Поделиться через


Защита развертывания Azure Managed HSM

Управляемый HSM в Azure Key Vault — это облачный аппаратный модуль безопасности, который защищает криптографические ключи. Так как управляемый HSM часто используется для защиты конфиденциальных или критически важных для бизнеса данных, важно защитить доступ к HSM, настроить их в соответствии с рекомендациями по безопасности и отслеживать их для угроз.

В этой статье приводятся рекомендации по обеспечению безопасности развертывания управляемого HSM в Azure Key Vault.

Безопасность сети

Безопасность сети охватывает защиту управляемого устройства HSM с безопасным сетевым подключением, частными конечными точками и элементами управления доступом к сети. Это помогает снизить уровень воздействия HSM на общедоступные сети и гарантирует, что разрешен только авторизованный трафик.

Управление идентичностью

Управление удостоверениями ориентировано на обеспечение безопасности проверки подлинности и управления доступом к ресурсам Управляемого HSM. Microsoft Entra предоставляет централизованное решение для управления идентификацией, позволяющее управлять доступом к уровням управления и данных HSM.

  • Требовать проверку подлинности Microsoft Entra для доступа к уровню данных: Microsoft Entra используется по умолчанию для аутентификации операций на уровне данных в управляемом HSM, обеспечивая централизованное и безопасное управление удостоверениями. Дополнительные сведения см. в разделе проверки подлинности Microsoft Entra.

  • Используйте управляемые удостоверения для безопасного доступа к приложениям: управляемые удостоверения включены по умолчанию, позволяя приложениям проходить проверку подлинности в управляемом HSM без хранения учетных данных. Дополнительные сведения см. в статье об управляемых удостоверениях Microsoft Entra.

  • Проверка подлинности с помощью субъектов-служб при необходимости: используйте субъекты-службы для автоматизированных сценариев и доступа на основе рабочей нагрузки. Дополнительные сведения см. в разделе Управляемое управление ролями HSM.

  • Используйте политики условного доступа для управления доступом: определите политики условного доступа в Microsoft Entra, чтобы ограничить доступ на основе таких условий, как риск пользователя, расположение или соответствие устройств. Дополнительные сведения см. в разделе Условный доступ.

  • Используйте группы безопасности для административного доступа: назначьте роль администратора HSM группе безопасности Microsoft Entra вместо отдельных пользователей. Это снижает риск случайной блокировки при удалении учетной записи пользователя. Инструкции см. в разделе "Управление доступом" для управляемого устройства HSM.

Привилегированный доступ

Привилегированный доступ подчеркивает защиту административных действий и применение принципов доступа с наименьшими привилегиями для снижения риска несанкционированного или чрезмерного доступа.

  • Блокировка доступа к подпискам и группам ресурсов. Используйте Azure RBAC для управления административным доступом на уровне групп управления, подписки и групп ресурсов. Дополнительные сведения см. в обзоре Azure RBAC.

  • При назначении ролей используйте принципы доступа с минимальными привилегиями: предоставьте только минимальный набор необходимых разрешений. Регулярно просматривайте назначения ролей. Дополнительные сведения см. в разделе Управляемое управление ролями HSM.

  • Избегайте назначения нескольких ролей одному и тому же удостоверению: сохраняйте разделение обязанностей, гарантируя, что один пользователь или удостоверение не назначены конфликтующими ролями. Дополнительные сведения см. в разделе "Управление доступом" для управляемого устройства HSM.

  • Создайте пользовательские роли с точными разрешениями: определите пользовательские роли для удовлетворения конкретных требований к доступу при сохранении безопасного набора разрешений. Дополнительные сведения см. в разделе "Управление доступом" для управляемого устройства HSM.

  • Создание назначений ролей по ключу с помощью локальной модели RBAC управляемого устройства HSM: используйте локальную модель RBAC управляемого устройства HSM для управления доступом на уровне отдельного ключа. Дополнительные сведения см. в разделе "Управляемый локальный RBAC HSM".

