Безопасность нулевого доверия в Azure

Нулевое доверие — это стратегия безопасности, предполагающая нарушение и проверяющая каждый запрос, как будто она возникла из неконтролируемой сети. В этой статье представлены принципы "Никому не доверяй" и их применение к Azure.

Принципы нулевого доверия для Azure

Сегодня организации нуждаются в модели безопасности, которая эффективно адаптируется к сложности современной среды, охватывает мобильных сотрудников и защищает людей, устройств, приложений и данных, где бы они ни находились.

Модель безопасности нулевого доверия основана на трех руководящих принципах:

• Проверяйте явно — всегда проходите проверку подлинности и авторизации на основе всех доступных точек данных, включая удостоверение пользователя, расположение, работоспособность устройства и службу или рабочую нагрузку.
• Используйте доступ с минимальными привилегиями - Ограничивайте доступ пользователей с помощью Just-In-Time и Just-Enough-Access (JIT/JEA), адаптивных политик на основе рисков и защиты данных.
• Предположить нарушение — минимизировать влияние и сегментировать доступ. Проверьте сквозное шифрование и используйте аналитику, чтобы получить видимость, стимулировать обнаружение угроз и улучшать методы защиты.

Применение принципов к рабочим нагрузкам Azure

При реализации нулевого доверия в Azure эти принципы преобразуется в конкретные архитектурные шаблоны:

Явная проверка означает, что каждый запрос на доступ к ресурсам Azure должен проходить проверку подлинности и авторизацию с помощью Microsoft Entra ID, а политики условного доступа должны оценивать риск на основе множества сигналов, включая сведения о пользователе, устройстве, местоположении и контексте рабочей нагрузки.

Использование доступа с наименьшими привилегиями требует ролевого контроля доступа (RBAC) с минимальными правами, доступа Just-In-Time (JIT) для административных операций и управляемых идентичностей вместо хранения учетных данных.

Предполагаемое нарушение способствует сегментации сети для ограничения бокового перемещения, использованию шифрования для защиты данных в состоянии покоя и при передаче, непрерывному мониторингу и обнаружению угроз, а также неизменяемым резервным копиям для защиты от разрушительных атак.

Архитектура нулевого доверия в Azure

Подход нулевого доверия распространяется на весь цифровой объект и служит интегрированной философией безопасности и комплексной стратегией. При применении к Azure требуется многопрофильный подход, который систематически решает инфраструктуру, сети, идентификацию и защиту данных.

На этом рисунке демонстрируются основные элементы, которые вносят вклад в концепцию ""Никому не доверяй"".

На рисунке:

• Применение политики безопасности находится в центре архитектуры нулевого доверия. Это применение включает многофакторную аутентификацию с условным доступом, учитывающую риски учетной записи пользователя, статус устройства и другие критерии и политики, которые вы устанавливаете.
• Удостоверения, устройства (также называемые конечными точками), данные, приложения, сети и другие компоненты инфраструктуры настроены с соответствующей безопасностью. Политики, настроенные для каждого из этих компонентов, координируются с общей стратегией нулевого доверия.
• Защита от угроз и аналитическая система отслеживает состояние среды, выявляет текущие риски и принимает автоматические меры для устранения атак.

От периметральной безопасности к нулевому доверию

Традиционный подход к контролю доступа в ИТ ограничивает доступ пределами периметра корпоративной сети. Эта модель ограничивает все ресурсы корпоративным сетевым соединением и слишком ограничена для удовлетворения потребностей динамического предприятия.

В средах Azure переход на нулевое доверие особенно важен, так как облачные ресурсы существуют за пределами традиционных периметров сети. Организации должны принять подход к управлению доступом без доверия, так как они принимают удаленную работу и используют облачные технологии для преобразования бизнес-модели.

Принципы нулевого доверия помогают создавать и постоянно улучшать гарантии безопасности, сохраняя гибкость, необходимую в современных облачных средах. Большинство проектов внедрения принципов нулевого доверия начинаются с управления доступом и сосредотачиваются на идентификации как основном и предпочитаемом механизме контроля. Технология безопасности сети остается ключевым элементом, но это не доминирующий подход в полной стратегии контроля доступа.

Дополнительные сведения о преобразовании управления доступом к модели "Нулевое доверие" в Azure см. в разделе "Управление доступом" в Cloud Adoption Framework.

Реализация нулевого доверия для инфраструктуры Azure

Применение нулевого доверия к Azure требует методического подхода, которая охватывает различные уровни вашей инфраструктуры, от базовых элементов до полных рабочих нагрузок.

Компоненты IaaS и инфраструктуры Azure

"Никому не доверяй" for Azure IaaS обращается к полному стеку инфраструктуры: службам хранилища с элементами управления шифрованием и доступом, виртуальным машинам с доверенным запуском и шифрованием дисков, периферийным сетям с микросегментацией, сетями концентраторов с централизованными службами безопасности и интеграцией PaaS через частные конечные точки. Подробные инструкции см. в статье "Применение принципов нулевого доверия к Azure IaaS".

