Schützen von PaaS-Bereitstellungen

Dieser Artikel liefert Informationen, die Ihnen helfen:

• Sicherheitsvorteile von in der Cloud gehosteten Anwendungen
• Bewertung der Sicherheitsvorteile von PaaS (Platform-as-a-Service) im Vergleich zu anderen Clouddienstmodellen
• Verlagerung des Sicherheitsfokus von netzwerkorientierter zu identitätsorientierter Bereichssicherheit
• Implementierung allgemeiner PaaS-Sicherheitsbest-Practices

Entwickeln sicherer Anwendungen in Azure ist ein allgemeiner Leitfaden und behandelt die Sicherheitsfragen und Steuerelemente, die Sie beim Entwickeln von Anwendungen für die Cloud in den einzelnen Phasen des Softwareentwicklungszyklus berücksichtigen sollten.

Sicherheitsvorteile der Cloud

Es ist wichtig, die Aufteilung der Zuständigkeiten zwischen Ihnen und Microsoft zu verstehen. Lokal besitzen Sie den gesamten Stapel, aber während Sie in die Cloud wechseln, übertragen sich einige Verantwortlichkeiten auf Microsoft.

Die Cloud bietet Sicherheitsvorteile. In einer lokalen Umgebung haben Organisationen wahrscheinlich unerfüllte Verpflichtungen und begrenzte Ressourcen, um in Sicherheit zu investieren. Diese Situation schafft ein Umfeld, in dem Angreifer Schwachstellen auf allen Ebenen ausnutzen können.

Organisationen können ihre Bedrohungserkennungs- und Reaktionszeiten verbessern, indem sie die cloudbasierten Sicherheitsfunktionen eines Anbieters und Cloud Intelligence verwenden. Durch die Übertragung von Aufgaben an den Cloudanbieter profitieren Organisationen von einer höheren Sicherheit und können Sicherheitsressourcen und entsprechende Finanzmittel für andere geschäftliche Prioritäten nutzen.

Sicherheitsvorteile eines PaaS-Clouddienstmodells

Überprüfen Sie die Sicherheitsvorteile einer Azure PaaS-Bereitstellung im Vergleich zu On-Premises.

Ausgehend vom unteren Ende des Stapels, bei der physischen Infrastruktur, mildert Microsoft allgemeine Risiken und Zuständigkeiten. Da Microsoft die Microsoft-Cloud kontinuierlich überwacht, ist sie schwer anzugreifen. Für einen Angreifer stellt die Microsoft-Cloud somit kein sinnvolles Ziel dar. Wenn der Angreifer nicht viel Geld und Ressourcen hat, wird er wahrscheinlich zu einem anderen Ziel weiterziehen.

In der Mitte des Stacks unterscheiden sich PaaS-Deployment und On-Premises-Installationen nicht. Auf der Anwendungsebene sowie auf der Konto- und Zugriffsverwaltungsebene bestehen ähnliche Risiken. Der Abschnitt der nächsten Schritte dieses Artikels führt Sie zu Best Practices, um diese Risiken zu eliminieren oder zu minimieren.

An der obersten Ebene des Stacks, also bei Daten-Governance und Rechtemanagement, geht man ein Risiko ein, das durch Schlüsselverwaltung gemindert werden kann. Obwohl das Schlüsselmanagement eine zusätzliche Verantwortung ist, umfasst eine PaaS-Implementierung Bereiche, die Sie nicht mehr verwalten müssen. Du kannst Ressourcen auf das Schlüsselmanagement verlagern.

Die Azure-Plattform bietet auch starken DDoS-Schutz mithilfe verschiedener netzwerkbasierter Technologien. Bei allen Arten von netzwerkbasierten DDoS-Schutzmethoden gelten allerdings gewisse Einschränkungen für Links und Datencenter. Zur Vermeidung der Auswirkungen groß angelegter DDoS-Angriffe können Sie dank der Kernfunktion der Azure-Cloud schnell und automatisch aufskalieren, um DDoS-Angriffe abzuwehren.

Identität als primärer Sicherheitsperimeter

PaaS-Implementierungen verändern Ihren Gesamtansatz in Bezug auf die Sicherheit. Sie müssen sich nun nicht mehr um alles selbst kümmern, sondern können einen Teil der Verantwortung an Microsoft abgeben.

Ein weiterer wichtiger Unterschied zwischen PaaS und herkömmlichen lokalen Bereitstellungen ist eine neue Ansicht der Definition des primären Sicherheitsperimeters. Historisch war der primäre Sicherheitsperimeter vor Ort Ihr Netzwerk, und die meisten On-Premises-Sicherheitsdesigns nutzen das Netzwerk als ihren primären Sicherheitspivot. Für PaaS-Deployments ist Identität der primäre Sicherheitsperimeter.

