken. Onderscheid maken tussen openbare en privéworkloads. Implementeer beveiligingsmaatregelen zoals load balancers of firewalls om kritieke stromen te beveiligen.
✓ Geavanceerde versleutelingsstrategieën gebruiken
Controleer uw nalevingsvereisten en evalueer uw versleutelingsconfiguraties opnieuw om te bepalen hoe u uw ontwerp kunt verbeteren met behulp van geavanceerde versleutelingsstrategieën. U moet bijvoorbeeld dubbele versleuteling gebruiken of uw versleutelingssleutels beheren.
Als u uw eigen sleutels wilt beheren, gebruikt u een sleutelbeheerservice om het risico op verlies van een sleutel te beperken of om sleutels niet te roteren op basis van uw vereisten. Bepaal welke service het beste overeenkomt met uw use-case.
Compromis: Door dubbele versleuteling te gebruiken of uw eigen sleutels te beheren, worden kosten en operationele lasten aan uw workload toegevoegd. Zorg ervoor dat u deze strategieën voor uw specifieke vereisten onderzoekt voordat u ze implementeert.
✓ Systeemcontrole implementeren
Als u de systeemintegriteit wilt behouden, houdt u een nauwkeurige en up-to-datumrecord van de systeemstatus bij om onmiddellijk eventuele problemen op te lossen. Houd het maken en buiten gebruik stellen van resources bij, bewaak configuratiewijzigingen en zorg ervoor dat logboeken specifieke gegevens en timing van wijzigingen vastleggen. Houd bovendien een uitgebreid overzicht van patchprocessen, detecteer wijzigingen in het besturingssysteem en stel waarschuwingen in voor onverwachte wijzigingen.
✓ Bouw een plan voor het reageren op incidenten
Maak een plan voor reactie op incidenten waarmee u snel potentiële en actieve beveiligingsrisico's kunt detecteren en erop kunt reageren. Het plan moet de volgende overwegingen bevatten:
Identificeer de eigenaren van incidenten in het workloadteam. Een of meer personen in het workloadteam moeten verantwoordelijk zijn voor het ontvangen van waarschuwingsmeldingen en het werken met triageteams om efficiënt te reageren op incidenten.
Onderzoeken en triageprocessen. Bepaal de juiste communicatiemethoden, zoals asynchrone updates versus een brugaanroep. Neem alleen het benodigde personeel op om de focus op het onmiddellijke probleem te houden. Zorg ervoor dat u architectuurdiagrammen en andere documentatie over de workload actueel houdt om ervoor te zorgen dat het team efficiënt kan werken.
Herstel na incidenten. Behandel beveiligingsincidenten als rampen en stem uw plan voor incidentrespons af op uw BCDR-plan (bedrijfscontinuïteit en herstel na noodgevallen). Minimaliseer het risico op herhaling door het probleem te verhelpen voordat u het gecompromitteerde onderdeel opnieuw introduceert.
Leer van incidenten. Voer incidentbeoordelingen uit, ook wel postmortems genoemd, om te zoeken naar verbeteringsmogelijkheden. Neem tijd op in uw planning voor het implementeren van verbeteringen en neem verbeteringen op in uw BCDR-oefeningen.
Communiceren met eindgebruikers en belanghebbenden. Zorg ervoor dat u gebruikers en belanghebbenden up-to-date houdt terwijl u incidenten afhandelt. Definieer de juiste communicatiekanalen en frequentie om updates te verzenden.
Compromis: Onderzoek-, risicobeperkings- en herstelprocessen kunnen van invloed zijn op uw betrouwbaarheidsdoelen. Mogelijk moet u onderdelen van uw systeem uitschakelen tijdens een incident. Deze aanpak kan van invloed zijn op functionele of niet-functionele vereisten. Zakelijke besluitvormers moeten bepalen wat het acceptabele hersteldoel moet zijn tijdens een incident.
Beveiligingscontroles verfijnen op basis van productie-inzichten en operationele gegevens.
Op niveau 4 moet uw workload lang genoeg in productie zijn om nuttige gegevens over normale bedrijfsomstandigheden te verzamelen. U moet waarneembaarheidsgegevens hebben voor beveiligingsdoeleinden, waaronder auditlogboeken, beveiligingsscanrapporten, firewalllogboeken, gebruikspatronen voor onderdelen, incidentrapporten en andere gegevenspunten die u kunt analyseren voor verbeteringsmogelijkheden. Standaardiseer regelmatig een beoordeling van uw beveiligingsmechanismen om de beveiliging van workloads te optimaliseren en een doorlopende verbeteringsmentaliteit te versterken.
Wanneer u uw beveiligingsmechanismen verfijnt, volgt u volwassen procedures voor wijzigingsbeheer om ervoor te zorgen dat alle wijzigingen veilig worden uitgevoerd en controleerbaar blijven.
