Procedure consigliate per la sicurezza operativa di Azure

Questo articolo fornisce un set di procedure consigliate operative per la protezione di dati, applicazioni e altri asset in Azure.

Le procedure consigliate si basano su un consenso d'opinione e funzionano con le funzionalità e i set di funzionalità della piattaforma Azure correnti. Le opinioni e le tecnologie cambiano nel tempo. Microsoft aggiorna regolarmente questo articolo per riflettere tali cambiamenti.

Questo articolo è allineato al modello di sicurezza Zero Trust di Microsoft, che presuppone la violazione e richiede la verifica continua. Per i controlli di sicurezza prescrittivi con imposizione Criteri di Azure, vedere Microsoft Cloud Security Benchmark v2 - Risposta agli eventi imprevisti e MCSB v2 - Gestione della postura e della vulnerabilità.

Definire e distribuire solide procedure di sicurezza operativa

Azure sicurezza operativa si riferisce ai servizi, ai controlli e alle funzionalità disponibili agli utenti per proteggere i dati, le applicazioni e altri asset in Azure. Azure sicurezza operativa si basa su un framework che incorpora le conoscenze acquisite tramite funzionalità esclusive di Microsoft, incluso il programma Security Development Lifecycle (SDL), il Microsoft Security Response Center e una profonda consapevolezza del panorama delle minacce alla cybersecurity.

Imporre la verifica a più fattori per gli utenti

Richiedi una verifica in due fasi per tutti i tuoi utenti. Questo requisito include amministratori e altri membri della tua organizzazione che possono avere un impatto significativo se il loro conto viene compromesso, come i responsabili finanziari.

Hai diverse opzioni per richiedere la verifica in due fasi. L'opzione migliore dipende dagli obiettivi, dall'edizione Microsoft Entra in esecuzione e dal programma di licenza. Vedi Come richiedere la verifica in due passaggi per un utente per determinare l'opzione migliore per te. Consulta la documentazione di Microsoft Entra ID e Microsoft Entra multifactor authentication per ulteriori informazioni su licenze e prezzi.

Le seguenti opzioni e benefici possono aiutarti a abilitare la verifica in due fasi:

Opzione 1: Abilita la MFA per tutti gli utenti e metodi di accesso con Microsoft Entra Security Defaults Vantaggio: Questa opzione ti permette di applicare rapidamente la MFA a tutti gli utenti del tuo ambiente con una politica rigorosa per:

• Mettere alla prova gli account amministrativi e i meccanismi di accesso amministrativo.
• Richiedere una sfida MFA tramite Microsoft Authenticator per tutti gli utenti
• Bloccare i protocolli di autenticazione legacy

Puoi usare questo metodo con tutti i livelli di licenza, ma non puoi combinarlo con le politiche di Accesso Condizionato esistenti. Per maggiori informazioni, consulta Microsoft Entra Security Defaults.

Opzione 2: abilitare l'autenticazione a più fattori modificando lo stato utente. Vantaggio: l'opzione 2 è il metodo tradizionale per richiedere la verifica in due fasi. Questo metodo funziona sia con l'autenticazione multifattore Microsoft Entra nel cloud sia con il server di autenticazione multifattore Azure. Questo metodo richiede agli utenti di eseguire la verifica in due passaggi ogni volta che accedono ed eseguono l'override dei criteri di accesso condizionale.

Per determinare dove abilitare l'autenticazione multifattore, vedi Quale versione dell'autenticazione multifattore Microsoft Entra è quella giusta per la mia organizzazione?

Opzione 3: abilitare l'autenticazione a più fattori con i criteri di accesso condizionale. Vantaggio: Questa opzione richiede la verifica in due fasi in condizioni specifiche utilizzando l'Accesso Condizionato. L'accesso di utenti da posizioni diverse, l'uso di dispositivi non attendibili o l'uso di applicazioni considerate rischiose possono essere considerate condizioni specifiche. La definizione di condizioni specifiche in cui si richiede la verifica in due passaggi consente di evitare di chiedere continuamente conferma agli utenti della loro identità, che può risultare spiacevole.