Eines der fünf grundlegenden Merkmale von Cloud Computing ist umfassender Netzwerkzugriff, was eine netzwerkorientierte Betrachtung weniger relevant macht. Cloud Computing dient zu einem großen Teil dazu, Benutzern unabhängig von ihrem Standort Zugriff auf Ressourcen zu ermöglichen. Für die meisten Nutzer befindet sich ihr Standort irgendwo im Internet.

Die folgende Abbildung zeigt, wie sich der Sicherheitsperimeter von einem Netzwerkperimeter zu einem Identitätsperimeter entwickelt hat. Bei der Sicherheit geht es immer weniger um die Verteidigung Ihres Netzwerks und immer mehr um die Verteidigung Ihrer Daten sowie um die Verwaltung der Sicherheit Ihrer Apps und Benutzer. Der wesentliche Unterschied besteht darin, dass Sie die Sicherheit stärker dem annähern möchten, was für Ihr Unternehmen wichtig ist.

Zunächst haben Azure PaaS-Dienste (z. B. Azure App Service und Azure SQL) wenig oder keine herkömmlichen Netzwerkperimeterabwehr bereitgestellt. Der Zweck des Elements war es, dem Internet zugänglich zu sein (Webrolle), und die Authentifizierung stellt den neuen Umfang bereit (zum Beispiel Azure SQL).

Moderne Sicherheitspraktiken gehen davon aus, dass der Angreifer den Netzwerkperimeter durchbrochen hat. Daher verlagern sich moderne Verteidigungsstrategien auf die Identität. Organisationen müssen einen identitätsbasierten Sicherheitsperimeter mit starker Authentifizierung und Autorisierungshygiene einrichten.

Bewährte Methoden für die Identitätsverwaltung

Nutzen Sie die folgenden Best Practices, um den Identitätsperimeter zu verwalten.

Best Practice: Erwägen Sie zunächst, verwaltete Identitäten für Azure-Ressourcen zu verwenden, um sicher auf andere Dienste zuzugreifen, ohne Zugangsdaten zu speichern. Details: Verwaltete Identitäten liefern automatisch eine Identität für Anwendungen, die in Azure-Diensten laufen, was es ihnen ermöglicht, sich bei Diensten zu authentifizieren, die Microsoft Entra ID unterstützen, ohne dass Zugangsdaten in Code oder Konfigurationsdateien erforderlich sind. Diese Identität verringert das Risiko der Offenlegung von Anmeldeinformationen und vereinfacht die Identitätsverwaltung für Ihre Anwendungen.

Bewährte Methode: Schützen Sie Ihre Schlüssel und Anmeldeinformationen, um Ihre PaaS-Bereitstellung zu schützen. Detail: Der Verlust von Schlüsseln und Anmeldeinformationen ist ein verbreitetes Problem. Du kannst eine zentrale Lösung nutzen, bei der du Schlüssel und Geheimnisse in Hardware-Sicherheitsmodulen (HSMs) speicherst. Azure Key Vault schützt Ihre Schlüssel und Geheimnisse, indem es Authentifizierungsschlüssel, Speicherkontoschlüssel, Datenverschlüsselungsschlüssel, .pfx-Dateien und Passwörter verschlüsselt, indem Schlüssel verwendet werden, die durch HSMs geschützt sind.

Bewährte Methode: Speichern Sie Anmeldeinformationen und andere Geheimnisse nicht im Quellcode oder auf GitHub. Detail: Noch schlimmer als der Verlust von Schlüsseln und Anmeldeinformationen ist es, wenn nicht autorisierte Personen an Ihre Schlüssel und Anmeldeinformationen gelangen. Angreifer können mithilfe von Bottechnologien Coderepositorys wie GitHub nach darin gespeicherten Schlüsseln und Geheimnissen durchsuchen. Speichern Sie keine Schlüssel und Geheimnisse in diesen öffentlichen Code-Repositories.

Bewährte Methode: Verwenden Sie sichere Authentifizierungs- und Autorisierungsplattformen. Detail: Verwenden Sie Microsoft Entra-ID für die Authentifizierung anstelle von benutzerdefinierten Benutzerspeichern. Wenn Sie Microsoft Entra ID verwenden, nutzen Sie einen plattformbasierten Ansatz und delegieren die Verwaltung autorisierter Identitäten. Ein Microsoft Entra ID-Ansatz ist besonders wichtig, wenn Mitarbeiter beendet werden und diese Informationen über mehrere Identitäts- und Autorisierungssysteme reflektiert werden müssen.

