Sichern Ihrer Azure Cloud HSM-Bereitstellung

Azure Cloud HSM bietet eine HSM-Lösung (High Assurance Hardware Security Module) zum Schutz kryptografischer Schlüssel und zum Sichern vertraulicher Workloads in der Cloud. Die Implementierung bewährter Sicherheitsmethoden ist unerlässlich, um nicht autorisierte access zu verhindern, die Betriebsintegrität aufrechtzuerhalten und die Leistung zu optimieren.

Dieser Artikel enthält Sicherheitsempfehlungen zum Schutz Ihrer Azure Cloud HSM-Bereitstellung.

Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit verifizieren", "Minimalen privilegierten Zugriff verwenden" und "Von einer Kompromittierung ausgehen". Umfassende Zero Trust Anleitungen finden Sie im Zero Trust Guidance Center.

Dienstspezifische Sicherheit

Azure Cloud HSM ist ein single-tenant, FIPS 140-3 Level 3 validierter Dienst, der Kunden die vollständige Verwaltungsautorität über ihre HSMs gewährt. Der Schutz der Vertrauensbasis ist entscheidend für die Sicherheit Ihrer Bereitstellung.

  • Einschränken des Zugriffs auf den privaten Schlüssel des Partitionsbesitzers: Beschränken Des Zugriffs auf den Partitionsbesitzer des privaten Schlüssels (POTA) der Anwendungspartition (PO.key). Der Administrator der Anwendungspartition (AOTA) und POTA private Schlüssel entsprechen dem Stammzugriff und können Kennwörter für Kryptografiebeauftragte (CO)-Benutzer in einer Partition (AOTA für Partition 0, POTA für Benutzerpartitionen) zurücksetzen. PO.key ist für den HSM-Zugriff während der Laufzeit nicht erforderlich. Es ist nur für die erstmalige Unterzeichnung des Partitionsbesitzerauthentifizierungszertifikats (POAC) und das Zurücksetzen des CO-Kennworts erforderlich. Speichern Sie PO.key offline, und führen Sie nach Möglichkeit die anfängliche POAC-Signatur auf einem Offlinecomputer aus. Sie sind für den Schutz Ihres privaten POTA-Schlüssels verantwortlich. Der Verlust führt dazu, dass CO-Kennwörter nicht wiederhergestellt werden können. Speichern Sie den privaten POTA-Schlüssel sicher und pflegen Sie geeignete Sicherungen. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Physische Sicherheitsgarantien verstehen: Azure Cloud HSM wird in sicheren Rechenzentren mit Mechanismen zur Erkennung von Manipulationen gehostet. Physische Sicherheit ist eine Microsoft Verantwortung und inhärent mit dem Dienst. Weitere Informationen finden Sie unter Physische Sicherheit.

  • Planen Sie das Betriebsmodell des Diensts: Azure Cloud HSM verfügt nicht über geplante Wartungsfenster, Microsoft benachrichtigt Sie jedoch vorab über erwartete Auswirkungen. Verfolgen Sie diese Benachrichtigungen und stimmen Sie sie mit Ihren Änderungskontrollprozessen ab. Weitere Informationen finden Sie unter Dienstvorgänge.

Netzwerksicherheit

Die ordnungsgemäße Konfiguration Ihres Netzwerks kann dazu beitragen, nicht autorisierte access zu verhindern und die Gefährdung externer Bedrohungen zu verringern.

  • Nutzung privater Endpunkte: Schützen Sie Ihre Azure Cloud HSM-Bereitstellung mithilfe privater Subnetze und privater Endpunkte, um die Gefährdung des öffentlichen Internets zu verhindern. Dieser Ansatz stellt sicher, dass der Datenverkehr innerhalb des Microsoft Backbone-Netzwerks verbleibt, wodurch das Risiko eines nicht autorisierten Zugriffs reduziert wird. Weitere Informationen finden Sie unter Network Security für Azure Cloud HSM.

Identitäts- und Zugriffsverwaltung

Effektive Benutzerverwaltungs- und Authentifizierungskontrollen sind entscheidend für die Aufrechterhaltung der Sicherheit und Integrität von Azure Cloud HSM. Die Implementierung ordnungsgemäßer Steuerelemente für Benutzeridentitäten, Anmeldeinformationen und Berechtigungen kann dazu beitragen, nicht autorisierte access zu verhindern und die Betriebskontinuität sicherzustellen.