L'opzione 3 è il modo più flessibile per abilitare la verifica in due fasi per i tuoi utenti. L'abilitazione di un criterio di accesso condizionale funziona solo per Microsoft Entra l'autenticazione a più fattori nel cloud ed è una funzionalità premium di Microsoft Entra ID. Per altre informazioni su questo metodo, vedere Distribuire l'autenticazione a più fattori basata sul cloud Microsoft Entra.

Opzione 4: abilitare l'autenticazione a più fattori con criteri di accesso condizionale valutando i criteri di accesso condizionale basati sul rischio. Vantaggio: questa opzione consente di:

• Individuare le potenziali vulnerabilità che influenzano le identità dell'organizzazione.
• Configurare risposte automatizzate alle azioni sospette rilevate in relazione alle identità dell'organizzazione.
• Esaminare gli eventi imprevisti sospetti ed eseguire l'azione appropriata per risolverli.

Questo metodo utilizza la valutazione del rischio Microsoft Entra ID Protection per determinare se la verifica in due fasi si applica in base al rischio utente e di accesso per tutte le applicazioni cloud. Questo metodo richiede la licenza Microsoft Entra ID P2. Per altre informazioni su questo metodo, vedere Microsoft Entra ID Protection.

Le organizzazioni che non aggiungono ulteriori livelli di protezione dell'identità, come la verifica in due fasi, sono più suscettibili ad attacchi di furto di credenziali. Un attacco con furto di credenziali comporta il rischio di compromissione dei dati.

Gestire e monitorare le password utente

La tabella seguente elenca alcune procedure consigliate relative alla gestione delle password utente:

• Assicurati il giusto livello di protezione da password nel cloud. Segui le indicazioni contenute in Microsoft Password Guidance, che sono rivolte agli utenti delle piattaforme di identità Microsoft (Microsoft Entra ID, Active Directory e account Microsoft).

• Monitora eventuali azioni sospette legate ai tuoi account utente. Monitora utenti a rischio e accessi rischiosi utilizzando i report di sicurezza di Microsoft Entra.

• Rilevare e correggere automaticamente le password ad alto rischio.Microsoft Entra ID Protection è una funzione della Microsoft Entra ID P2 edizione che ti permette di:

  • Rilevare potenziali vulnerabilità che influiscono sulle identità dell'organizzazione.
  • Configurare risposte automatiche alle azioni sospette rilevate correlate alle identità dell'organizzazione.
  • Indagare sugli incidenti sospetti e adottare le azioni appropriate per risolverli.

Ricevere notifiche sugli eventi imprevisti da Microsoft

Assicurati che il tuo team operativo di sicurezza riceva le notifiche di incidenti Azure da Microsoft. Una notifica di incidente aiuta il team di sicurezza a sapere che le risorse Azure sono compromesse, così da poter rispondere rapidamente e risolvere i potenziali rischi di sicurezza.

Nel portale di registrazione Azure è possibile assicurarsi che le informazioni di contatto dell'amministratore includano i dettagli che notificano le operazioni di sicurezza. Le informazioni di contatto sono un indirizzo di posta elettronica e un numero di telefono.

Organizzare le sottoscrizioni Azure in gruppi di gestione

Se l'organizzazione ha molte sottoscrizioni, potrebbe essere necessario trovare una modalità di gestione efficiente dell'accesso, dei criteri e della conformità per tali sottoscrizioni. Gruppi di gestione di Azure forniscono un livello di ambito superiore agli abbonamenti. Le sottoscrizioni vengono organizzate in contenitori denominati gruppi di gestione e le condizioni di governance vengono applicate ai gruppi di gestione. Tutte le sottoscrizioni all'interno di un gruppo di gestione ereditano automaticamente le condizioni applicate al gruppo di gestione.

È possibile creare una struttura flessibile di gruppi di gestione e sottoscrizioni in una directory. A ogni directory viene assegnato un gruppo di gestione principale denominato gruppo di gestione radice. Questo gruppo di gestione radice è integrato nella gerarchia in modo da ricondurre al suo interno tutti i gruppi di gestione e le sottoscrizioni. Il gruppo di gestione radice consente l'applicazione di criteri globali e assegnazioni di ruoli di Azure a livello di directory.

