PaaS-implementaties beveiligen

Dit artikel bevat informatie waarmee u het volgende kunt doen:

  • Inzicht in de beveiligingsvoordelen van het hosten van toepassingen in de cloud
  • De beveiligingsvoordelen van PaaS (Platform as a Service) evalueren ten opzichte van andere cloudservicemodellen
  • Uw beveiligingsfocus wijzigen van een netwerkgericht naar een identiteitsgerichte perimeterbeveiligingsbenadering
  • Implementatie van algemene PaaS-beveiligingsbest practices

Veilige toepassingen ontwikkelen in Azure is een algemene handleiding voor de beveiligingsvragen en besturingselementen die u in elke fase van de levenscyclus van softwareontwikkeling moet overwegen bij het ontwikkelen van toepassingen voor de cloud.

Voordelen van cloudbeveiliging

Het is belangrijk om inzicht te hebben in de verdeling van de verantwoordelijkheid tussen u en Microsoft. On-premises bent u eigenaar van de hele stack, maar naarmate u overstapt naar de cloud, dragen sommige verantwoordelijkheden over naar Microsoft.

De cloud biedt beveiligingsvoordelen. In een on-premises omgeving hebben organisaties waarschijnlijk onvervulde verantwoordelijkheden en beperkte middelen om in beveiliging te investeren. Deze situatie creëert een omgeving waarin aanvallers kwetsbaarheden op alle lagen kunnen uitbuiten.

Organisaties kunnen hun detectie en reactietijden van bedreigingen verbeteren met behulp van de cloudbeveiligingsmogelijkheden en cloudintelligentie van een provider. Door de verantwoordelijkheden naar de cloudprovider te verplaatsen, kunnen organisaties meer beveiligingsdekking krijgen, zodat ze beveiligingsresources en budget kunnen toewijzen aan andere zakelijke prioriteiten.

Beveiligingsvoordelen van een PaaS-cloudservicemodel

Bekijk de beveiligingsvoordelen van een Azure PaaS-implementatie vergeleken met on-premises.

Beveiligingsvoordelen van PaaS

Beginnend bij de onderste laag van de stack, de fysieke infrastructuur, vermindert Microsoft de algemene risico's en verantwoordelijkheden. Omdat Microsoft de Microsoft cloud voortdurend monitort, is het moeilijk om deze aan te vallen. Het is niet logisch dat een aanvaller de Microsoft-cloud als doel achtervolgt. Tenzij de aanvaller veel geld en middelen heeft, zal hij waarschijnlijk doorgaan naar een ander doelwit.

In het midden van de stack verschillen een PaaS-deployment en on-premises niet. Op de applicatielaag en de account- en toegangsbeheerlaag bestaan vergelijkbare risico's. De volgende stappen in dit artikel leiden je naar best practices om deze risico's te elimineren of te minimaliseren.

Helemaal bovenaan in de stack, bij datagovernance en rechtenbeheer, loop je een risico dat sleutelbeheer kan beperken. Hoewel sleutelbeheer een extra verantwoordelijkheid is, omvat een PaaS-implementatie gebieden die je niet langer hoeft te beheren. Je kunt middelen toewijzen aan sleutelbeheer.

Het Azure-platform biedt ook sterke DDoS-beveiliging met behulp van verschillende netwerktechnologieën. Alle typen DDoS-beveiligingsmethoden op basis van een netwerk hebben echter hun limieten per koppeling en per datacenter. Om de impact van grote DDoS-aanvallen te voorkomen, kunt u profiteren van de kerncloudmogelijkheden van Azure, zodat u snel en automatisch kunt uitschalen om bescherming te bieden tegen DDoS-aanvallen.

Identiteit als primaire beveiligingsperimeter

PaaS-implementaties veranderen je algehele benadering van beveiliging. U verschuift van het zelf beheren van alles tot het delen van verantwoordelijkheid met Microsoft.

