De best practices voor operationele beveiliging van Azure

Dit artikel bevat een reeks operationele aanbevolen procedures voor het beveiligen van uw gegevens, toepassingen en andere assets in Azure.

De best practices zijn gebaseerd op een consensus van mening en ze werken met de huidige Azure platformmogelijkheden en functiesets. Meningen en technologieën veranderen in de loop van de tijd. Microsoft werkt dit artikel regelmatig bij om deze veranderingen weer te geven.

Dit artikel is afgestemd op het Zero Trust-beveiligingsmodel van Microsoft, dat uitgaat van een gecompromitteerd systeem en doorlopende verificatie vereist. Zie Microsoft Cloud Security Benchmark v2 - Reactie op incidenten en MCSB v2 - Postuur- en beveiligingsproblemenbeheer voor prescriptieve beveiligingscontroles met Azure Policy afdwinging.

Sterke operationele beveiligingsprocedures definiëren en implementeren

Azure operationele beveiliging verwijst naar de services, besturingselementen en functies die beschikbaar zijn voor gebruikers voor het beveiligen van hun gegevens, toepassingen en andere assets in Azure. Azure operationele beveiliging is gebaseerd op een framework dat de kennis bevat die is opgedaan via mogelijkheden die uniek zijn voor Microsoft, met inbegrip van het Security Development Lifecycle (SDL), het Microsoft Security Response Center-programma en een grondige kennis van het landschap van bedreigingen voor cyberbeveiliging.

Meervoudige verificatie afdwingen voor gebruikers

Vereis tweestapsverificatie voor al je gebruikers. Deze eis omvat beheerders en anderen binnen uw organisatie die een aanzienlijke impact kunnen hebben als hun account wordt gecompromitteerd, zoals financiële functionarissen.

Je hebt meerdere opties om verificatie in twee stappen te vereisen. De beste optie voor u is afhankelijk van uw doelen, de Microsoft Entra editie die u uitvoert en uw licentieprogramma. Zie Hoe twee-stapsverificatie voor een gebruiker vereisen om de beste optie voor u te vinden. Zie de documentatie voor multifactor authenticatie van Microsoft Entra ID en Microsoft Entra voor meer informatie over licenties en prijzen.

De volgende opties en voordelen kunnen u helpen om tweestapsverificatie mogelijk te maken:

Optie 1: Schakel MFA in voor alle gebruikers en aanmeldmethoden met Microsoft Entra Security Defaults Advantage: Deze optie stelt je in staat om MFA snel af te dwingen voor alle gebruikers in je omgeving met een streng beleid om:

• Beheeraccounts en beheeraanmeldingsmechanismen uitdagen
• Vereist MFA-uitdaging via Microsoft Authenticator voor alle gebruikers
• Verouderde verificatieprotocollen beperken.

Je kunt deze methode gebruiken met alle licentielagen, maar je kunt het niet combineren met bestaande Conditional Access-beleid. Voor meer informatie, zie Microsoft Entra Security Defaults.

Optie 2: Meervoudige verificatie inschakelen door de gebruikersstatus te wijzigen. Voordeel: Optie 2 is de traditionele methode om verificatie in twee stappen te vereisen. Deze methode werkt zowel met Microsoft Entra multifactor authenticatie in de cloud als met de Azure Multifactor Authentication-server. Deze methode vereist dat gebruikers telkens wanneer ze zich aanmelden verificatie in twee stappen uitvoeren en heft beleidsregels voor voorwaardelijke toegang op.

Om te bepalen waar multifactorauthenticatie mogelijk is, zie Welke versie van Microsoft Entra multifactorauthenticatie geschikt is voor mijn organisatie?

Optie 3: Meervoudige verificatie met beleid voor voorwaardelijke toegang inschakelen. Voordeel: Deze optie vraagt om tweestapsverificatie onder specifieke voorwaarden door gebruik te maken van Conditional Access. Specifieke voorwaarden kunnen gebruikersaanmelding zijn vanaf verschillende locaties, niet-vertrouwde apparaten of toepassingen die u riskant acht. Door specifieke voorwaarden te definiëren waarbij verificatie in twee stappen vereist is, kunt u voortdurend vragen om verificatie van uw gebruikers voorkomen, wat een onaangename gebruikerservaring kan zijn.