Ecco alcune procedure consigliate per l'uso dei gruppi di gestione:

• Assicurati che i nuovi abbonamenti applichino elementi di governance come politiche e permessi man mano che li aggiungi. Usa il gruppo di gestione root per assegnare elementi di sicurezza a livello enterprise che si applicano a tutti gli asset Azure. Criteri e autorizzazioni sono esempi di elementi.

• Allinea i livelli più alti dei gruppi di gestione con la tua strategia di segmentazione per fornire un punto di controllo e coerenza politica all'interno di ogni segmento. Crea un unico gruppo di gestione per ogni segmento sotto il gruppo di gestione root. Non creare altri gruppi di gestione nel gruppo radice.

• Limitare la profondità del gruppo di gestione per evitare confusione che ostacoli sia le operazioni che la sicurezza. Limita la tua gerarchia a tre livelli, inclusa la radice.

• Seleziona con attenzione quali elementi applicare all'intera azienda con il gruppo di gestione root. Assicurati che gli elementi del gruppo di gestione delle radici abbiano una chiara necessità di essere applicati su ogni risorsa e che siano a basso impatto.

Ecco alcuni candidati appropriati:

• Requisiti normativi che abbiano un chiaro impatto sul business, come restrizioni relative alla sovranità dei dati.

• Requisiti con una probabilità pressoché nulla di avere effetti negativi sulle operazioni, come criteri con effetto audit o assegnazioni di autorizzazioni di Azure RBAC attentamente esaminate.

• Pianifica e testa attentamente tutte le modifiche a livello aziendale sul gruppo di gestione root prima di applicarle (policy, modello RBAC Azure e così via). Le modifiche nel gruppo di gestione delle radici possono influenzare ogni risorsa su Azure. Sebbene forniscano un modo efficace per garantire la coerenza all'interno dell'azienda, gli errori o l'utilizzo errato possono influire negativamente sulle operazioni di produzione. Testare tutte le modifiche apportate al gruppo di gestione radice in un ambiente di test o in un progetto pilota di produzione.

Semplifica la creazione di ambienti con stack di distribuzione e specifiche di modello

Usa gli stack di distribuzione Azure per distribuire e gestire collezioni ripetibili di risorse Azure come un'unica unità. Gli stack di distribuzione supportano template Bicep e Azure Resource Manager, la gestione del ciclo di vita e le impostazioni di negazione che aiutano a proteggere le risorse gestite da cambiamenti indesiderati. Usa le specifiche dei template di Azure Resource Manager per memorizare, versionare e condividere modelli approvati in tutta la tua organizzazione.

Monitorare i servizi di archiviazione per rilevare cambiamenti inattesi nel comportamento

La diagnosi e la risoluzione dei problemi in un'applicazione distribuita ospitata in un ambiente cloud può essere più complesso rispetto agli ambienti tradizionali. Puoi distribuire applicazioni in un'infrastruttura PaaS o IaaS, on-locali, su un dispositivo mobile o in una combinazione di questi ambienti. Il traffico di rete dell'applicazione può passare su reti pubbliche e private e l'applicazione può usare più tecnologie di archiviazione.

Monitora continuamente i servizi di archiviazione utilizzati dalla tua applicazione per eventuali cambiamenti imprevisti nel comportamento, come tempi di risposta più lenti. Usare la registrazione per raccogliere dati più dettagliati e analizzare un problema in modo approfondito. Le informazioni diagnostiche che ottieni sia dal monitoraggio che dal logging ti aiutano a determinare la causa principale del problema che la tua applicazione ha incontrato. Poi potrai risolvere il problema e determinare i passaggi appropriati per risolverlo.

Azure Analisi archiviazione esegue la registrazione e fornisce i dati delle metriche per un account di archiviazione Azure. Usa questi dati per tracciare le richieste, analizzare le tendenze d'uso e diagnosticare problemi con il tuo account di archiviazione.

Prevenire le minacce, rilevarle e rispondere

Microsoft Defender per il cloud ti aiuta a prevenire, rilevare e rispondere alle minacce offrendo una maggiore visibilità e controllo sulla sicurezza delle tue risorse Azure. Defender per il cloud offre monitoraggio integrato della sicurezza e gestione delle policy tra i tuoi abbonamenti Azure, aiuta a rilevare minacce che altrimenti potrebbero passare inosservate e collabora con varie soluzioni di sicurezza.