Belangrijke strategieën
✓ De beveiligingsbasislijn continu opnieuw bezoeken en verfijnen
Als onderdeel van uw operationele doorlopende verbeteringsprocedures controleert u regelmatig de beveiligingsbasislijn en zoekt u naar verbeteringsmogelijkheden. Wanneer u de workload verbetert met nieuwe functies of technologieën, kunt u nieuwe beveiligingsproblemen introduceren. Dus het bijhouden van de basislijn up-to-datum is een noodzakelijke parallelle activiteit. Naarmate de beveiligingsexpertise van uw team groeit, vindt u mogelijk basislijnconfiguraties die u kunt verfijnen om uw beveiligingspostuur verder te versterken.
Gebruik geautomatiseerde hulpprogramma's voor beveiligingsbeheer, zoals Azure Policy en Microsoft Defender for Cloud, om de naleving van resources met uw basislijn te stroomlijnen.
✓ Verfijn uw beveiligingsbewakingsstrategie
Gebruik productie-inzichten om verbeteringen aan te brengen in uw beveiligingsbewaking en waarschuwingen. Wanneer u uw resourcecontrole, het scannen van beveiligingsproblemen of andere beveiligingsbewaking voor het eerst hebt geïmplementeerd, hebt u mogelijk een algemene benadering gevolgd voor logboekregistratieniveaus, bewaarbeleid of andere instellingen. Gebruik de gegevens die u in productie verzamelt om deze instellingen te verfijnen op basis van gebruikspatronen die overeenkomen met uw organisatiestandaarden. Naarmate uw workload zich ontwikkelt, controleert u continu de implementatie van beveiligingsbewaking en waarschuwingen om ervoor te zorgen dat alle resources correct zijn geconfigureerd.
✓ Versterk uw netwerkbeveiliging aan de edge
Verbeter de netwerkbeveiliging door microsegmentatie toe te passen om laterale verplaatsing van de workload te voorkomen. Deze strategie kan bestaan uit het verplaatsen van onderdelen naar afzonderlijke subnetten die worden beveiligd door netwerkbeveiligingsgroepen of het gebruik van ingebouwde functies voor specifieke resources om het verkeer te beperken. Veel Azure-databaseservices bevatten bijvoorbeeld een ingebouwde firewall die u kunt gebruiken om de toegang tot openbare en particuliere netwerken te beperken. Houd rekening met de volgende strategieën:
Gebruik privénetwerken alleen in de hele workload. In Azure gebruikt u Azure Private Link om uw virtuele netwerken zoveel mogelijk te verbinden met platform-as-a-service- en software-as-a-service-resources. Zie De beschikbaarheid van de service voor meer informatie.
Bescherm uw API's. Gebruik een API-gatewayoplossing, zoals Azure API Management, om uw API-aanroepen te proxyn. Het gebruik van een proxy minimaliseert de netwerktoegang tot de back-end-API's door alleen de proxy weer te geven en geen van de back-endonderdelen voor bellers.
Verfijn uw firewallregels. Zoek naar mogelijkheden op basis van productieobservaties om uw firewallregels te verfijnen. Mogelijk hebt u in grote lijnen regels geïmplementeerd of versoepeld vanaf het begin van de ontwikkeling die u kunt aanscherpen, of hebt u mogelijk ongebruikte regels die u kunt verwijderen. Op dezelfde manier ontstaan er voortdurend nieuwe bedreigingen en beveiligingsproblemen, waardoor regelmatige updates cruciaal zijn voor netwerkbeveiliging. Definieer een standaardbeoordelingsproces voor uw firewallconfiguraties als onderdeel van uw procedures voor continue verbetering om uw instellingen regelmatig te controleren en bij te werken.
Compromis: Microsegmentatieconfiguraties en API-gateways verhogen de kosten en complexiteit voor uw workload. Pas deze maatregelen zorgvuldig toe om onnodige kosten en operationele overhead te voorkomen. Deze metingen zijn bijvoorbeeld mogelijk niet nodig voor niet-productieomgevingen of interne workloads.
✓ Verfijn uw IAM-configuraties
Analyseer toegangspatronen om gebieden van verbeteringen in uw IAM-configuraties te identificeren. Pas voorwaardelijke toegang en Just-In-Time-toegangsbeheer (JIT) toe op gevoelige onderdelen. Controleer de machtigingen voor alle menselijke en niet-menselijke accounts om ervoor te zorgen dat het principe van minimale bevoegdheden correct wordt afgedwongen. Beheerde identiteiten hebben vaak onjuiste machtigingen, dus neem ze op in machtigingencontroles. Voer deze controles regelmatig uit als onderdeel van uw operationele procedures.
Compromis: Voorwaardelijke toegang en JIT-toegangsbeleid vereisen doorlopend beheer en vereisen mogelijk gebruikerstraining. Zorg ervoor dat ze geschikt zijn voor uw use-case voordat u ze implementeert.