  • Verwenden Sie sichere Kennwörter: Erstellen Sie eindeutige, sichere Kennwörter für HSM-Benutzer. Verwenden Sie mindestens 12 Zeichen, einschließlich einer Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Sichern Ihrer HSM-Benutzeranmeldeinformationen: Bewahren Sie Ihre HSM-Benutzeranmeldeinformationen sorgfältig auf, da Microsoft sie nicht wiederherstellen kann, falls sie verloren gehen sollten. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Implementieren sie sekundäre Administratoren zur Sperrungsverhinderung: Legen Sie mindestens zwei Administratoren fest, um die HSM-Sperrung zu verhindern, falls ein Kennwort verloren geht. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Einrichten mehrerer Kryptografiebenutzer (CUs) mit eingeschränkten Berechtigungen: Erstellen Sie mehrere CUs mit unterschiedlichen Zuständigkeiten, um zu verhindern, dass ein einzelner Benutzer vollzugriff hat. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Beschränken Sie die Fähigkeit von CUs zum Exportieren von Schlüsseln: Beschränken Sie CUs auf den Export von Schlüsselmaterial, indem Sie entsprechende Benutzerattribute festlegen. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Begrenzung der CO-Steuerung über CUs: Verwenden Sie den Befehl disableUserAccess, um zu verhindern, dass CO-Benutzer bestimmte CUs verwalten. CO-Benutzer können diesen Befehl mit älteren Sicherungen umgehen. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Konfigurieren von verwalteten Identitäten: Einrichten von vom Benutzer zugewiesenen verwalteten Identitäten für Sicherungs- und Wiederherstellungsvorgänge und für VMs, die administrative Aktionen ausführen. Weitere Informationen finden Sie unter Benutzerverwaltung in Azure Cloud HSM.

  • Sicheres Speichern von HSM-Anmeldeinformationen: Schützen Sie gespeicherte Anmeldeinformationen, und vermeiden Sie, dass sie verfügbar sind, wenn sie nicht verwendet werden. Konfigurieren Sie Ihre Umgebung so, dass Anmeldeinformationen automatisch abgerufen und festgelegt werden. Weitere Informationen finden Sie unter Authentication in Azure Cloud HSM.

  • Verwenden Sie implizite Anmeldung für JCE-Authentifizierung: Wann immer möglich, verwenden Sie die implizite Anmeldung für die Java Cryptography Extension (JCE) Authentifizierung, um die automatische Verwaltung von Anmeldeinformationen und erneute Authentifizierung zu ermöglichen. Weitere Informationen finden Sie unter Authentication in Azure Cloud HSM.

  • Vermeiden Sie es, Sitzungen über Threads hinweg gemeinsam zu nutzen: Weisen Sie in Multithread-Anwendungen jedem Thread eine eigene Sitzung zu, um Konflikte und Sicherheitsprobleme zu vermeiden. Weitere Informationen finden Sie unter Authentication in Azure Cloud HSM.

  • Implementieren clientseitiger Wiederholungsversuche: Fügen Sie Wiederholungslogik für HSM-Vorgänge hinzu, um potenzielle Wartungsereignisse oder HSM-Ersetzungen zu verarbeiten. Weitere Informationen finden Sie unter Authentication in Azure Cloud HSM.

  • Verwalten Sie HSM-Clientsitzungen sorgfältig: Beachten Sie, dass azurecloudhsm_client Sitzungen zwischen Anwendungen auf demselben Host geteilt werden. Die richtige Sitzungsverwaltung vermeidet Konflikte. Weitere Informationen finden Sie unter Authentication in Azure Cloud HSM.

Datenschutz

Die ordnungsgemäße Handhabung von Schlüsselspeichergrenzen, Sicherheit der Schlüsselverpackung, Schlüsselattributen und Zwischenspeicherstrategien kann den Schutz und die Leistung verbessern.

  • Schlüsselrotation implementieren: Drehen Sie regelmäßig Schlüssel, um ältere zu ersetzen und Speicher freizugeben, während Sie die Sicherheit beibehalten. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Verwenden Sie eine Schlüsselhierarchie: Speichern Sie weniger Schlüssel im HSM, indem Sie Masterschlüssel verwenden, um andere Schlüssel zu verschlüsseln. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Schlüssel freigeben und bei Bedarf wiederverwenden: Reduzieren Sie storage Anforderungen, indem Sie Schlüssel für mehrere Sitzungen freigeben oder wiederverwenden. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Löschen Sie nicht verwendete Schlüssel sicher: Entfernen Sie nicht mehr benötigte Schlüssel, um unnötige Speichernutzung zu vermeiden. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Legen Sie Schlüssel nach Möglichkeit als nicht vertrahbar fest: Verwenden Sie diese Option EXTRACTABLE=0 , um sicherzustellen, dass Schlüssel nicht außerhalb des HSM exportiert werden können. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Aktivieren Sie die Umhüllung vertrauenswürdiger Schlüssel: Verwenden Sie WRAP_WITH_TRUSTED=1, um die Schlüsselumhüllung auf vertraute Schlüssel einzuschränken. Diese Aktion verhindert nicht autorisierte Schlüsselexporte. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Verwenden Sie Schlüsselattribute, um Berechtigungen einzuschränken: Weisen Sie beim Generieren von Schlüsseln nur erforderliche Attribute zu, um unbeabsichtigte Vorgänge einzuschränken. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

  • Cacheschlüsselobjekte für die Leistung: Verwenden Sie Schlüsselsuchebefehle nur einmal während des Anwendungsstarts, und speichern Sie das zurückgegebene Schlüsselobjekt im Anwendungsspeicher, um die Latenz zu reduzieren. Weitere Informationen finden Sie unter Key management in Azure Cloud HSM.