Defender per il cloud include funzionalità di Foundational Cloud Security Posture Management (CSPM) e accesso gratuito a Microsoft Defender XDR. Per estendere la protezione, abilita piani a pagamento Defender per il cloud per i carichi di lavoro che vuoi proteggere, come Defender CSPM, Defender for Servers Plan 1 o Plan 2, Defender for Storage, Defender for Databases, Defender for Containers, Defender per Key Vault, Defender per App Service, Defender per Resource Manager, Defender per API e AI Services. Questi piani ti aiutano a individuare e correggere vulnerabilità di sicurezza, applicare controlli di accesso e applicazioni per bloccare attività dannose, rilevare minacce tramite analisi e intelligence, e rispondere rapidamente quando sei sotto attacco.

Puoi provare Defender per il cloud gratuitamente per i primi 30 giorni, o finché certi piani non raggiungono i limiti di utilizzo, a seconda di quale sia la prima opportunità. Al termine del periodo di prova o del limite di utilizzo, iniziano gli addebiti in base ai piani che attivi nel tuo ambiente. Per maggiori informazioni, vedi Collega i tuoi abbonamenti Azure e Cos'è Microsoft Defender per il cloud?.

Usare Defender per il cloud per ottenere una visualizzazione centrale dello stato di sicurezza di tutte le risorse nei data center, Azure e altri cloud. A colpo d'occhio, verificare che i controlli di sicurezza appropriati siano in atto e configurati correttamente e identificare rapidamente qualsiasi risorsa che richiede attenzione.

Defender per il cloud si integra anche con Microsoft Defender per endpoint, che offre funzionalità complete di rilevamento e risposta degli endpoint (EDR). Con Microsoft Defender per endpoint integrazione, è possibile individuare anomalie e rilevare vulnerabilità. È anche possibile rilevare e rispondere agli attacchi avanzati negli endpoint server monitorati da Defender per il cloud.

Quasi tutte le organizzazioni aziendali dispongono di un sistema SIEM (Security Information and Event Management) per identificare le minacce emergenti consolidando le informazioni dei log provenienti da diversi dispositivi di raccolta di segnali. I log vengono poi analizzati da un sistema di analisi dei dati per aiutare a identificare ciò che è "interessante" rispetto al rumore inevitabile in tutte le soluzioni di raccolta e analisi dei log.

Microsoft Sentinel è una soluzione scalabile, nativa del cloud, per la gestione delle informazioni e degli eventi di sicurezza (SIEM) e per l'orchestrazione, l'automazione e la risposta (SOAR). Microsoft Sentinel fornisce analisi intelligenti di sicurezza e intelligence sulle minacce attraverso il rilevamento di allarmi, la visibilità delle minacce, la caccia proattiva e la risposta automatica alle minacce.

Ecco alcune procedure consigliate per prevenire, rilevare e rispondere alle minacce:

• Aumenta la velocità e la scalabilità della tua soluzione SIEM utilizzando un SIEM basato su cloud. Indaga le funzionalità e le capacità di Microsoft Sentinel e confrontale con quelle di ciò che stai attualmente utilizzando on-premises. Prendere in considerazione l'adozione di Microsoft Sentinel se soddisfa i requisiti SIEM dell'organizzazione.

• Individua le vulnerabilità di sicurezza più gravi così da poter dare priorità alle indagini. Esamina il tuo punteggio Azure Secure per vedere le raccomandazioni derivanti dalle politiche e iniziative di Azure integrate in Microsoft Defender per il cloud. Queste raccomandazioni consentono di risolvere i principali rischi, ad esempio aggiornamenti della sicurezza, protezione degli endpoint, crittografia, configurazioni di sicurezza, WAF mancante, macchine virtuali connesse a Internet e molti altri ancora.

Il punteggio sicuro, basato sui controlli del Center for Internet Security (CIS), ti aiuta a confrontare la sicurezza Azure della tua organizzazione con fonti esterne. La convalida esterna consente di convalidare e arricchire la strategia di sicurezza del team.

