Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel stellen wir Sicherheitsaktivitäten und -steuerelemente vor, die Sie berücksichtigen sollten, wenn Sie Anwendungen für die Cloud bereitstellen. Sicherheitsfragen und -konzepte, die während der Veröffentlichungs- und Reaktionsphase des Microsoft Security Development Lifecycle (SDL) behandelt werden, werden behandelt. Ziel ist es, Aktivitäten und Azure-Dienste zu definieren, mit denen Sie eine sicherere Anwendung bereitstellen können.
Die folgenden SDL-Phasen werden in diesem Artikel behandelt:
- Release
- Antwort
Release
Der Fokus der Veröffentlichungsphase ist das Vorbereiten eines Projekts für die öffentliche Veröffentlichung. Dies umfasst die Planung von Möglichkeiten zur effektiven Durchführung von Wartungsaufgaben nach der Veröffentlichung und die Behebung von Sicherheitsrisiken, die später auftreten können.
Überprüfen Sie die Leistung Ihrer Anwendung vor dem Start
Überprüfen Sie die Leistung Ihrer Anwendung, bevor Sie sie veröffentlichen oder Updates für die Produktion bereitstellen. Verwenden Sie Azure Load Testing, um cloudbasierte Lasttests auszuführen, um Leistungsprobleme in Ihrer Anwendung zu finden, die Bereitstellungsqualität zu verbessern, sicherzustellen, dass Ihre Anwendung immer verfügbar ist und dass Ihre Anwendung Datenverkehr für Ihren Start verarbeiten kann.
Web Application Firewall installieren
Webanwendungen sind häufige Ziele bösartiger Angriffe, z. B. SQL-Injection und Cross-Site-Scripting. Das Verhindern dieser Angriffe im Anwendungscode kann komplex sein, was eine strenge Wartung, Patching und Überwachung über mehrere Ebenen der Anwendung erfordert. Eine zentrale Webanwendungsfirewall (WAF) vereinfacht die Sicherheitsverwaltung, indem Sicherheitslücken an einem zentralen Punkt behoben werden, anstatt jede einzelne Webanwendung zu schützen.
Die Azure Web Application Firewall für Azure Application Gateway und Azure Front Door bietet einen zentralen Schutz vor allgemeinen Exploits und Sicherheitsrisiken. Die WAF verwendet Regeln aus den OWASP-Kernregelsätzen 3.0 oder 2.2.9, um stabile Sicherheit für Ihre Webanwendungen bereitzustellen.
Erstellen Sie einen Vorfallreaktionsplan
Die Vorbereitung eines Plans zur Reaktion auf Vorfälle ist entscheidend, um Ihnen bei der Bewältigung neuer Bedrohungen zu helfen, die sich im Laufe der Zeit ergeben könnten. Die Vorbereitung eines Vorfallreaktionsplans umfasst das Identifizieren geeigneter Sicherheitsnotfallkontakte und das Einrichten von Sicherheitswartungsplänen für Code, der von anderen Gruppen in der Organisation übernommen wurde, sowie für lizenzierten Drittanbietercode.
Führen Sie eine abschließende Sicherheitsüberprüfung durch
Die absichtliche Überprüfung aller durchgeführten Sicherheitsaktivitäten trägt dazu bei, die Einsatzbereitschaft Ihrer Softwareversion oder Anwendung sicherzustellen. Die abschließende Sicherheitsüberprüfung (FSR) umfasst in der Regel die Untersuchung von Bedrohungsmodellen, Toolausgaben und den Abgleich mit den Quality Gates und Bug Bars, die in der Anforderungsphase definiert wurden.
Freigabe zertifizieren und archivieren
Durch das Zertifizieren von Software vor einer Veröffentlichung wird sichergestellt, dass die Sicherheits- und Datenschutzanforderungen erfüllt sind. Das Archivieren aller relevanten Daten ist für die Durchführung von Wartungsaufgaben nach der Veröffentlichung unerlässlich. Die Archivierung trägt auch dazu bei, die langfristigen Kosten im Zusammenhang mit kontinuierlicher Softwareentwicklung zu senken.
Antwort
Die Reaktionsphase nach der Veröffentlichung konzentriert sich auf das Entwicklungsteam, das in der Lage und verfügbar ist, angemessen auf alle Berichte über neue Softwarebedrohungen und Sicherheitsrisiken zu reagieren.
Vorfallreaktionsplan ausführen
Den in der Veröffentlichungsphase eingeführten Vorfallreaktionsplan umsetzen zu können, ist unerlässlich, um Kunden vor Softwaresicherheits- oder Datenschutzschwachstellen zu schützen, die entstehen.
Anwendungsleistung überwachen
Die fortlaufende Überwachung Ihrer Anwendung, nachdem sie bereitgestellt wurde, hilft Ihnen möglicherweise, Leistungsprobleme sowie Sicherheitsrisiken zu erkennen.
Azure-Dienste, die die Anwendungsüberwachung unterstützen, sind:
- Azure-Anwendung Insights
- Microsoft Defender for Cloud
Application Insights
Application Insights ist ein erweiterbarer, für Webentwickler konzipierter Dienst zur Verwaltung der Anwendungsleistung (Application Performance Management, APM) auf mehreren Plattformen. Verwenden Sie es, um Ihre Live-Webanwendung zu überwachen. Application Insights erkennt automatisch Leistungsanomalien. Es enthält leistungsstarke Analysetools, die Ihnen helfen, Probleme zu diagnostizieren und zu verstehen, was Benutzer tatsächlich mit Ihrer App machen. Es wurde entwickelt, um Ihnen dabei zu helfen, die Leistung und Benutzerfreundlichkeit kontinuierlich zu verbessern.
Microsoft Defender for Cloud
Microsoft Defender für Cloud hilft Ihnen, Bedrohungen zu verhindern, zu erkennen und darauf zu reagieren, und bietet mehr Transparenz in Bezug auf die Sicherheit Ihrer Azure-Ressourcen, einschließlich Webanwendungen, sowie mehr Kontrolle darüber. Microsoft Defender for Cloud hilft beim Erkennen von Bedrohungen, die andernfalls unbemerkt bleiben. Es funktioniert mit verschiedenen Sicherheitslösungen.
Die kostenlose Stufe von Defender für Cloud bietet nur eingeschränkte Sicherheit nur für Ihre Azure-Ressourcen. Die Defender for Cloud Standard-Stufe erweitert diese Funktionen auf lokale Ressourcen und andere Clouds. Defender for Cloud Standard hilft Ihnen bei:
- Finden und beheben Sie Sicherheitslücken.
- Wenden Sie Zugriffs- und Anwendungskontrollmechanismen an, um böswillige Aktivitäten zu blockieren.
- Erkennen Sie Bedrohungen mithilfe von Analysen und Erkenntnissen.
- Schnell reagieren, wenn Sie angegriffen werden.
Nächste Schritte
In den folgenden Artikeln empfehlen wir Sicherheitskontrollen und -aktivitäten, mit denen Sie sichere Anwendungen entwerfen und entwickeln können.