Verwenden Sie von der Plattform bereitgestellte Authentifizierungs- und Autorisierungsmechanismen anstelle von benutzerdefiniertem Code. Der Grund: Bei der Entwicklung von benutzerdefiniertem Authentifizierungscode können Ihnen unter Umständen Fehler unterlaufen. Die meisten Ihrer Entwickler sind keine Sicherheitsexperten und sind sich der Feinheiten und neuesten Entwicklungen bei Authentifizierung und Autorisierung kaum bewusst. Die Sicherheit von kommerziellem Code (etwa von Microsoft) wird häufig intensiv geprüft.

Verwenden Sie Multifaktor-Authentifizierung (MFA) und stellen Sie sicher, dass phishing-resistente MFA-Methoden – wie Passkeys, FIDO2 oder zertifikatsbasierte Authentifizierung (CBA) – durch Conditional Access Richtlinien durchgesetzt werden. Implementieren Sie diese mindestens für alle Administratoren und, für eine optimale Sicherheit, mandantenweit. Der Zugriff auf Azure-Verwaltungsschnittstellen (Portal-/Remote-PowerShell) und kundenorientierte Dienste sollten für die Verwendung der mehrstufigen Microsoft Entra-Authentifizierung entworfen und konfiguriert werden.

Für die App-Anmeldung verwenden Sie OpenID Connect (OIDC) mit OAuth 2.0 über Microsoft Entra ID. Diese Protokolle werden umfassend peer-reviewed und werden wahrscheinlich als Teil Ihrer Plattformbibliotheken zur Authentifizierung und Autorisierung implementiert.

Verwenden von Bedrohungsmodellen beim Anwendungsentwurf

Der Microsoft Security Development Lifecycle gibt an, dass sich Teams während der Entwurfsphase auf einen Prozess einlassen sollten, der als Bedrohungsmodellierung bezeichnet wird. Um diesen Prozess zu erleichtern, entwickelte Microsoft das SDL Threat Modeling Tool. Durch Modellieren des Anwendungsentwurfs und Aufzählen von STRIDE-Bedrohungen für alle Vertrauensstellungsgrenzen können Entwurfsfehler frühzeitig abgefangen werden.

In der folgende Tabelle sind die STRIDE-Bedrohungen sowie einige Beispiele für vorbeugende Maßnahmen aufgeführt, bei denen Azure-Funktionen verwendet werden. Diese Maßnahmen zur Abmilderung funktionieren nicht in allen Situationen.

Azure App Service

Azure App Service ist ein PaaS-Angebot, das Ihnen hilft, Web- und mobile Apps für jede Plattform oder jedes Gerät zu erstellen und sich überall in der Cloud oder lokal mit Daten zu verbinden. App Service umfasst die Webfunktionen und mobilen Funktionen, die wir vorher separat als Azure Websites und Azure Mobile Services bereitgestellt haben. Außerdem sind neue Funktionen zum Automatisieren von Geschäftsprozessen und Hosten von Cloud-APIs enthalten.

Verwenden Sie die folgenden Best Practices für den App Service.

Bewährte Methode: Authentifizieren über Microsoft Entra ID. Detail: App Service bietet einen OAuth 2.0-Dienst für Ihren Identitätsanbieter. In OAuth 2.0 liegt der Schwerpunkt auf der Vereinfachung der Cliententwicklung. Gleichzeitig werden bestimmte Autorisierungsabläufe für Webanwendungen, Desktopanwendungen und Mobiltelefone bereitgestellt. Microsoft Entra ID verwendet OAuth 2.0, um Ihnen die Autorisierung des Zugriffs auf mobile und Webanwendungen zu ermöglichen.

Bewährte Methode: Schränken Sie den Zugriff auf Grundlage der Sicherheitsprinzipien „Need-to-know“ und „geringste Rechte“ ein. Detail: Das Einschränken des Zugriffs ist für Organisationen zwingend erforderlich, die Sicherheitsrichtlinien für den Datenzugriff durchsetzen möchten. Sie können Azure RBAC verwenden, um Benutzern, Gruppen und Anwendungen Berechtigungen zu einem bestimmten Bereich zuzuweisen.