• Monitorare la postura di sicurezza di macchine, reti, servizi di archiviazione e dati e applicazioni, per scoprire e dare priorità ai potenziali problemi di sicurezza. Segui le raccomandazioni di sicurezza di Defender per il cloud, partendo dagli elementi di massima priorità.

• Integra gli avvisi Defender per il cloud nella tua soluzione di gestione delle informazioni e degli eventi di sicurezza (SIEM). La maggior parte delle organizzazioni con un SIEM lo utilizza come centro di compensazione per gli avvisi di sicurezza che richiedono la risposta di un analista. Gli eventi elaborati prodotti da Defender per il cloud vengono pubblicati nel registro attività di Azure, uno dei log disponibili tramite Monitoraggio di Azure. Monitoraggio di Azure offre una pipeline consolidata per il routing dei dati di monitoraggio in uno strumento SIEM. Per istruzioni, vedere Trasmettere avvisi a una soluzione SIEM, SOAR o di gestione dei servizi IT. Se usi Microsoft Sentinel, vedi Connect Microsoft Defender per il cloud.

• Integra i log di Azure con il tuo SIEM. Usa Monitoraggio di Azure per raccogliere ed esportare dati. Questa procedura è fondamentale per abilitare l'analisi degli eventi imprevisti di sicurezza e la conservazione dei log online è limitata. Se stai usando Microsoft Sentinel, consulta Connettere le origini dati.

• Velocizza i processi di indagine e ricerca e riduci i falsi positivi integrando capacità di rilevamento e risposta degli endpoint (EDR) nella tua indagine sugli attacchi.Abilita l'integrazione con Microsoft Defender per endpoint tramite la tua policy di sicurezza Defender per il cloud. È consigliabile usare Microsoft Sentinel per la ricerca di minacce e la risposta agli eventi imprevisti.

Monitoraggio completo della rete basato su scenari

Le organizzazioni costruiscono una rete end-to-end in Azure combinando risorse di rete come una rete virtuale, ExpressRoute, Application Gateway e bilanciatori di peso. Puoi monitorare ciascuna di queste risorse di rete.

Azure Network Watcher è un servizio regionale. Usare gli strumenti di diagnostica e visualizzazione per monitorare e diagnosticare le condizioni di rete a livello di scenario, in entrata, in uscita e all'interno di Azure.

Di seguito vengono descritte le procedure consigliate per il monitoraggio della rete e gli strumenti disponibili.

• Automatizza il monitoraggio remoto della rete con la cattura dei pacchetti. Monitora e diagnostica i problemi di rete senza accedere alle tue VM usando Network Watcher. Attivare l'acquisizione dei pacchetti impostando gli avvisi e ottenere l'accesso alle informazioni sulle prestazioni in tempo reale a livello del pacchetto. Quando noti un problema, puoi indagare in dettaglio per ottenere diagnosi migliori.

• Ottieni informazioni sul traffico della tua rete utilizzando i log di flusso. Costruisci una comprensione più profonda dei tuoi modelli di traffico di rete utilizzando i log di flusso di gruppo di sicurezza di rete. Le informazioni contenute nei log dei flussi aiutano a raccogliere i dati per la conformità, il controllo e il monitoraggio del profilo di sicurezza della rete.

• Diagnosticare problemi di connettività VPN. Usa Network Watcher per diagnosticare problemi comuni di Gateway VPN e connessione. Puoi identificare il problema e usare registri dettagliati per indagare ulteriormente.

Distribuzione sicura tramite strumenti DevOps collaudati

Usare le seguenti procedure consigliate di DevOps per assicurarsi che i team e l'azienda siano produttivi ed efficienti.

• Automatizza la costruzione e il deployment dei servizi.L'infrastruttura come codice è un insieme di tecniche e pratiche che aiutano i professionisti IT a togliersi il peso della costruzione e gestione quotidiana di infrastrutture modulari. L'infrastruttura come codice permette ai professionisti IT di costruire e mantenere il loro moderno ambiente server in modo simile a come gli sviluppatori di software costruiscono e mantengono il codice applicativo.