Optie 3 is de meest flexibele manier om tweestapsverificatie voor uw gebruikers mogelijk te maken. Het inschakelen van beleid voor voorwaardelijke toegang werkt alleen voor Microsoft Entra meervoudige verificatie in de cloud en is een premium-functie van Microsoft Entra ID. Zie Cloudgebaseerde Microsoft Entra meervoudige verificatie implementeren voor meer informatie over deze methode.

Optie 4: Meervoudige verificatie met beleid voor voorwaardelijke toegang inschakelen door beleid op basis van risico's voor voorwaardelijke toegang te evalueren. Voordeel: Met deze optie kunt u het volgende doen:

• Detecteer potentiële beveiligingsproblemen die van invloed zijn op de identiteiten van uw organisatie.
• Configureer geautomatiseerde reacties op gedetecteerde verdachte acties die betrekking hebben op de identiteiten van uw organisatie.
• Onderzoek verdachte incidenten en neem de juiste actie om ze op te lossen.

Deze methode gebruikt de risicobeoordeling van Microsoft Entra Id-beveiliging om te bepalen of tweestapsverificatie geldt op basis van gebruikers- en aanmeldrisico voor alle cloudapplicaties. Voor deze methode zijn Microsoft Entra ID P2-licenties vereist. Zie Microsoft Entra Id-beveiliging voor meer informatie over deze methode.

Organisaties die geen extra lagen identiteitsbescherming toevoegen, zoals tweestapsverificatie, zijn vatbaarder voor aanvallen op inlog-diefstal. Een aanval op diefstal van referenties kan leiden tot inbreuk op gegevens.

Gebruikerswachtwoorden beheren en bewaken

De volgende tabel bevat enkele aanbevolen procedures met betrekking tot het beheren van gebruikerswachtwoorden:

• Zorg voor het juiste niveau van wachtwoordbeveiliging in de cloud. Volg de richtlijnen in Microsoft Password Guidance, die is gericht op gebruikers van de Microsoft-identiteitsplatforms (Microsoft Entra ID, Active Directory en Microsoft-account).

• Houd verdachte acties in de gaten met betrekking tot je gebruikersaccounts. Houd gebruikers die risico lopen en risicovolle aanmeldingen in de gaten door gebruik te maken van Microsoft Entra beveiligingsrapporten.

• Automatisch risicovolle wachtwoorden detecteren en herstellen.Microsoft Entra Id-beveiliging is een functie van de Microsoft Entra ID P2-editie waarmee je in staat bent om:

  • Detecteer potentiële beveiligingsproblemen die van invloed zijn op de identiteiten van uw organisatie.
  • Configureer geautomatiseerde reacties op gedetecteerde verdachte acties die betrekking hebben op de identiteiten van uw organisatie.
  • Onderzoek verdachte incidenten en neem passende maatregelen om ze op te lossen.

Incidentmeldingen ontvangen van Microsoft

Zorg ervoor dat je beveiligingsteam Azure-incidentmeldingen van Microsoft ontvangt. Een incidentmelding helpt uw beveiligingsteam te weten dat uw Azure-bronnen zijn gecompromitteerd, zodat zij snel kunnen reageren op en mogelijke beveiligingsrisico's kunnen verhelpen.

In de Azure inschrijvingsportal kunt u ervoor zorgen dat contactgegevens van de beheerder details bevatten die beveiligingsbewerkingen melden. Contactgegevens zijn een e-mailadres en telefoonnummer.

Azure abonnementen organiseren in beheergroepen

Als uw organisatie veel abonnementen heeft, wilt u mogelijk de toegang, het beleid en de naleving voor die abonnementen op efficiënte wijze beheren. Azure-beheergroepen een bereikniveau bieden dat hoger is dan abonnementen. U ordent abonnementen in containers die beheergroepen worden genoemd en past uw governancevoorwaarden toe op de beheergroepen. Alle abonnementen in een beheergroep nemen automatisch de voorwaarden over die op de beheergroep zijn toegepast.

U kunt een flexibele structuur van beheergroepen en abonnementen bouwen in een directory. Elke map krijgt één beheergroep op het hoogste niveau, de hoofdbeheergroep. Deze hoofdbeheergroep is zo in de hiërarchie ingebouwd dat alle beheergroepen en abonnementen hierin zijn opgevouwen. Met de hoofdbeheergroep kunnen globale beleidsregels en Azure roltoewijzingen worden toegepast op directoryniveau.