Сети Azure

Безопасность сети сосредоточена на четырех ключевых областях: шифрование всего сетевого трафика, сегментация с помощью групп безопасности сети и Брандмауэр Azure, видимость через мониторинг трафика и прекращение устаревших элементов управления на основе VPN в пользу подходов, ориентированных на идентификацию. Подробные инструкции см. в статье "Применение принципов нулевого доверия к сети Azure".

Идентификация как плоскость управления

Идентичность является основной плоскостью управления для нулевого доверия в Azure. Условный доступ служит основным механизмом политики, оценивая запросы доступа на основе нескольких сигналов предоставления, ограничения или блокировки доступа. Дополнительные сведения см. в разделе "Условный доступ для нулевого доверия " и "Безопасность управления удостоверениями Azure".

Защита данных и обеспечение доступности

Для защиты данных в Azure используются несколько уровней: шифрование данных в состоянии покоя и при передаче, управление доступом на основе удостоверений с использованием управляемых удостоверений и RBAC, а для особо чувствительных рабочих нагрузок — конфиденциальные вычисления для защиты данных во время обработки. Устойчивость к разрушительным атакам требует блокировки ресурсов, неизменяемые резервные копии, георепликация и защита самой инфраструктуры восстановления. Подробные рекомендации см. в статье "Защита ресурсов Azure от разрушительных кибератак".

Обнаружение угроз и реагирование

"Никому не доверяй" требует постоянного мониторинга с предположением, что угрозы уже могут существовать. Microsoft Defender для облака обеспечивает унифицированное управление безопасностью и защиту от угроз для ресурсов Azure, а интеграция с Microsoft Defender XDR обеспечивает сопоставление обнаружения во всей среде. Подробные сведения см. в обзоре обнаружения угроз Azure и Microsoft Sentinel и Microsoft Defender XDR.

Общая ответственность и безопасность Azure

Безопасность в Azure — это общая ответственность между Microsoft и вами. Microsoft обеспечивает безопасность физической инфраструктуры и платформы Azure, а вы отвечаете за безопасность идентификации, данных и приложений. Распределение ответственности зависит от модели обслуживания (IaaS, PaaS, SaaS). Реализация нулевого доверия требует координации элементов управления на уровне платформы с выбором конфигурации клиента. Дополнительные сведения см. в статье Общая ответственность в облаке.

Возможности безопасности Azure

Хотя в этой статье рассматривается концептуальное применение нулевого доверия к Azure, важно понимать возможности безопасности, доступные. Azure предоставляет комплексные службы безопасности во всех уровнях инфраструктуры.

Общие сведения о возможностях безопасности Azure, организованных по функциональной области, см. в статье "Общие сведения о безопасности Azure". Представление о безопасности Azure, упорядоченном с помощью возможностей защиты, обнаружения и реагирования, см. в статье "Сквозная безопасность" в Azure.

Более подробные рекомендации доступны для конкретных областей:

• Идентичность и доступ - Azure identity management security overview.
• Сетевая безопасность - Azure network security overview.
• Защита - данныхAzure encryption overview and Azure Key Vault security.
• Вычислительная безопасность - Виртуальные машины Azure security overview.
• Безопасность - Azure platform security overview.
• Обнаружение - угрозОбзор обнаружения угроз Azure.
• Управление и мониторинг - Обзор управления и мониторинга безопасности Azure.

Разработка приложений и нулевое доверие

Приложения, развернутые в Azure, должны проходить проверку подлинности и авторизовать каждый запрос, а не полагаться на неявное доверие из сетевого расположения. Ключевые принципы включают проверку личности с помощью Microsoft Entra ID, запрос минимальных разрешений, защиту конфиденциальных данных и использование управляемых идентификаторов вместо сохранённых учетных данных. Подробные рекомендации см. в статье "Разработка принципов нулевого доверия " и "Создание приложений с нулевым доверием" с помощью платформы удостоверений Майкрософт.

Дальнейшие шаги

Чтобы реализовать нулевое доверие в среде Azure, начните с следующих ресурсов:

• Примените принципы "Никому не доверяй" к обзору сервисов Azure — начните здесь для всестороннего представления о том, как применять "Никому не доверяй" к различным типам сервисов Azure.
• Обзор применения принципов "Никому не доверяй" к инфраструктуре Azure IaaS — подробные рекомендации по инфраструктурным рабочим нагрузкам.
• Применить принципы "Никому не доверяй" к сетям Azure — руководство по внедрению сетевой безопасности.
• Защитите ресурсы Azure от разрушительных кибератак — планирование устойчивости и восстановления.
• Что такое нулевое доверие? - Всесторонние рекомендации по "Никому не доверяй" для всех продуктов Microsoft.

Для более широких ресурсов Microsoft "Никому не доверяй":

• Руководство по развертыванию "Никому не доверяй" — задачи, связанные с технологическими направлениями.
• Фреймворк внедрения "Никому не доверяй" — руководство по внедрению, ориентированному на бизнес-результаты.
• "Никому не доверяй" для Microsoft 365 — рекомендации по SaaS и рабочим нагрузкам для повышения производительности.