  • Включите управление привилегированными удостоверениями (PIM) для административных ролей: используйте Microsoft Entra Privileged Identity Management, чтобы обеспечить доступ точно в срок и снизить риск наличия постоянных административных привилегий. Дополнительные сведения см. в разделе "Управление доступом" для управляемого устройства HSM: управление привилегированными удостоверениями.

Ведение журнала и обнаружение угроз

Ведение журнала и обнаружение угроз помогают отслеживать доступ и операции в управляемом HSM, что позволяет обнаруживать подозрительные действия и обеспечивать соответствие политикам безопасности.

  • Включение ведения журнала аудита: настройте параметры диагностики, чтобы включить ведение журнала аудита для управляемого устройства HSM. Журналы фиксируют все прошедшие проверку подлинности запросы REST API, операции ключей и действия домена безопасности. Журналы можно отправлять в учетную запись хранения Azure, рабочую область Log Analytics или Центры событий. Дополнительные сведения см. в разделе "Управляемое ведение журнала HSM".

  • Анализ журналов с помощью Azure Monitor. Используйте Azure Monitor для сбора и анализа журналов из управляемого устройства HSM. Журналы можно запрашивать с помощью Log Analytics и визуализировать в дашбордах или рабочих книгах. Дополнительные сведения см. в статье Monitor Azure Managed HSM.

  • Сохраняйте журналы для соответствия требованиям и расследованиям: убедитесь, что журналы хранятся в течение соответствующего времени, чтобы соответствовать требованиям соответствия требованиям и поддерживать судебно-медицинские расследования. Используйте политики хранения Log Analytics в Azure Monitor для управления хранилищем журналов. Дополнительные сведения см. в статье о хранении журналов в Azure Monitor.

  • Настройте оповещения для критических событий: настройте оповещения, чтобы уведомить вас о критических событиях, таких как неудачные попытки доступа или необычные действия. Используйте Azure Monitor для создания статических или динамических правил генерации оповещений на основе метрик или запросов журналов. Дополнительные сведения см. в разделе "Настройка оповещений управляемого устройства HSM".

  • Интеграция с Microsoft Sentinel: используйте Microsoft Sentinel для обнаружения и реагирования на потенциальные угрозы. Настройте Microsoft Sentinel для мониторинга журналов управляемого модуля HSM и создания настраиваемых правил аналитики для конфиденциальных операций. Дополнительные сведения см. в статье "Настройка Microsoft Sentinel для управляемого устройства HSM Azure".

Резервное копирование и восстановление

Резервное копирование и восстановление помогает защититься от случайной или вредоносной потери данных, обеспечивая надлежащие политики резервного копирования и хранения.

  • Создание обычных резервных копий HSM и резервных копий на уровне ключей: планирование резервных копий HSM и отдельных ключей, чтобы предотвратить потерю данных. Дополнительные сведения см. в разделе "Полное резервное копирование и восстановление".

  • Подготовка к аварийному восстановлению. Выполните процедуры аварийного восстановления для репликации HSM в случае катастрофического сбоя. Убедитесь, что у вас есть домен безопасности, закрытые ключи и последняя резервная копия для восстановления HSM. Дополнительные сведения см. в руководстве по аварийному восстановлению.

  • Включите защиту от очистки: включите защиту очистки, чтобы предотвратить постоянное удаление HSM или его ключей до истечения срока хранения. Дополнительные сведения см. в обзоре мягкого удаления.

  • Сохранение обратимо удаленных ресурсов: обратимое удаление включено по умолчанию. Выберите период хранения от 7 до 90 дней, в течение которого удаленные элементы можно восстановить. Для получения дополнительной информации см. Обзор мягкого удаления.

  • Защитите домен безопасности, чтобы предотвратить криптографическую блокировку. Следуйте рекомендациям по управлению доменом безопасности и его ключами, чтобы обеспечить непрерывность бизнес-процессов и предотвратить несанкционированный доступ. Дополнительные сведения см. в разделе "Общие сведения о домене безопасности".

Управление позицией и уязвимостью

Управление безопасностью и уязвимостью предоставляет рекомендации по использованию средств применения политик для обеспечения соответствия безопасности в вашей среде.

Дальнейшие действия