Hier volgen enkele aanbevolen procedures voor het gebruik van beheergroepen:

• Zorg ervoor dat nieuwe abonnementen governance-elementen zoals beleidsregels en permissies toepassen zodra je ze toevoegt. Gebruik de root management group om bedrijfsbrede beveiligingselementen toe te wijzen die op alle Azure-assets van toepassing zijn. Beleidsregels en machtigingen zijn voorbeelden van elementen.

• Stem de hoogste niveaus van managementgroepen af op uw segmentatiestrategie om een punt te bieden voor controle en beleidsconsistentie binnen elk segment. Maak voor elk segment een enkele beheersgroep aan onder de rootbeheergroep. Maak geen andere beheergroepen onder het rootniveau.

• Beperk de diepte van de managementgroepen om verwarring te voorkomen die zowel operaties als beveiliging belemmert. Beperk je hiërarchie tot drie niveaus, inclusief de wortel.

• Kies zorgvuldig welke items je toepast op de hele onderneming met de root management group. Zorg ervoor dat root management group-elementen duidelijk op elke bron moeten worden toegepast en dat ze weinig impact hebben.

Goede kandidaten zijn:

• Regelgevende vereisten die een duidelijke zakelijke impact hebben, zoals beperkingen met betrekking tot gegevenssoevereiniteit.

• Vereisten met vrijwel geen potentieel negatief effect op operaties, zoals beleid met auditeffect of Azure RBAC-toestemmingen die zorgvuldig worden beoordeeld.

• Plan en test zorgvuldig alle wijzigingen in het hele bedrijf op de root management group voordat je ze toepast (beleid, Azure RBAC-model, enzovoort). Wijzigingen in de root management group kunnen elke resource op Azure beïnvloeden. Hoewel ze een krachtige manier bieden om consistentie in de hele onderneming te garanderen, kunnen fouten of onjuist gebruik negatieve gevolgen hebben voor productiebewerkingen. Test alle wijzigingen in de hoofdbeheergroep in een testlab of productiefase.

Stroomlijnen de creatie van omgevingen met deploymentstacks en templatespecificaties

Gebruik Azure Deployment Stacks om herhaalbare verzamelingen van Azure-bronnen als één eenheid te implementeren en beheren. Deploymentstacks ondersteunen Bicep- en Azure Resource Manager-templates, levenscyclusbeheer en weigeren instellingen die beheerde resources beschermen tegen ongewenste wijzigingen. Gebruik de specificaties van Azure Resource Manager-templates om goedgekeurde templates op te slaan, versie te maken en te delen binnen je organisatie.

Opslagservices controleren op onverwachte wijzigingen in gedrag

Het diagnosticeren en oplossen van problemen in een gedistribueerde applicatie die in een cloudomgeving wordt gehost, kan complexer zijn dan in traditionele omgevingen. Je kunt applicaties uitrollen in een PaaS- of IaaS-infrastructuur, on-premises, op een mobiel apparaat, of in een combinatie van deze omgevingen. Het netwerkverkeer van uw toepassing kan openbare en persoonlijke netwerken passeren en uw toepassing kan meerdere opslagtechnologieën gebruiken.

Houd continu de opslagdiensten die uw applicatie gebruikt in de gaten op onverwachte gedragsveranderingen, zoals langzamere responstijden. Gebruik logboekregistratie om gedetailleerdere gegevens te verzamelen en een probleem grondig te analyseren. De diagnostische informatie die je verkrijgt via zowel monitoring als logging helpt je de oorzaak van het probleem dat je applicatie ondervond te bepalen. Dan kun je het probleem oplossen en de juiste stappen bepalen om het te verhelpen.

Azure Opslaganalyse voert logboekregistratie uit en biedt metrische gegevens voor een Azure-opslagaccount. Gebruik deze gegevens om verzoeken te traceren, gebruikstrends te analyseren en problemen met je opslagaccount te diagnosticeren.

Bedreigingen voorkomen, detecteren en erop reageren

Microsoft Defender voor Cloud helpt u dreigingen te voorkomen, detecteren en erop te reageren door meer inzicht en controle over de beveiliging van uw Azure-bronnen te bieden. Defender voor Cloud biedt geïntegreerde beveiligingsmonitoring en beleidsbeheer over je Azure-abonnementen, helpt bij het detecteren van dreigingen die anders onopgemerkt zouden blijven, en werkt samen met diverse beveiligingsoplossingen.