Bewährte Methode: Schützen Sie Ihre Schlüssel. Detail: Azure Key Vault unterstützt Sie dabei, kryptografische Schlüssel und Geheimnisse zu schützen, die von Cloudanwendungen und -diensten verwendet werden. Mit Key Vault können Sie Schlüssel und Geheimnisse (beispielsweise Authentifizierungsschlüssel, Schlüssel für Speicherkonten, Datenverschlüsselungsschlüssel, PFX-Dateien und Kennwörter) verschlüsseln, indem Sie Schlüssel verwenden, die durch Hardwaresicherheitsmodule (HSMs) geschützt werden. Zur Steigerung der Sicherheit können Sie Schlüssel in HSMs importieren oder in diesen generieren. Weitere Informationen finden Sie unter Azure Key Vault. Sie können auch Key Vault zum Verwalten Ihrer TLS-Zertifikate mit der automatischen Verlängerung verwenden.

Bewährte Methode: Schränken Sie eingehende Quell-IP-Adressen ein. Detail: Die App Service-Umgebung verfügt über ein Feature zur Integration virtueller Netzwerke, mit dem Sie eingehende Quell-IP-Adressen über Netzwerksicherheitsgruppen einschränken können. Mit virtuellen Netzwerken können Sie Azure-Ressourcen in einem Netzwerk platzieren, das nicht über das Internet geroutet werden kann, und zu dem Sie den Zugang kontrollieren. Weitere Informationen hierzu finden Sie unter Integrieren Ihrer App in ein Azure Virtual Network. Du kannst auch private Verbindung (privater Endpunkt) verwenden und das öffentliche Netzwerk deaktivieren, um die private Netzwerkverbindung zwischen App Service und anderen Diensten zu erzwingen.

Bewährte Methode: Erzwingen von nur HTTPS-Datenverkehr und erfordern TLS 1.2 oder höher für alle Verbindungen. Deaktivieren Sie den FTP-Zugriff, wo möglich. Wenn Dateiübertragung notwendig ist, verwenden Sie FTPS, um sichere, verschlüsselte Übertragungen sicherzustellen. Detail: Konfigurieren Ihres App-Diensts, um nur HTTPS-Datenverkehr zu akzeptieren, stellt sicher, dass Daten während der Übertragung verschlüsselt werden und vertrauliche Informationen vor Abfangen geschützt werden. Die Anforderung von TLS 1.2 oder höher bietet eine stärkere Sicherheit vor Sicherheitsrisiken, die in früheren Protokollversionen gefunden wurden. Durch das Deaktivieren von FTP wird das Risiko reduziert, dass Anmeldeinformationen oder Daten unverschlüsselt übertragen werden. Wenn Sie eine Dateiübertragung benötigen, aktivieren Sie nur FTPS, das sowohl Zugangsdaten als auch Daten während der Übertragung verschlüsselt.

Bewährte Methode: Überwachen Sie den Sicherheitsstatus Ihrer App Service-Umgebungen. Detail: Verwenden Sie Microsoft Defender für Cloud, um Ihre App Service-Umgebungen zu überwachen. Werden potenzielle Sicherheitslücken erkannt, erstellt Defender für Cloud Empfehlungen, die Sie beim Konfigurieren der erforderlichen Steuerelemente unterstützen. Microsoft Defender für App Service bietet Bedrohungsschutz für Ihre App Service-Ressourcen.

Weitere Informationen finden Sie unter Microsoft Defender für App Service.

Firewall für Webanwendungen

Webanwendungen sind zunehmend Ziele böswilliger Angriffe, die allgemein bekannte Sicherheitslücken ausnutzen. Häufige Schwachstellen sind SQL-Injection-Angriffe und Crosssite-Scripting-Angriffe. Die Verhinderung solcher Angriffe im Anwendungscode kann herausfordernd sein und erfordert möglicherweise eine gründliche Wartung, Patching und Überwachung auf vielen Ebenen der Anwendungstopologie. Eine zentralisierte Webanwendungs-Firewall vereinfacht das Sicherheitsmanagement und bietet Anwendungsadministratoren bessere Sicherheit gegenüber Bedrohungen und Eindringlingen. Eine WAF-Lösung kann auch schneller auf eine Sicherheitsbedrohung reagieren, indem eine bekannte Sicherheitsanfälligkeit an einem zentralen Ort gepatcht wird, anstatt jede einzelne Webanwendung zu schützen.

Die Azure Web Application Firewall (WAF) bietet einen zentralen Schutz Ihrer Webanwendungen vor gängigen Exploits und Sicherheitsrisiken. WAF ist über das Azure-Anwendungsgateway und Azure Front Door verfügbar.

DDoS-Schutz

Azure bietet zwei Haupt-DDoS-Schutzebenen: DDoS IP Protection und DDoS Network Protection. Diese Optionen decken unterschiedliche Szenarien ab und weisen unterschiedliche Features und Preise auf.