Een ander belangrijk verschil tussen PaaS en traditionele on-premises implementaties is een nieuwe weergave van wat de primaire beveiligingsperimeter definieert. Historisch gezien was de primaire beveiligingsperimeter op locatie je netwerk en de meeste on-premises beveiligingsontwerpen gebruiken het netwerk als hun primaire beveiligingspivot. Voor PaaS-implementaties moet identiteit de primaire beveiligingsperimeter zijn.

Een van de vijf essentiële kenmerken van cloud-computing is brede netwerktoegang, waardoor netwerkgericht denken minder relevant is. Het doel van veel cloud-computing is om gebruikers toegang te geven tot resources, ongeacht de locatie. Voor de meeste gebruikers bevindt hun locatie zich ergens op het internet.

De volgende figuur laat zien hoe de beveiligingsperimeter zich ontwikkelde van een netwerkperimeter naar een identiteitsperimeter. Beveiliging gaat minder over het verdedigen van uw netwerk en meer over het verdedigen van uw gegevens, en het beheren van de beveiliging van uw apps en gebruikers. Het belangrijkste verschil is dat u de beveiliging dichter bij uw bedrijf wilt pushen.

Identiteit als nieuwe beveiligingsperimeter

In eerste instantie bieden Azure PaaS-services (bijvoorbeeld Azure App Service en Azure SQL) weinig of geen traditionele netwerkperimeterbeveiligingen. Het doel van het element was om blootgesteld te worden aan het internet (webrol), en authenticatie biedt de nieuwe perimeter (bijvoorbeeld Azure SQL).

Moderne beveiligingspraktijken gaan ervan uit dat de tegenstander de netwerkperimeter heeft doorbroken. Daarom bewegen moderne verdedigingspraktijken zich naar identiteit. Organisaties moeten een op identiteit gebaseerde beveiligingsperimeter opzetten met sterke verificatie- en autorisatiecontroles.

Best practices voor identiteitsbeheer

Gebruik de volgende best practices om de identiteitsperimeter te beheren.

Best practice: Overweeg eerst beheerde identiteiten te gebruiken voor Azure-resources om veilig toegang te krijgen tot andere diensten zonder inloggegevens op te slaan. Detail: Beheerde identiteiten geven automatisch een identiteit aan applicaties die draaien in Azure-diensten, waardoor ze zich kunnen authenticeren bij diensten die Microsoft Entra ID ondersteunen zonder dat er inloggegevens in code of configuratiebestanden nodig zijn. Deze identiteit vermindert het risico op blootstelling van inloggegevens en vereenvoudigt het identiteitsbeheer voor je applicaties.

Best practice: Beveilig uw sleutels en referenties om uw PaaS-implementatie te beveiligen. Details: Sleutels en referenties verliezen is een veelvoorkomend probleem. Je kunt een gecentraliseerde oplossing gebruiken waarbij je sleutels en geheimen opslaat in hardware security modules (HSM's). Azure Key Vault beschermt uw sleutels en geheimen door authenticatiesleutels, opslagrekeningsleutels, gegevensversleutelingssleutels, .pfx-bestanden en wachtwoorden te versleutelen met sleutels die door HSM's worden beschermd.

Best practice: Plaats geen referenties en andere geheimen in broncode of GitHub. Detail: Het enige wat erger is dan het verliezen van uw sleutels en referenties is dat een onbevoegde partij toegang tot deze sleutels krijgt. Aanvallers kunnen gebruikmaken van bottechnologieën om sleutels en geheimen te vinden die zijn opgeslagen in codeopslagplaatsen, zoals GitHub. Plaats geen sleutels en geheimen in deze openbare code-repositories.

Best practice: Gebruik krachtige verificatie- en autorisatieplatforms. Detail: Gebruik Microsoft Entra ID voor authenticatie in plaats van aangepaste gebruikersopslag. Wanneer u Microsoft Entra ID gebruikt, profiteert u van een platformgebaseerde benadering en delegeert u het beheer van geautoriseerde identiteiten. Een Microsoft Entra ID-benadering is vooral belangrijk wanneer werknemers worden beëindigd en die informatie moet worden weerspiegeld via meerdere identiteits- en autorisatiesystemen.