Defender voor Cloud bevat Foundational Cloud Security Posture Management (CSPM)-mogelijkheden en gratis toegang tot Microsoft Defender XDR. Om de bescherming uit te breiden, schakel betaalde Defender voor Cloud-plannen in voor de workloads die je wilt beschermen, zoals Defender CSPM, Defender for Servers Plan 1 of Plan 2, Defender for storage, Defender for databases, Defender for containers, Defender voor Key Vault, Defender voor App Service, Defender voor Resource Manager, Defender voor API's en AI-services. Deze plannen helpen u beveiligingslekken te vinden en te repareren, toegangs- en applicatiecontroles toe te passen om kwaadaardige activiteiten te blokkeren, dreigingen te detecteren met behulp van analyses en intelligentie, en snel te reageren bij aanvallen.

Je kunt Defender voor Cloud gratis proberen gedurende de eerste 30 dagen, of totdat bepaalde abonnementen hun gebruikslimiet bereiken, afhankelijk van wat het eerst komt. Na afloop van de proefperiode of gebruikslimiet beginnen de kosten op basis van de plannen die je in jouw omgeving toestaat. Voor meer informatie, zie Connect your Azure subscriptions en What is Microsoft Defender voor Cloud?.

Gebruik Defender voor Cloud om een centrale weergave te krijgen van de beveiligingsstatus van al uw resources in uw eigen datacenters, Azure en andere clouds. Controleer in één oogopslag of de juiste beveiligingscontroles zijn ingesteld en correct zijn geconfigureerd en identificeer snel alle resources die aandacht nodig hebben.

Defender voor Cloud integreert ook met Microsoft Defender voor Eindpunt, dat uitgebreide endpoint detection and response (EDR)-mogelijkheden biedt. Met Microsoft Defender voor Eindpunt integratie kunt u afwijkingen herkennen en beveiligingsproblemen detecteren. U kunt ook geavanceerde aanvallen detecteren en erop reageren op servereindpunten die worden bewaakt door Defender voor Cloud.

Bijna alle ondernemingen hebben een SIEM-systeem (Security Information and Event Management) om opkomende bedreigingen te identificeren door logboekinformatie van diverse apparaten voor het verzamelen van signaleringen samen te brengen. De logs worden vervolgens geanalyseerd door een data-analysesysteem om te helpen bepalen wat "interessant" is uit de ruis die onvermijdelijk is in alle logverzamel- en analyseoplossingen.

Microsoft Sentinel is een schaalbare, cloudeigen, SIEM-oplossing (Security Information and Event Management) en security orchestration, automation and response (SOAR). Microsoft Sentinel biedt intelligente beveiligingsanalyses en dreigingsintelligentie via waarschuwingsdetectie, dreigingszichtbaarheid, proactieve jacht en geautomatiseerde dreigingsrespons.

Hier volgen enkele aanbevolen procedures voor het voorkomen, detecteren en reageren op bedreigingen:

• Verhoog de snelheid en schaalbaarheid van je SIEM-oplossing door gebruik te maken van een cloudgebaseerde SIEM. Onderzoek de functies en mogelijkheden van Microsoft Sentinel en vergelijk deze met de mogelijkheden van wat je momenteel on-premises gebruikt. Overweeg Microsoft Sentinel te gebruiken als deze voldoet aan de SIEM-vereisten van uw organisatie.

• Zoek de ernstigste beveiligingslekken zodat je onderzoek kunt prioriteren. Bekijk je Azure Secure score om de aanbevelingen te zien die voortkomen uit de Azure-beleidsregels en initiatieven die zijn ingebouwd in Microsoft Defender voor Cloud. Deze aanbevelingen helpen de belangrijkste risico's aan te pakken, zoals beveiligingsupdates, eindpuntbeveiliging, versleuteling, beveiligingsconfiguraties, ontbrekende WAF, met internet verbonden VM's en nog veel meer.

De secure score, gebaseerd op Center for Internet Security (CIS) controles, helpt u de Azure-beveiliging van uw organisatie te vergelijken met externe bronnen. Met externe validatie kunt u de beveiligingsstrategie van uw team valideren en verrijken.