È possibile usare Azure Resource Manager per effettuare il provisioning delle applicazioni usando un modello dichiarativo. In un unico modello, è possibile distribuire più servizi con le relative dipendenze. Lo stesso modello viene usato per distribuire ripetutamente l'applicazione in ogni fase del ciclo di vita dell'applicazione.

• Compila e distribuisci automaticamente su app web Azure o servizi cloud. Puoi configurare i tuoi progetti Azure DevOps per compilare e distribuire automaticamente su Azure web app o servizi cloud. Azure DevOps distribuisce automaticamente i binari su Azure dopo ogni check-in del codice. Il processo di compilazione del pacchetto equivale al comando Package in Visual Studio e i passaggi di pubblicazione sono equivalenti al comando Pubblica in Visual Studio.

• Automatizza la gestione delle release.Azure Pipelines è una soluzione per l'automatizzazione del deployment in più fasi e la gestione del processo di rilascio. Crea pipeline di distribuzione continua gestita da rilasciare rapidamente e frequentemente. Con Azure Pipelines, puoi automatizzare il tuo processo di rilascio con flussi di lavoro di approvazione predefiniti. Sono supportate la distribuzione locale e nel cloud, l'estensione e la personalizzazione in base alle specifiche esigenze.

• Controlla le prestazioni della tua app prima di avviarla o di distribuire aggiornamenti in produzione. Eseguire test di carico basati su cloud per:

  • Individuare problemi di prestazioni nell'app.
  • Migliorare la qualità della distribuzione.
  • Assicurati che la tua app sia sempre disponibile.
  • Assicurati che la tua app possa gestire il traffico per il tuo prossimo lancio o campagna di marketing.

Apache JMeter è uno strumento open source gratuito e diffuso con un forte supporto della community.

• Monitorare le prestazioni delle applicazioni.applicazione Azure Insights è un servizio estendibile di gestione delle prestazioni applicative (APM) per sviluppatori web su più piattaforme. È possibile usare Application Insights per monitorare l'applicazione Web mentre è in esecuzione. Il servizio rileva automaticamente le anomalie nelle prestazioni Include strumenti analitici per aiutarti a diagnosticare problemi e capire cosa fanno effettivamente gli utenti con la tua app. È progettato per favorire un costante miglioramento delle prestazioni e dell'usabilità.

Mitigare e proteggere dagli attacchi Distributed Denial of Service (DDoS)

Il Distributed Denial of Service (DDoS) è un tipo di attacco che tenta di esaurire le risorse dell'applicazione. L'obiettivo è compromettere la disponibilità e la capacità dell'applicazione di gestire richieste legittime. Gli attacchi stanno diventando più sofisticati con dimensioni e impatto maggiori. Gli attaccanti potrebbero prendere di mira qualsiasi endpoint raggiungibile pubblicamente tramite internet.

La progettazione e la creazione per la resilienza agli attacchi Distributed Denial of Service (DDoS) richiedono pianificazione e progettazione per un'ampia gamma di modalità di errore. Di seguito sono riportate le procedure consigliate per la creazione di servizi resilienti DDoS in Azure.

• Assicurarsi che la sicurezza sia una priorità durante l'intero ciclo di vita di un'applicazione, dalle fasi di progettazione e implementazione alla fase di distribuzione e a quella operativa. Le applicazioni potrebbero avere bug che permettono a un volume relativamente basso di richieste di utilizzare molte risorse, causando un'interruzione del servizio. Per aiutare a proteggere un servizio in esecuzione su Azure, dovresti avere una buona comprensione della tua architettura applicativa e concentrarti sui cinque pilastri della qualità del software. I clienti devono conoscere i volumi di traffico tipici, il modello di connettività tra l'applicazione e le altre applicazioni e gli endpoint di servizio esposti a Internet pubblico.

Garantire che un'applicazione sia abbastanza resiliente da riuscire a gestire un attacco Denial of Service destinato all'applicazione stessa è di fondamentale importanza. La sicurezza e la privacy sono integrate nella piattaforma Azure, a partire da Security Development Lifecycle (SDL). SDL risolve la sicurezza in ogni fase di sviluppo e garantisce che Azure venga continuamente aggiornato per renderlo ancora più sicuro.