Gebruik door het platform geleverde verificatie- en autorisatiemechanismen in plaats van aangepaste code. De reden hiervoor is dat het ontwikkelen van aangepaste verificatiecode foutgevoelig kan zijn. De meeste van je ontwikkelaars zijn geen beveiligingsexperts en zullen waarschijnlijk niet op de hoogte zijn van de subtiliteiten en de nieuwste ontwikkelingen op het gebied van authenticatie en autorisatie. Commerciële code (bijvoorbeeld van Microsoft) wordt vaak uitgebreid gecontroleerd op beveiliging.

Gebruik multifactorauthenticatie (MFA) en zorg ervoor dat phishingbestendige MFA-methoden - zoals passkeys, FIDO2 of certificaatgebaseerde authenticatie (CBA) - worden afgedwongen via Conditional Access-beleid. Vereist deze minimaal voor alle beheerders en voor optimale beveiliging, implementeer ze tenantbreed. Toegang tot zowel Azure-beheerinterfaces (portal/externe PowerShell) als klantgerichte services moet worden ontworpen en geconfigureerd voor het gebruik van Meervoudige Verificatie van Microsoft Entra.

Voor app-aanmelding gebruik je OpenID Connect (OIDC) met OAuth 2.0 via Microsoft Entra ID. Deze protocollen zijn uitgebreid peer-reviewed en worden waarschijnlijk geïmplementeerd als onderdeel van je platformbibliotheken voor authenticatie en autorisatie.

Bedreigingsmodellering gebruiken tijdens het ontwerpen van toepassingen

De levenscyclus van Microsoft Security Development geeft aan dat teams tijdens de ontwerpfase moeten deelnemen aan een proces dat bedreigingsmodellering wordt genoemd. Om dit proces te vergemakkelijken, heeft Microsoft de SDL Threat Modeling Tool ontwikkeld. Bij het modelleren van het toepassingsontwerp en het inventariseren van STRIDE-bedreigingen binnen alle vertrouwensgrenzen kunnen ontwerpfouten vroeg worden ondervangen.

De volgende tabel bevat de STRIDE-bedreigingen en geeft enkele voorbeelden van oplossingen die gebruikmaken van Azure-functies. Deze oplossingen werken niet in elke situatie.

Bedreiging Beveiligingseigenschap Mogelijke risicobeperking voor Azure-platformen
Misleiding (spoofing) Authenticatie HTTPS-verbindingen vereisen.
Manipulatie Integriteit TLS/SSL-certificaten valideren.
Afwijzing Niet-weerlegbaarheid Schakel Azure-bewaking en diagnostische gegevens in.
Openbaarmaking van informatie Vertrouwelijkheid Versleutel gevoelige gegevens die niet in gebruik zijn met behulp van servicecertificaten.
Dienstweigering Beschikbaarheid Bewaak prestatiegegevens voor mogelijke denial-of-service-voorwaarden. Verbindingsfilters implementeren.
Uitbreiding van bevoegdheden Autorisatie Gebruik Privileged Identity Management.

Azure App Service

Azure App Service is een PaaS-aanbod dat je helpt web- en mobiele apps te maken voor elk platform of apparaat en verbinding te maken met data overal, in de cloud of on-premises. App Service bevat de web- en mobiele mogelijkheden die eerder afzonderlijk werden geleverd als Azure Websites en Azure Mobile Services. Het bevat ook nieuwe mogelijkheden voor het automatiseren van bedrijfsprocessen en het hosten van cloud-API's.

Gebruik de volgende best practices voor App Service.

Best practice: verifiëren via Microsoft Entra-id. Detail: App Service biedt een OAuth 2.0-service voor uw id-provider. OAuth 2.0 richt zich op de eenvoud van clientontwikkelaars en biedt specifieke autorisatiestromen voor webtoepassingen, desktoptoepassingen en mobiele telefoons. Microsoft Entra ID maakt gebruik van OAuth 2.0 om u toegang te geven tot mobiele en webtoepassingen.

Best practice: Beperk de toegang op basis van de noodzaak om te weten en de principes van minimale bevoegdheden. Detail: Het beperken van de toegang is essentieel voor organisaties die beveiligingsbeleid willen afdwingen voor gegevenstoegang. U kunt Azure RBAC gebruiken om machtigingen toe te wijzen aan gebruikers, groepen en toepassingen binnen een bepaald bereik.