• Monitor de beveiligingspositie van machines, netwerken, opslag- en dataservices, en applicaties om potentiële beveiligingsproblemen te ontdekken en te prioriteren. Volg de beveiligingsaanbevelingen in Defender voor Cloud, te beginnen met de items met de hoogste prioriteit.

• Integreer Defender voor Cloud-waarschuwingen in je beveiligingsinformatie- en gebeurtenisbeheer (SIEM)-oplossing. De meeste organisaties met een SIEM gebruiken het als centraal clearingpunt voor beveiligingsmeldingen die een analyticaresponser vereisen. Verwerkte gebeurtenissen die door Defender voor Cloud worden geproduceerd, worden gepubliceerd in het Azure activiteitenlogboek, een van de logboeken die beschikbaar zijn via Azure Monitor. Azure Monitor biedt een geconsolideerde pijplijn voor het routeren van uw bewakingsgegevens naar een SIEM-hulpprogramma. Zie Stream-waarschuwingen voor een SIEM-, SOAR- of IT Service Management-oplossing voor instructies. Zie Connect Microsoft Defender voor Cloud als u Microsoft Sentinel gebruikt.

• Integreer Azure-logs met je SIEM. Gebruik Azure Monitor om data te verzamelen en te exporteren. Deze procedure is essentieel voor het inschakelen van onderzoek naar beveiligingsincidenten en het bewaren van onlinelogboeken is beperkt. Als u Microsoft Sentinel gebruikt, raadpleegt u Connect-gegevensbronnen.

• Versnel je onderzoeks- en zoekprocessen en verminder valse positieven door endpoint detection and response (EDR)-mogelijkheden te integreren in je aanvalsonderzoek.Schakel de integratie van Microsoft Defender voor Eindpunt in via je Defender voor Cloud-beveiligingsbeleid. Overweeg het gebruik van Microsoft Sentinel voor het opsporen van bedreigingen en het reageren op incidenten.

End-to-end scenario-gebaseerde netwerkbewaking monitoren

Organisaties bouwen een end-to-end netwerk in Azure door netwerkbronnen te combineren zoals een virtueel netwerk, ExpressRoute, Application Gateway en load balancers. Je kunt elk van deze netwerkbronnen monitoren.

Azure Network Watcher is een regionale service. Gebruik de hulpprogramma's voor diagnostische gegevens en visualisatie om omstandigheden op netwerkscenarioniveau te bewaken en te diagnosticeren in, van en naar Azure.

Hieronder vindt u aanbevolen procedures voor netwerkbewaking en beschikbare hulpprogramma's.

• Automatiseer externe netwerkmonitoring met pakketopname. Monitor en diagnoseer netwerkproblemen zonder in te loggen op je VM's met behulp van Network Watcher. Trigger packet capture door waarschuwingen in te stellen en toegang te krijgen tot realtime prestatiegegevens op pakketniveau. Als je een probleem ziet, kun je het in detail onderzoeken voor betere diagnoses.

• Krijg inzicht in je netwerkverkeer door gebruik te maken van flowlogs. Bouw een dieper begrip op van je netwerkverkeerspatronen door gebruik te maken van netwerkbeveiligingsgroepsstroomlogs. Informatie in stroomlogboeken helpt u bij het verzamelen van gegevens voor naleving, controle en bewaking van uw netwerkbeveiligingsprofiel.

• Diagnoseer VPN-verbindingsproblemen. Gebruik Network Watcher om veelvoorkomende VPN Gateway- en verbindingsproblemen te diagnosticeren. Je kunt het probleem identificeren en gedetailleerde logboeken gebruiken om verder te onderzoeken.

Implementatie beveiligen met behulp van bewezen DevOps-hulpprogramma's

Gebruik de volgende best practices voor DevOps om ervoor te zorgen dat uw onderneming en teams productief en efficiënt zijn.

• Automatiseer de bouw en implementatie van services.Infrastructuur als code is een reeks technieken en praktijken die IT-professionals helpen de last van de dagelijkse bouw en het beheer van modulaire infrastructuur te verlichten. Infrastructure as code stelt IT-professionals in staat hun moderne serveromgeving te bouwen en te onderhouden op een manier die lijkt op hoe softwareontwikkelaars applicatiecode bouwen en onderhouden.