Protokollierung und Überwachung

  • Konfiguration der Vorgangsereignisprotokollierung: Die Vorgangsereignisprotokollierung ist für die Sicherheit von HSMs von entscheidender Bedeutung. Die Ereignisprotokollierung bietet einen konsistenten Datensatz von Zugriff und Vorgängen für Verantwortlichkeit, Rückverfolgbarkeit und einhaltung gesetzlicher Vorschriften. Die Ereignisprotokollierung hilft dabei, nicht autorisierten Zugriff zu erkennen, Vorfälle zu untersuchen und Anomalien zu identifizieren, wodurch die Integrität und Vertraulichkeit kryptografischer Vorgänge sichergestellt wird. Um Sicherheit und Datenschutz zu gewährleisten, schließen Protokolle vertrauliche Daten (z. B. Schlüssel-IDs, Schlüsselnamen und Benutzerdetails) aus. Protokolle erfassen HSM-Vorgänge, Zeitstempel und Metadaten, können jedoch keinen Erfolg oder Fehler ermitteln, da der HSM-Vorgang innerhalb des inneren TLS-Kanals erfolgt. Weitere Informationen finden Sie im Lernprogramm: Ereignisprotokollierung von Vorgängen in Azure Cloud HSM.

  • Streamprotokolle zum Event Hub für die Echtzeitverarbeitung: Für die Echtzeitprotokollverarbeitung und Integration in nachgeschaltete SIEM-Systeme oder benutzerdefinierte Analysepipelinen konfigurieren Sie Event Hub als ein anderes Ziel für Ihre Diagnoseeinstellungen. Weitere Informationen finden Sie im Lernprogramm: Konfigurieren des Event Hubs für Azure Cloud HSM.

Compliance und Governance

Regelmäßige Complianceüberprüfungen helfen Ihnen, zu zeigen, dass Ihre Azure Cloud HSM-Bereitstellung Branchen- und Behördliche Standards erfüllt.

  • Verstehen sie den Compliancestatus des Diensts: Azure Cloud HSM erfüllt mehrere Branchencompliance-Standards und -Zertifizierungen, einschließlich FIPS 140-3 Level 3, eIDAS und PCI / PCI 3DS. Bestätigen Sie die aktuelle Zertifizierungsliste, bevor Sie Cloud HSM für eine regulierte Workload verwenden. Weitere Informationen finden Sie unter Compliance und Zertifizierung.

Sicherung und Wiederherstellung

Azure Cloud HSM bietet eine hohe Verfügbarkeit über gruppierte HSMs, die Schlüssel und Richtlinien synchronisieren, während Arbeitsauslastungen während Fehlern automatisch migriert werden.

  • Sicherung und Notfallwiederherstellung implementieren: Der Dienst unterstützt umfassende Sicherungs- und Wiederherstellungsvorgänge, die alle Schlüssel, Attribute und Rollenzuweisungen erhalten. HSM-abgeleitete Schlüssel sichern Sicherungen, auf die Microsoft nicht zugreifen können. Azure Cloud HSM unterstützt das Wiederherstellen bereits aktivierter HSMs nicht. Verwenden Sie für geschäftskontinuität verwaltete Identitäten für die Authentifizierung, speichern Sie Sicherungen in privaten Azure Blob Storage, implementieren Sie minimale rollenbasierte Zugriffssteuerungsberechtigungen (RBAC), und deaktivieren Sie den Zugriff auf gemeinsam genutzte Schlüssel. Zusätzliche Wiederherstellungsoptionen umfassen die Verwendung von `extractMaskedObject`, um Schlüssel als verschlüsselte Blobs zu extrahieren, sie sicher zu speichern und bei Bedarf mit `insertMaskedObject` zu importieren. Stellen Sie in zwei Regionen bereit, um Failover-Funktionalitäten zu gewährleisten. Weitere Informationen finden Sie unter Sichern und Wiederherstellen Azure Cloud HSM-Ressourcen.

  • Überprüfen Sie die Benutzer- und Schlüsselsynchronisierung über alle Knoten hinweg: Azure Cloud HSM fungiert als Cluster mit drei Knoten. Bei Dienstereignissen wie Selbstreparatur oder Upgrades werden Benutzer oder Schlüssel möglicherweise nicht auf alle Knoten repliziert. Wenn bei Ihnen zeitweilige Authentifizierungs- oder Betriebsfehler auftreten, überprüfen Sie, ob alle Benutzer und Schlüssel auf jedem Knoten vorhanden sind. Weitere Informationen finden Sie unter Synchronisieren von Benutzern und Schlüsseln über Azure Cloud HSM-Knoten hinweg.

Nächste Schritte

  • Last updated on