Best practice: Bescherm uw sleutels. Details: Azure Key Vault helpt cryptografische sleutels en geheimen te beveiligen die cloudtoepassingen en -services gebruiken. Met Key Vault kunt u sleutels en geheimen versleutelen (zoals verificatiesleutels, opslagaccountsleutels, gegevensversleutelingssleutels, . PFX-bestanden en wachtwoorden) met behulp van sleutels die worden beveiligd door HSM's (Hardware Security Modules). Voor extra zekerheid kunt u sleutels importeren of genereren in HSM's. Zie Azure Key Vault voor meer informatie. U kunt Key Vault ook gebruiken om uw TLS-certificaten te beheren met automatische verlenging.

Best practice: Inkomende bron-IP-adressen beperken. Detail: App Service Environment heeft een functie voor integratie van virtuele netwerken waarmee u binnenkomende BRON-IP-adressen kunt beperken via netwerkbeveiligingsgroepen. Met virtuele netwerken kunt u Azure-resources in een niet-internet, routeerbaar netwerk plaatsen waartoe u de toegang kunt beheren. Zie Uw app integreren met een virtueel Azure-netwerk voor meer informatie. Je kunt ook private link (privé-eindpunt) gebruiken en het openbare netwerk uitschakelen om de verbinding via het privénetwerk tussen App Service en andere services af te dwingen.

Best practice: ALLEEN HTTPS-verkeer afdwingen en TLS 1.2 of hoger vereisen voor alle verbindingen. Schakel FTP-toegang uit waar mogelijk. Als bestandsoverdracht nodig is, gebruik dan FTPS om veilige, versleutelde overdrachten te garanderen. Details: Als u uw App Service zo configureert dat alleen HTTPS-verkeer wordt geaccepteerd, zorgt u ervoor dat gegevens tijdens overdracht worden versleuteld, waardoor gevoelige informatie wordt beschermd tegen onderschepping. Tls 1.2 of hoger vereisen biedt een sterkere beveiliging tegen beveiligingsproblemen in eerdere protocolversies. Door FTP uit te schakelen, wordt het risico verkleind dat referenties of gegevens zonder encryptie worden verzonden. Als je bestandsoverdracht nodig hebt, schakel dan alleen FTPS in, dat zowel inloggegevens als data tijdens het verzenden versleutelt.

Best practice: Bewaak de beveiligingsstatus van uw App Service-omgevingen. Details: Gebruik Microsoft Defender voor Cloud om uw App Service-omgevingen te bewaken. Wanneer Defender voor Cloud potentiële beveiligingsproblemen identificeert, worden er aanbevelingen gemaakt die u begeleiden bij het configureren van de benodigde besturingselementen. Microsoft Defender voor App Service biedt bedreigingsbeveiliging voor uw App Service-resources.

Zie Microsoft Defender voor App Service voor meer informatie.

Firewall voor Webapplicaties

Webtoepassingen zijn in toenemende mate het doel van aanvallen die gebruikmaken van veelvoorkomende bekende beveiligingsproblemen. Veelvoorkomende kwetsbaarheden zijn SQL-injectieaanvallen en cross-site scripting-aanvallen. Het voorkomen van dergelijke aanvallen in applicatiecode kan uitdagend zijn en kan rigoureus onderhoud, patchen en monitoring op veel lagen van de applicatietopologie vereisen. Een gecentraliseerde webapplicatiefirewall vereenvoudigt het beveiligingsbeheer en biedt applicatiebeheerders betere zekerheid tegen bedreigingen en inbraken. Een WAF-oplossing kan ook sneller reageren op een beveiligingsrisico door een patch voor een bekend beveiligingsprobleem op een centrale locatie in plaats van elke afzonderlijke webtoepassing te beveiligen.

Azure Web Application Firewall (WAF) biedt gecentraliseerde beveiliging van uw webtoepassingen tegen veelvoorkomende aanvallen en beveiligingsproblemen. WAF is beschikbaar via Azure Application Gateway en Azure Front Door.