• DDoS IP-Schutz: Am besten geeignet für den Schutz bestimmter öffentlicher IP-Adressen, ideal für kleinere oder gezielte Bereitstellungen, die wesentliche DDoS-Gegenmaßnahmen auf IP-Ebene benötigen.
• DDoS-Netzwerkschutz: Deckt ganze virtuelle Netzwerke mit erweiterter Entschärfung, Analyse und Integration ab; geeignet für größere oder Unternehmensumgebungen, die eine breitere Sicherheit benötigen.

Wählen Sie DDoS IP Protection für gezielte, kostensensible Fälle. Wählen Sie DDoS Network Protection für umfassende Abdeckung und erweiterte Funktionen.

DDoS Protection schützt auf der Netzwerkebene (3/4). Fügen Sie für die Verteidigung auf Anwendungsebene (7) eine WAF hinzu. Siehe Anwendungs-DDoS-Schutz.

Überwachen der Anwendungsleistung

Azure Monitor sammelt, analysiert und wirkt auf Telemetrie aus Ihrer Cloud und lokalen Umgebungen. Eine effektive Überwachungsstrategie hilft Ihnen, den detaillierten Einsatz der verschiedenen Komponenten Ihrer Anwendung zu verstehen. Diese Strategie hilft Ihnen, Ihre Verfügbarkeit zu erhöhen, indem sie Sie über kritische Probleme informiert, damit Sie sie beheben können, bevor sie zu Problemen werden. Diese Strategie hilft Ihnen auch, Anomalien zu erkennen, die sicherheitsbedingt sein könnten.

Verwenden Sie Application Insights , um Die Verfügbarkeit, Leistung und Nutzung Ihrer Anwendung zu überwachen, unabhängig davon, ob sie in der Cloud oder lokal gehostet wird. Durch Verwendung von Application Insights können Sie Fehler in Ihrer Anwendung schnell erkennen und diagnostizieren, ohne darauf warten zu müssen, dass diese Fehler von Benutzern gemeldet werden. Mit den gesammelten Informationen können Sie fundierte Entscheidungen zu Wartung und Verbesserung Ihrer Anwendung vornehmen.

Application Insights verfügt über umfassende Tools für die Interaktion mit den gesammelten Daten. Application Insights speichert die Daten in einem gemeinsamen Repository. Sie können gemeinsame Funktionen wie Warnungen, Dashboards und umfassende Analysen mit der Kusto-Abfragesprache nutzen.

Ausführen von Penetrationstests

Das Überprüfen von Abwehrmaßnahmen ist genauso wichtig wie das Testen jeder anderen Funktionalität. Richten Sie Penetrationstests als standardmäßigen Bestandteil des Build- und Bereitstellungsprozesses ein. Planen Sie regelmäßige Sicherheitstests und Überprüfungen auf Sicherheitsrisiken für bereitgestellte Anwendungen, und überwachen Sie das System auf offene Ports, Endpunkte und Angriffe.

Nächste Schritte

Dieser Artikel konzentriert sich auf die Sicherheitsvorteile einer Azure PaaS-Bereitstellung und auf bewährte Sicherheitspraktiken für Cloud-Anwendungen. Lernen Sie anschließend empfohlene Praktiken zur Sicherung Ihrer PaaS-Web- und Mobile-Lösungen durch die Nutzung spezifischer Azure-Dienste. Start mit Azure App Service, Azure SQL-Datenbank and Azure Synapse Analytics sowie Azure Storage. Sobald Artikel zu empfohlenen Praktiken für andere Azure-Dienste verfügbar werden, bietet diese Liste Links:

• Azure App Service
• Azure SQL-Datenbank und Azure Synapse Analytics
• Azure Storage

Der Artikel Entwickeln sicherer Anwendungen in Azure behandelt die Sicherheitsfragen und Steuerelemente, die Sie beim Entwickeln von Anwendungen für die Cloud in den einzelnen Phasen des Softwareentwicklungszyklus berücksichtigen sollten.

Weitere bewährte Methoden für die Sicherheit, die Sie beim Entwerfen, Bereitstellen und Verwalten Ihrer Cloudlösungen mithilfe von Azure verwenden können, finden Sie unter Sicherheit in Azure: bewährte Methoden und Muster.

Die folgenden Ressourcen enthalten allgemeinere Informationen zur Sicherheit in Azure und verwandten Microsoft-Diensten:

• Azure-Sicherheitsdokumentation – Umfassende Sicherheitsleitfaden.
• Microsoft Security Response Center – Melden Sie Microsoft-Sicherheitslücken, einschließlich Probleme mit Azure, per E-Mail an secure@microsoft.com.