• progettare le applicazioni con scalabilità orizzontale per soddisfare la richiesta di un carico amplificato, in particolare in caso di attacco DDoS. Se l'applicazione dipende da una singola istanza di un servizio, crea un singolo punto di errore. Il provisioning di più istanze rende il sistema più resiliente e scalabile. Per Servizio app di Azure selezionare un piano di servizio app che offra più istanze.

Per Servizi cloud di Azure, configura ognuno dei tuoi ruoli per utilizzare istanze multiple.

Per Macchine virtuali di Azure, assicurarsi che l'architettura della macchina virtuale includa più macchine virtuali e che ogni macchina virtuale sia inclusa in un set di disponibilità availability. Usa set di scalabilità di macchine virtuali per le funzionalità di ridimensionamento automatico.

• La disposizione delle difese su più livelli in un'applicazione riduce le probabilità di riuscita degli attacchi. Implementare progettazioni sicure per le applicazioni usando le funzionalità predefinite della piattaforma Azure. Il rischio di attacco aumenta con la dimensione (area superficiale) dell'applicazione. Puoi ridurre la superficie usando una lista di permessi per chiudere lo spazio di indirizzi IP esposto e le porte di ascolto che non sono necessarie nei bilanciatori di carico (Azure Load Balancer e gateway applicazione di Azure).

I gruppi di sicurezza di rete rappresentano un altro modo per ridurre la superficie di attacco. È possibile usare tag di servizio e gruppi di sicurezza dell'applicazione per ridurre la complessità per la creazione della regola di sicurezza e configurare la sicurezza di rete come estensione naturale della struttura di un'applicazione.

È consigliabile distribuire i servizi di Azure in una rete virtuale quando possibile. Ciò consente alle risorse del servizio di comunicare attraverso indirizzi IP privati. Il traffico di servizio di Azure da una rete virtuale utilizza indirizzi IP pubblici come indirizzi IP di origine, per impostazione predefinita.

L'uso di endpoint service commuta il traffico del servizio per usare gli indirizzi IP privati della rete virtuale come indirizzi IP di origine quando accedono al servizio Azure da una rete virtuale.

Gli attaccanti possono colpire le risorse on-premises insieme a quelle in Azure. Se si connette un ambiente locale a Azure, ridurre al minimo l'esposizione delle risorse locali a Internet pubblico.

Azure dispone di due offerte DDoS service che forniscono protezione dagli attacchi di rete:

• DDoS Infrastructure Protection è integrata di default in Azure senza costi aggiuntivi. La scala e la capacità della rete Azure distribuita globalmente difendono dagli attacchi comuni a livello di rete attraverso il monitoraggio del traffico sempre attivo e la mitigazione in tempo reale. La Protezione dell'Infrastruttura non richiede modifiche alla configurazione o alle applicazioni dell'utente e aiuta a proteggere tutti i servizi Azure, inclusi i servizi PaaS come DNS di Azure.
• La protezione di rete DDoS fornisce avanzate capacità di mitigazione DDoS contro attacchi di rete. Viene ottimizzato automaticamente per proteggere le risorse di Azure specifiche. Puoi abilitare la protezione durante la creazione o dopo la creazione della rete virtuale, e non richiede modifiche a applicazioni o risorse.

Abilitare Criteri di Azure

Criteri di Azure è un servizio in Azure usato per creare, assegnare e gestire i criteri. Questi criteri applicano regole ed effetti alle risorse, in modo che le risorse rimangano conformi ai contratti di servizio e agli standard aziendali. Criteri di Azure soddisfa questa esigenza valutando le risorse per la mancata conformità ai criteri assegnati.

Abilitare Criteri di Azure per monitorare e applicare i criteri scritti dell'organizzazione. Questo approccio garantisce la conformità ai requisiti di sicurezza aziendali o normativi gestendo centralmente le politiche di sicurezza su tutti i tuoi carichi di lavoro cloud ibridi. Leggere come creare e gestire i criteri per applicare la conformità. Per una panoramica degli elementi di un criterio, consultare la struttura della definizione di Criteri di Azure.

