Uw Azure Cloud HSM-implementatie beveiligen

Azure Cloud HSM biedt een HSM-oplossing (High Assurance Hardware Security Module) voor het beveiligen van cryptografische sleutels en het beveiligen van gevoelige workloads in de cloud. Het implementeren van aanbevolen beveiligingsprocedures is essentieel om onbevoegde access te voorkomen, operationele integriteit te behouden en de prestaties te optimaliseren.

Dit artikel bevat aanbevelingen voor beveiliging om uw Azure Cloud HSM-implementatie te beschermen.

In de aanbevelingen voor beveiliging in dit artikel worden Zero Trust principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide Zero Trust richtlijnen.

Servicespecifieke beveiliging

Azure Cloud HSM is een met één tenant gevalideerde FIPS 140-3 Level 3-service waarmee klanten volledige administratieve autoriteit over hun HSM's krijgen. Het beschermen van de root-of-trust (vertrouwensanker) is cruciaal om de beveiliging van uw implementatie te handhaven.

  • Beperk de toegang tot de private sleutel van de partitie-eigenaar: Beperk de toegang tot de private sleutelPO.key van de Applicatiepartitie (POTA). De beheerder van de toepassingspartitie (AOTA) en POTA-private sleutels zijn gelijk aan roottoegang en kunnen wachtwoorden opnieuw instellen voor gebruikers als cryptografieofficier (CO) in een partitie (AOTA voor partitie 0, POTA voor gebruikers in partities). PO.key is niet nodig voor HSM-toegang tijdens runtime. Dit is alleen vereist voor de eerste ondertekening van poAC (Partition Owner Authentication Certificate) en CO-wachtwoordherstel. Sla PO.key offline op en voer indien mogelijk de eerste POAC-ondertekening uit op een offlinecomputer. U bent verantwoordelijk voor het beveiligen van uw PERSOONLIJKE POTA-sleutel. Als u dit verliest, kunnen CO-wachtwoorden niet meer worden hersteld. Sla de persoonlijke POTA-sleutel veilig op en onderhoud geschikte back-ups. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Inzicht in fysieke beveiligingsgaranties: Azure Cloud HSM wordt gehost in beveiligde datacenters met manipulatiedetectiemechanismen. Fysieke beveiliging is een Microsoft verantwoordelijkheid en is inherent aan de service. Zie Fysieke beveiliging voor meer informatie.

  • Houd in uw planning rekening met het operationele model van de service: Azure Cloud HSM heeft geen geplande onderhoudsvensters, maar Microsoft stelt u vooraf op de hoogte van elke verwachte impact. Houd deze meldingen bij en stem ze uit met uw wijzigingsbeheerprocessen. Zie Servicebewerkingen voor meer informatie.

Netwerkbeveiliging

Het correct configureren van uw netwerk kan helpen onbevoegde access te voorkomen en blootstelling aan externe bedreigingen te verminderen.

  • Gebruik privé-eindpunten: Beveilig uw Azure Cloud HSM-implementatie met behulp van privésubnetten en privé-eindpunten om blootstelling aan het openbare internet te voorkomen. Deze aanpak zorgt ervoor dat verkeer binnen het Microsoft backbone-netwerk blijft, waardoor het risico op onbevoegde toegang wordt beperkt. Zie Network-beveiliging voor Azure Cloud HSM voor meer informatie.

Identiteits- en toegangsbeheer

Effectieve besturingselementen voor gebruikersbeheer en verificatie zijn van cruciaal belang voor het onderhouden van de beveiliging en integriteit van Azure Cloud HSM. Het implementeren van de juiste besturingselementen voor gebruikersidentiteiten, referenties en machtigingen kan helpen onbevoegde access te voorkomen en operationele continuïteit te garanderen.

  • Gebruik sterke wachtwoorden: maak unieke, sterke wachtwoorden voor HSM-gebruikers. Gebruik ten minste 12 tekens, inclusief een combinatie van hoofdletters en kleine letters, cijfers en speciale tekens. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Beveilig uw HSM-gebruikersreferenties: beveilig uw HSM-gebruikersreferenties zorgvuldig, omdat Microsoft ze niet kunt herstellen als ze verloren gaan. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Secundaire beheerders implementeren voor vergrendelingspreventie: Wijs ten minste twee beheerders aan om HSM-vergrendeling te voorkomen als er één wachtwoord verloren gaat. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Stel meerdere cryptografiegebruikers (CA's) met beperkte machtigingen in: maak meerdere CA's met verschillende verantwoordelijkheden om te voorkomen dat één gebruiker volledig beheer heeft. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Beperk de mogelijkheid van CA's om sleutels te exporteren: beperk het exporteren van sleutelmateriaal door de juiste gebruikerskenmerken in te stellen. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • CO-controle over CU's beperken: gebruik de disableUserAccess-opdracht om te voorkomen dat CO-gebruikers specifieke CU's beheren. CO-gebruikers kunnen deze opdracht overslaan met oudere back-ups. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • Beheerde identiteiten configureren: door de gebruiker toegewezen beheerde identiteiten instellen voor back-up- en herstelbewerkingen en voor VM's die beheeracties uitvoeren. Zie Gebruiker-beheer in Azure Cloud HSM voor meer informatie.

  • HSM-referenties veilig opslaan: bescherm opgeslagen referenties en voorkom dat ze worden weergegeven wanneer ze niet in gebruik zijn. Configureer uw omgeving om referenties automatisch op te halen en in te stellen. Zie Authentication in Azure Cloud HSM voor meer informatie.