U kunt Azure Resource Manager gebruiken om uw toepassingen in te richten met behulp van een declaratieve sjabloon. U kunt in één enkele sjabloon meerdere services plus de bijbehorende afhankelijkheden implementeren. U gebruikt dezelfde sjabloon om uw toepassing herhaaldelijk te implementeren in elke fase van de levenscyclus van de toepassing.

• Automatisch bouwen en implementeren naar Azure web-apps of cloudservices. Je kunt je Azure DevOps Projects zo configureren dat ze automatisch bouwen en implementeren naar Azure-web-apps of cloudservices. Azure DevOps deployeert automatisch binaries naar Azure na elke code-check-in. Het buildproces van het pakket is gelijk aan de opdracht Pakket in Visual Studio en de publicatiestappen zijn gelijk aan de opdracht Publiceren in Visual Studio.

• Automatiseer het beheer van releases.Azure-pipelines is een oplossing voor het automatiseren van implementatie in meerdere fasen en het beheren van het releaseproces. Maak beheerde continue deployment-pijplijnen om snel en vaak vrij te geven. Met Azure-pipelines kun je je releaseproces automatiseren met vooraf gedefinieerde goedkeuringsworkflows. Implementeer on-premises en naar de cloud, breid deze uit en pas deze naar wens aan.

• Controleer de prestaties van je app voordat je hem opstart of updates naar productie uitrolt. Voer cloudgebaseerde belastingtests uit om:

  • Prestatieproblemen in uw app vinden.
  • Verbeter de implementatiekwaliteit.
  • Zorg ervoor dat je app altijd beschikbaar is.
  • Zorg ervoor dat je app het verkeer aankan voor je volgende lancering of marketingcampagne.

Apache JMeter is een gratis, populair open source hulpprogramma met een sterke ondersteuning voor de community.

• Monitor de prestaties van applicaties.Azure-toepassing Insights is een uitbreidbare applicatieprestatiebeheersdienst (APM) voor webontwikkelaars op meerdere platforms. Gebruik Application Insights om uw live webtoepassing te bewaken. Er worden automatisch prestatieafwijkingen gedetecteerd. Het bevat analysetools om je te helpen problemen te diagnosticeren en te begrijpen wat gebruikers daadwerkelijk met je app doen. De service is bedoeld om u te helpen de prestaties en bruikbaarheid van uw apps continu te verbeteren.

Beperken en beschermen tegen DDoS

DDoS (Distributed Denial of Service) is een type aanval waarmee toepassingsbronnen worden uitgeput. Het doel is om de beschikbaarheid van de toepassing te beïnvloeden en de mogelijkheid om legitieme aanvragen te verwerken. Deze aanvallen worden steeds geavanceerder en groter in omvang en impact. Aanvallers kunnen elk publiek bereikbaar eindpunt via het internet aanvallen.

Voor het ontwerpen en bouwen van DDoS-tolerantie is planning en ontwerp vereist voor verschillende foutmodi. Hieronder volgen best practices voor het bouwen van DDoS-tolerante services op Azure.

• Zorg ervoor dat beveiliging een prioriteit is gedurende de hele levenscyclus van een toepassing, van ontwerp en implementatie tot implementatie en bewerkingen. Applicaties kunnen bugs hebben waardoor een relatief laag aantal verzoeken veel middelen kan gebruiken, wat resulteert in een servicestoring. Om een dienst die op Azure draait te beschermen, moet je een goed begrip hebben van je applicatiearchitectuur en je richten op de vijf pijlers van softwarekwaliteit. U moet typische verkeersvolumes kennen, het connectiviteitsmodel tussen de toepassing en andere toepassingen en de service-eindpunten die beschikbaar zijn voor het openbare internet.

Het is belangrijk om ervoor te zorgen dat een toepassing flexibel genoeg is om een Denial of Service af te handelen die is gericht op de toepassing zelf. Beveiliging en privacy zijn ingebouwd in het Azure-platform, te beginnen met de Security Development Lifecycle (SDL). De SDL richt zich op beveiliging in elke ontwikkelingsfase en zorgt ervoor dat Azure voortdurend wordt bijgewerkt om deze nog veiliger te maken.