• Usa Criteri di Azure per far rispettare le raccomandazioni del Microsoft Cloud Security Benchmark v2 (preview) in tutto il tuo ambiente. Il Microsoft Cloud Security Benchmark v2 (anteprima) offre best practice di sicurezza complete con una copertura Criteri di Azure ampliata (420+ misure basate su policy). Assegnare i criteri di Microsoft Cloud Security Benchmark v2 (anteprima) alle sottoscrizioni e ai gruppi di gestione per controllare e applicare continuamente configurazioni sicure. Il benchmark include nuovi controlli per la sicurezza dell'intelligenza artificiale, il confidential computing e il rilevamento avanzato delle minacce. Usare il dashboard di conformità alle normative di Defender per il cloud per tenere traccia della conformità e identificare i gap di sicurezza che richiedono la correzione.

Ecco alcune procedure consigliate per la sicurezza da seguire dopo aver adottato Criteri di Azure:

• Avvia le implementazioni delle policy in modalità audit. Le politiche consentono diversi tipi di effetti. È possibile leggerle in Struttura di definizione di Criteri di Azure. Le operazioni aziendali possono essere influenzate negativamente dall'effetto di rifiuto e dall'effetto di correzione, quindi iniziare con l'effetto di controllo per limitare il rischio di un impatto negativo dei criteri. In seguito, passa a blocco o correzione. Testare ed esaminare i risultati dell'effetto di controllo prima di passare al rifiuto o alla correzione.

  Per altre informazioni, vedere Creare e gestire i criteri per applicare la conformità.

• Individuare i ruoli responsabili del monitoraggio delle violazioni delle politiche e dell'assicurazione di una rapida rimedia. Fai monitorare la conformità dal ruolo assegnato tramite il portale Azure o tramite la riga di comando.

• Criteri di Azure è una rappresentazione tecnica dei criteri scritti di un'organizzazione. Eseguire il mapping di tutte le definizioni di Criteri di Azure ai criteri dell'organizzazione per ridurre la confusione e aumentare la coerenza. Mappa i documenti nella documentazione della tua organizzazione o nella stessa definizione di Criteri di Azure aggiungendo un riferimento alla policy organizzativa nella definizione della policy o nella descrizione della definizione dell'iniziativa.

Monitora i report sui rischi di Microsoft Entra

La maggior parte delle violazioni della sicurezza avviene quando gli utenti malintenzionati ottengono l'accesso a un ambiente rubando l'identità di un utente. L'individuazione di identità compromesse non è un'operazione semplice. Microsoft Entra ID usa algoritmi di Machine Learning adattivi e euristica per rilevare azioni sospette correlate agli account utente. Ogni azione sospetta rilevata viene archiviata in un record detto rilevamento di rischi. I rilevamenti dei rischi vengono registrati nei report di sicurezza Microsoft Entra. Per altre informazioni, vedere il report della sicurezza sugli utenti a rischio e il report della sicurezza sugli accessi a rischio.

Passaggi successivi

Vedere Panoramica della risposta agli incidenti per indicazioni sulla risposta agli incidenti di sicurezza nell'ambiente Azure. Vedere Azure procedure consigliate e modelli di sicurezza per altre procedure consigliate per la sicurezza da usare durante la progettazione, la distribuzione e la gestione delle soluzioni cloud usando Azure.

Sono disponibili le risorse seguenti per fornire informazioni più generali sulla sicurezza Azure e sui servizi Microsoft correlati:

• Azure Security Team Blog - per informazioni aggiornate sulle ultime novità della sicurezza di Azure.
• Microsoft Security Response Center - per segnalare vulnerabilità di sicurezza Microsoft, inclusi problemi con Azure. Puoi anche segnalare vulnerabilità via email a secure@microsoft.com.
• Esaminare Microsoft Cloud Security Benchmark v2 - Risposta agli eventi imprevisti e MCSB v2 - Gestione della postura e della vulnerabilità per indicazioni complete sulla sicurezza operativa con mapping Criteri di Azure.
• Scopri la Microsoft Secure Future Initiative (SFI), le migliori pratiche interne di sicurezza di Microsoft.
• Esplorare i principi Zero Trust per indicazioni sull'implementazione di un'architettura di sicurezza Zero Trust.