✓ Verfijn het plan voor het reageren op incidenten
U kunt beveiligingsincidenten niet volledig simuleren voordat u uw workload in productie uitvoert. Praktijkincidenten bieden waardevolle inzichten waarmee reactieprocessen kunnen worden verbeterd. Neem contact op met alle teamleden die betrokken zijn bij het reageren op incidenten in retrospectiesessies om te bepalen wat er goed is gegaan en welke gebieden u kunt verbeteren. Neem deze inzichten op in incidentanalyses om ze realistischer te maken.
Strategisch investeren in beveiligingsoplossingen op ondernemingsniveau en geavanceerde mogelijkheden voor bedreigingsbeveiliging.
Niveau 5 van het volwassen model is gericht op geavanceerde beveiligingsmaatregelen voor zeer volwassen organisaties. Houd zorgvuldig rekening met elk van de volgende aanbevelingen ten opzichte van andere pijlers van het Well-Architected Framework om ervoor te zorgen dat deze overeenkomen met uw workload. U moet een duidelijk inzicht hebben in nalevingsvereisten, organisatiestandaarden, levenscyclusplannen voor workloads en andere unieke omgevingsfactoren die uw besluitvorming informeren.
Belangrijke strategieën
✓ Investeren in gespecialiseerde bescherming tegen bedreigingen
Grotere organisaties en specifieke branches zijn waarschijnlijk doelen van gespecialiseerde bedreigingen. Om deze risico's te beperken, moet u evalueren of u moet investeren in een hoger beschermingsniveau. Overweeg of uw use-case investeringen rechtvaardigt in de volgende oplossingen:
DDoS-beveiliging (Distributed Denial of Service). Organisaties met een grote openbare aanwezigheid zijn de meest voorkomende doelen voor DDoS-aanvallen. Cloudproviders zoals Azure bevatten doorgaans gratis DDoS-beveiliging op basisniveau die voldoende is voor veel gebruiksscenario's. Ze bieden ook vaak geavanceerde lagen die bescherming bieden tegen grotere, geavanceerdere aanvallen en een hoger niveau van on-call-ondersteuning bieden om lopende aanvallen te beperken.
Geautomatiseerde preventie van gegevensverlies (DLP). DLP is een beveiligingsstrategie waarmee gevoelige gegevens worden geïdentificeerd, bewaakt en beschermd tegen onbevoegde toegang, misbruik of onbedoelde openbaarmaking. Organisaties die grote hoeveelheden gevoelige informatie verwerken, zoals financiële instellingen, zorgaanbieders en overheidsinstanties, profiteren aanzienlijk van DLP om de gegevensintegriteit te behouden en te voldoen aan regelgeving. Overweeg het gebruik van een hulpprogramma zoals Microsoft Purview om uw DLP-beleid te automatiseren.
Beveilig gegevens die in gebruik zijn met confidential computing. De cloudproviders versleutelen doorgaans gegevens die in rust zijn en tijdens het transport standaard. Om de beveiliging verder te verbeteren, beveiligt u gegevens die in gebruik zijn met behulp van een confidential computing-oplossing. Deze oplossing is vooral van cruciaal belang voor gereguleerde sectoren, zoals gezondheidszorg en financiën voor overheidsentiteiten. Azure biedt vertrouwelijke virtuele machines, containerservices en andere platform-as-a-service- en software-as-a-service-oplossingen. Met deze oplossingen kunt u veilig werken aan gevoelige gegevens terwijl blootstelling aan onbevoegde gebruikers of systemen wordt voorkomen en aan de nalevingsvereisten wordt voldaan.
✓ Investeren in SIEM- en SOAR-oplossingen
SIEM- en SOAR-oplossingen, zoals Microsoft Sentinel, automatiseren afwijkende gedragsdetectie, opsporing van bedreigingen en verschillende reactieactiviteiten. Deze oplossingen verminderen de operationele last aanzienlijk, met name voor grotere organisaties, door het verzamelen en analyseren van gegevens in grote, complexe omgevingen te beheren. Microsoft Sentinel biedt ingebouwde ondersteuning voor veel Microsoft-producten. Deze ondersteuning zorgt voor naadloze integratie.
✓ Investeren in geavanceerde beveiligingstests
Op eerdere rijpheidsniveaus standaardiseert u beveiligingstests, waaronder netwerk-, identiteits- en toepassingsevaluaties. Overweeg op niveau 5 te investeren in gesimuleerde aanvalstests, zoals oorlogsspeloefeningen en penetratietests. In sommige scenario's moet u mogelijk contact opnemen met een niet-Microsoft-leverancier om penetratietests of andere beveiligingstests uit te voeren om te voldoen aan uw nalevingsvereisten. Onderzoek en evalueer gerenommeerde leveranciers om ervoor te zorgen dat ze de beste waarde voor uw organisatie bieden.