• Ontwerp uw toepassingen om horizontaal te schalen om te voldoen aan de vraag naar een versterkte belasting, met name in het geval van een DDoS-aanval. Als uw toepassing afhankelijk is van één exemplaar van een service, wordt er één storingspunt gemaakt. Door meerdere exemplaren in te richten, is uw systeem toleranter en schaalbaarder. Selecteer voor Azure App Service een App Service-plan dat meerdere exemplaren biedt.

Configureer voor Azure Cloud Services elk van uw rollen om meerdere exemplaren te gebruiken.

Voor Azure Virtuele Machines moet u ervoor zorgen dat uw VM-architectuur meerdere VM's bevat en dat elke VM is opgenomen in een beschikbaarheidsset. Gebruik Virtual Machine Scale Sets voor automatische schaalmogelijkheden.

• Door beveiligingslagen in een toepassing aan te brengen, vermindert u de kans op een geslaagde aanval. Implementeer veilige ontwerpen voor uw toepassingen met behulp van de ingebouwde mogelijkheden van het Azure-platform. Het risico op aanval neemt toe met de grootte (oppervlakte) van de applicatie. Je kunt het oppervlak verkleinen door een toestemmingslijst te gebruiken om de blootgestelde IP-adresruimte en luisterpoorten die niet nodig zijn op de load balancers (Azure Load Balancer en Azure Application Gateway) af te sluiten.

Netwerkbeveiligingsgroepen zijn een andere manier om de kwetsbaarheid voor aanvallen te verminderen. U kunt servicetags en toepassingsbeveiligingsgroepen gebruiken om de complexiteit voor het maken van beveiligingsregels te minimaliseren en netwerkbeveiliging te configureren als een natuurlijke uitbreiding van de structuur van een toepassing.

U moet Azure services implementeren in een virtueel netwerk waar mogelijk. Met deze procedure kunnen servicebronnen communiceren via privé-IP-adressen. Azure serviceverkeer van een virtueel netwerk gebruikt standaard openbare IP-adressen als bron-IP-adressen.

Met service-eindpunten schakelt u serviceverkeer om privéadressen van virtuele netwerken te gebruiken als de bron-IP-adressen wanneer ze toegang hebben tot de Azure-service vanuit een virtueel netwerk.

Aanvallers kunnen zowel on-premises-resources als resources in Azure aanvallen. Als u een on-premises omgeving verbindt met Azure, minimaliseert u de blootstelling van on-premises resources aan het openbare internet.

Azure heeft twee DDoS-serviceaanbiedingen die bescherming bieden tegen netwerkaanvallen:

• DDoS Infrastructure Protection is standaard geïntegreerd in Azure zonder extra kosten. De schaal en capaciteit van het wereldwijd uitgerolde Azure-netwerk beschermen tegen veelvoorkomende aanvallen op de netwerklaag door altijd actieve verkeersmonitoring en realtimemitigatie. Infrastructure Protection vereist geen gebruikersconfiguratie of applicatiewijzigingen en helpt alle Azure-diensten te beschermen, inclusief PaaS-diensten zoals Azure DNS.
• DDoS Network Protection biedt geavanceerde DDoS-mitigatiemogelijkheden tegen netwerkaanvallen. Deze wordt automatisch afgestemd om uw specifieke Azure resources te beveiligen. Je kunt bescherming inschakelen tijdens het aanmaken van of na het aanmaken van een virtueel netwerk, en het vereist geen applicatie- of resourcewijzigingen.

Azure Policy inschakelen

Azure Policy is een service in Azure die u gebruikt om beleid te maken, toe te wijzen en te beheren. Met deze beleidsregels worden regels en gevolgen afgedwongen voor uw middelen, zodat deze middelen voldoen aan uw bedrijfsnormen en serviceovereenkomsten. Azure Policy voldoet aan deze behoefte door uw resources te evalueren op niet-naleving van toegewezen beleidsregels.

Schakel Azure Policy in om het geschreven beleid van uw organisatie te controleren en af te dwingen. Deze aanpak zorgt voor naleving van uw bedrijfs- of regelgevingsvereisten door beveiligingsbeleid centraal te beheren over uw hybride cloudworkloads. Meer informatie over het maken en beheren van beleidsregels om naleving af te dwingen. Zie Azure Policy definitiestructuur voor een overzicht van de elementen van een beleid.

