Azure-infrastructuurintegriteit

Software-installatie

Microsoft bouwt alle componenten in de softwarestack die in de Azure-omgeving zijn geïnstalleerd op maat door het Microsoft Security Development Lifecycle (SDL)-proces te volgen. Microsoft implementeert alle softwarecomponenten, inclusief besturingssysteemimages (OS) en SQL Database, als onderdeel van het change management- en releasemanagementproces. Het besturingssysteem dat op alle nodes draait, is een aangepaste versie. De fabric controller (FC) kiest de exacte versie volgens de rol die het OS wil laten spelen. Daarnaast staat het host-besturingssysteem geen installatie toe van ongeautoriseerde softwarecomponenten.

Azure deployeert sommige Azure-componenten als klantworkloads op een gast-VM die draait op een gast-OS.

Virusscans op builds

Azure softwarecomponenten, inclusief besturingssysteembouwen, moeten een virusscan ondergaan die gebruikmaakt van de antivirustool Endpoint Protection. Elke virusscan maakt een log aan binnen de bijbehorende builddirectory, waarin staat wat er is gescand en de resultaten van de scan. De virusscan maakt deel uit van de buildbroncode voor elke component binnen Azure. Azure verplaatst code niet naar productie zonder een schone en succesvolle virusscan. Als scans problemen detecteren, bevriest Azure de build. De build gaat naar de beveiligingsteams binnen Microsoft Beveiliging om te identificeren waar de ongeautoriseerde code in de build is binnengekomen.

Gesloten en afgesloten omgeving

Standaard maakt Azure geen gebruikersaccounts aan op Azure-infrastructuurnodes en gast-VM's. Daarnaast zijn standaard Windows-beheerdersaccounts ook uitgeschakeld. Beheerders van Azure Live-ondersteuning kunnen, met de juiste authenticatie, inloggen op deze machines en het Azure-productienetwerk beheren voor noodreparaties.

Azure SQL Database-authenticatie

Net als bij elke implementatie van SQL Server moet u het beheer van gebruikersaccounts strak in de hand houden. Azure SQL Database ondersteunt SQL-authenticatie en Microsoft Entra-authenticatie. Om het databeveiligingsmodel van een klant te ondersteunen, gebruik gebruikersaccounts met sterke wachtwoorden en specifieke rechten.

ACL's en firewalls tussen het Microsoft-bedrijfsnetwerk en een Azure-cluster

Toegangscontrolelijsten (ACL's) en firewalls tussen het serviceplatform en het Microsoft-bedrijfsnetwerk beschermen SQL-database-instanties tegen ongeautoriseerde insider-toegang. Ook kunnen alleen gebruikers van IP-adresbereiken binnen het Microsoft bedrijfsnetwerk toegang krijgen tot het Windows Fabric platformbeheer-endpoint.

ACL's en firewalls tussen knooppunten in een SQL-databasecluster

Als onderdeel van de defense-in-depth-strategie implementeert Microsoft ACL's en een firewall tussen knooppunten in een SQL Database-cluster. Alle communicatie binnen het Windows Fabric platformcluster en alle lopende code wordt vertrouwd.

Aangepaste monitoringagenten

SQL Database maakt gebruik van aangepaste monitoring agents (MA's), ook wel watchdogs genoemd, om de gezondheid van de SQL Database-cluster te monitoren.

Webprotocollen

Bewaking en opnieuw opstarten van rolinstanties

Azure zorgt ervoor dat alle geïmplementeerde, lopende rollen (internetgericht web- of back-end processing worker-rollen) een duurzame gezondheidsmonitoring ondergaan. Gezondheidsmonitoring zorgt ervoor dat zij de diensten die zij zijn toegewezen effectief en efficiënt leveren. Als een rol ongezond wordt door een kritieke fout in de gehoste applicatie of een onderliggend configuratieprobleem binnen de rolinstantie zelf, detecteert de FC het probleem binnen de rolinstantie en start een correctietoestand.

Compute-connectiviteit

Azure zorgt ervoor dat de geïmplementeerde applicatie of dienst bereikbaar is via standaard webgebaseerde protocollen. Virtuele instanties van internetgerichte webrollen hebben externe internetconnectiviteit en zijn direct bereikbaar voor webgebruikers. Om de gevoeligheid en integriteit van de operaties die worker-rollen uitvoeren namens de publiek toegankelijke webrol-virtuele instanties te beschermen, hebben virtuele instanties van back-end processing worker-rollen externe internetverbinding, maar externe webgebruikers kunnen er niet direct bij komen.

Volgende stappen 

Voor meer informatie over wat Microsoft doet om de Azure-infrastructuur te beveiligen, zie:

  • Last updated on