DDoS-bescherming

Azure biedt twee belangrijke DDoS-beveiligingslagen: DDoS IP Protection en DDoS-netwerkbeveiliging. Deze opties hebben betrekking op verschillende scenario's en hebben verschillende functies en prijzen.

  • DDoS IP Protection: het beste voor het beveiligen van specifieke openbare IP-adressen, ideaal voor kleinere of gerichte implementaties die essentiële DDoS-beperking op IP-niveau nodig hebben.
  • DDoS-netwerkbeveiliging: behandelt volledige virtuele netwerken met geavanceerde risicobeperking, analyses en integratie; geschikt voor grotere of bedrijfsomgevingen die een bredere beveiliging nodig hebben.

Kies DDoS IP Protection voor gerichte, kostengevoelige zaken. Selecteer DDoS Network Protection voor uitgebreide dekking en geavanceerde functies.

DDoS Protection verdedigt zich op de netwerklaag (3/4). Voeg een WAF toe voor toepassingslaagbeveiliging (7). Zie DDoS-beveiliging voor toepassingen.

Monitoring van toepassingsprestaties

Azure Monitor verzamelt, analyseert en handelt op telemetrie vanuit uw cloud- en on-premises omgevingen. Een effectieve bewakingsstrategie helpt u inzicht te hebben in de gedetailleerde werking van de onderdelen van uw toepassing. Deze strategie helpt je je uptime te verlengen door je op de hoogte te stellen van kritieke problemen, zodat je ze kunt oplossen voordat ze problemen worden. Deze strategie helpt je ook om anomalieën te detecteren die mogelijk beveiligingsgerelateerd zijn.

Gebruik Application Insights om de beschikbaarheid, prestaties en het gebruik van uw toepassing te bewaken, ongeacht of deze wordt gehost in de cloud of on-premises. Met Behulp van Application Insights kunt u snel fouten in uw toepassing identificeren en diagnosticeren zonder te wachten tot een gebruiker deze rapporteert. Met de informatie die u verzamelt, kunt u weloverwogen keuzes maken over het onderhoud en de verbeteringen van uw toepassing.

Application Insights heeft uitgebreide hulpprogramma's voor interactie met de gegevens die worden verzameld. Application Insights slaat de gegevens op in een gemeenschappelijke opslagplaats. Het kan profiteren van gedeelde functionaliteit, zoals waarschuwingen, dashboards en diepgaande analyse met de Kusto-querytaal.

Beveiligingspenetratietests uitvoeren

Het valideren van beveiligingsbeveiliging is net zo belangrijk als het testen van andere functionaliteiten. Maak penetratietests een standaardonderdeel van uw build- en implementatieproces. Plan regelmatige beveiligingstests en scannen op beveiligingsproblemen op geïmplementeerde toepassingen en controleer op open poorten, eindpunten en aanvallen.

Volgende stappen

Dit artikel richt zich op de beveiligingsvoordelen van een Azure PaaS-implementatie en de best practices voor cloudapplicaties in de beveiliging. Leer vervolgens aanbevolen praktijken voor het beveiligen van je PaaS-web- en mobiele oplossingen door gebruik te maken van specifieke Azure-diensten. Begin met Azure App Service, Azure SQL Database en Azure Synapse Analytics, en Azure Storage. Zodra artikelen over aanbevolen praktijken voor andere Azure-diensten beschikbaar komen, zal deze lijst links bevatten:

Zie Veilige toepassingen ontwikkelen in Azure voor beveiligingsvragen en besturingselementen die u in elke fase van de levenscyclus van softwareontwikkeling moet overwegen bij het ontwikkelen van toepassingen voor de cloud.

Bekijk Azure-beveiligingsbest practices en patronen voor aanvullende aanbevolen beveiligingsprocedures die je kunt gebruiken wanneer je je cloudoplossingen ontwerpt, implementeert en beheert met behulp van Azure.

De volgende resources zijn beschikbaar voor algemene informatie over Azure-beveiliging en gerelateerde Microsoft-services:

  • Last updated on