• Gebruik Azure Policy om Microsoft Cloud Security Benchmark v2 (preview) aanbevelingen in je omgeving af te dwingen. De Microsoft Cloud Security Benchmark v2 (preview) biedt uitgebreide beveiligingsbest practices met uitgebreide Azure Policy-dekking (420+ beleidsgebaseerde metingen). Wijs Microsoft Cloud Security Benchmark v2-beleid (preview) toe aan uw abonnementen en beheergroepen om voortdurend beveiligde configuraties te controleren en af te dwingen. De benchmark bevat nieuwe controles voor AI-beveiliging, confidential computing en verbeterde detectie van bedreigingen. Gebruik het dashboard naleving van Defender voor Cloud-regelgeving om naleving bij te houden en beveiligingsproblemen te identificeren waarvoor herstel is vereist.

Hier volgen enkele aanbevolen beveiligingsprocedures nadat u Azure Policy hebt aangenomen:

• Start beleidsimplementaties in auditmodus. Beleid ondersteunt verschillende soorten effecten. U kunt hierover lezen in Azure Policy definitiestructuur. Bedrijfsactiviteiten kunnen negatief worden beïnvloed door het weigeringseffect en het hersteleffect , dus begin met het controle-effect om het risico van negatieve gevolgen van beleid te beperken. Ga later verder met blokkeren of herstellen. Test en controleer de resultaten van het controle-effect voordat u overstapt op weigeren of herstellen.

  Zie Beleid maken en beheren om naleving af te dwingen voor meer informatie.

• Identificeer de rollen die verantwoordelijk zijn voor het monitoren van beleidsovertredingen en het zorgen voor snelle herstelmaatregelen. Laat de toegewezen rol de naleving monitoren via het Azure-portaal of via de commandoregel.

• Azure Policy is een technische weergave van het geschreven beleid van een organisatie. Wijs alle Azure Policy definities toe aan organisatiebeleid om verwarring te verminderen en consistentie te vergroten. Documentmapping in de documentatie van uw organisatie of in de Azure Policy-definitie zelf door een verwijzing naar het organisatiebeleid toe te voegen in de beleidsdefinitie of de initiatiefdefinitiebeschrijving.

Microsoft Entra risicorapporten bewaken

De overgrote meerderheid van beveiligingsschendingen vindt plaats wanneer aanvallers toegang krijgen tot een omgeving door de identiteit van een gebruiker te stelen. Het detecteren van gecompromitteerde identiteiten is geen eenvoudige taak. Microsoft Entra ID maakt gebruik van adaptieve machine learning-algoritmen en heuristiek om verdachte acties te detecteren die zijn gerelateerd aan uw gebruikersaccounts. Elke gedetecteerde verdachte actie wordt opgeslagen in een record die een risicodetectie wordt genoemd. Risicodetecties worden vastgelegd in Microsoft Entra beveiligingsrapporten. Lees voor meer informatie over het beveiligingsrapport voor gebruikers met risico's en het beveiligingsrapport riskante aanmeldingen.

Volgende stappen

Zie Incident-antwoordoverzicht voor hulp bij het reageren op beveiligingsincidenten in uw Azure-omgeving. Zie Azure best practices en patronen voor beveiliging voor meer aanbevolen beveiligingsprocedures die u kunt gebruiken wanneer u uw cloudoplossingen ontwerpt, implementeert en beheert met behulp van Azure.

De volgende bronnen zijn beschikbaar voor algemenere informatie over Azure beveiliging en gerelateerde Microsoft-services:

• Azure Security Team Blog - voor actuele informatie over de nieuwste ontwikkelingen op het gebied van Azure-beveiliging.
• Microsoft Security Response Center - om Microsoft-beveiligingskwetsbaarheden te melden, waaronder problemen met Azure. Je kunt ook kwetsbaarheden melden via e-mail naar secure@microsoft.com.
• Bekijk de Microsoft Cloud Security Benchmark v2 - Incidentrespons en MCSB v2 - Posture and Vulnerability Management beheersmaatregelen voor uitgebreide operationele beveiligingsrichtlijnen met Azure Policy-koppelingen.
• Lees meer over de Microsoft Secure Future Initiative (SFI), de best practices van Microsoft voor interne beveiliging.
• Verken Zero Trust principes voor hulp bij het implementeren van een Zero Trust beveiligingsarchitectuur.