  • Gebruik impliciete aanmelding voor JCE-verificatie: gebruik waar mogelijk impliciete aanmelding voor Java JCE-verificatie (Cryptografieextensie) om automatische referentiebeheer en verificatie mogelijk te maken. Zie Authentication in Azure Cloud HSM voor meer informatie.

  • Vermijd het delen van sessies tussen threads: voor toepassingen met meerdere threads wijst u elke thread een eigen sessie toe om conflicten en beveiligingsproblemen te voorkomen. Zie Authentication in Azure Cloud HSM voor meer informatie.

  • Nieuwe pogingen aan de clientzijde implementeren: Voeg logica voor nieuwe pogingen toe voor HSM-bewerkingen om potentiële onderhoudsgebeurtenissen of HSM-vervangingen af te handelen. Zie Authentication in Azure Cloud HSM voor meer informatie.

  • Beheer HSM-clientsessies zorgvuldig: houd er rekening mee dat azurecloudhsm_client sessies worden gedeeld tussen toepassingen op dezelfde host. Het juiste sessiebeheer voorkomt conflicten. Zie Authentication in Azure Cloud HSM voor meer informatie.

Gegevensbescherming

De juiste verwerking van sleutelopslaglimieten, sleutelomwikkelingsbeveiliging, sleutelkenmerken en cachestrategieën kan de beveiliging en prestaties verbeteren.

  • Implement van sleutelrotatie: draai regelmatig sleutels om oudere sleutels te vervangen en maak storage vrij terwijl de beveiliging behouden blijft. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Gebruik een sleutelhiërarchie: Sla minder sleutels op in de HSM met behulp van hoofdsleutels om andere sleutels te versleutelen. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Sleutels delen en hergebruiken indien mogelijk: verminder storage vereisten door sleutels te delen of opnieuw te gebruiken voor meerdere sessies, indien van toepassing. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Ongebruikte sleutels veilig verwijderen: verwijder sleutels die u niet meer nodig hebt, om onnodig opslagverbruik te voorkomen. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Stel sleutels zo mogelijk in als niet-uitextracteerbaar: gebruik EXTRACTABLE=0 deze functie om ervoor te zorgen dat sleutels niet buiten de HSM kunnen worden geëxporteerd. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Vertrouwde sleutelterugloop inschakelen: gebruik WRAP_WITH_TRUSTED=1 deze optie om sleutelterugloop te beperken tot vertrouwde sleutels. Met deze actie voorkomt u dat niet-geautoriseerde sleutelexports worden uitgevoerd. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Gebruik sleutelkenmerken om machtigingen te beperken: wijs alleen benodigde kenmerken toe wanneer u sleutels genereert, om onbedoelde bewerkingen te beperken. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

  • Cachesleutelobjecten voor prestaties: gebruik sleutelzoekopdrachten slechts eenmaal tijdens het opstarten van de toepassing en sla het geretourneerde sleutelobject op in het toepassingsgeheugen om de latentie te verminderen. Zie Key-beheer in Azure Cloud HSM voor meer informatie.

Logboekregistratie en bewaking

  • Logboekregistratie van bewerkingsevenementen configureren: logboekregistratie van bewerkingsevenementen is essentieel voor HSM-beveiliging. Logboekregistratie van gebeurtenissen biedt een consistent overzicht van toegang en bewerkingen voor verantwoordelijkheid, traceerbaarheid en naleving van regelgeving. Logboekregistratie helpt bij het detecteren van onbevoegde toegang, het onderzoeken van incidenten en het identificeren van afwijkingen, waardoor de integriteit en vertrouwelijkheid van cryptografische bewerkingen wordt gewaarborgd. Om beveiliging en privacy te behouden, sluiten logboeken gevoelige gegevens uit (zoals sleutel-id's, sleutelnamen en gebruikersgegevens). Logboeken leggen HSM-bewerkingen, tijdstempels en metagegevens vast, maar ze kunnen geen succes of storing vaststellen omdat de HSM-bewerking plaatsvindt in het binnenste TLS-kanaal. Zie Zelfstudie: Logboekregistratie van bewerkingsevenementen in Azure Cloud HSM voor meer informatie.

  • Stream logboeken naar Event Hub voor realtime verwerking: Voor realtime logboekverwerking en -integratie met downstream SIEM-systemen of aangepaste analysepijplijnen configureert u Event Hub als een andere bestemming voor uw diagnostische instellingen. Zie Zelfstudie: Event Hub configureren voor Azure Cloud HSM voor meer informatie.

Naleving en bestuur

Regelmatige nalevingsbeoordelingen helpen u te demonstreren dat uw Azure Cloud HSM-implementatie voldoet aan de industrie- en regelgevingsstandaarden.

  • Inzicht in de nalevingspostuur van de service: Azure Cloud HSM voldoet aan meerdere nalevingsstandaarden en certificeringen voor de branche, waaronder FIPS 140-3 Niveau 3, eIDAS en PCI/PCI 3DS. Bevestig de huidige certificeringslijst voordat u Cloud HSM gebruikt voor een gereglementeerde workload. Zie Naleving en certificering voor meer informatie.

Back-up en herstel

Azure Cloud HSM biedt hoge beschikbaarheid via geclusterde HSM's waarmee sleutels en beleid worden gesynchroniseerd terwijl workloads automatisch worden gemigreerd tijdens storingen.

  • Back-up en herstel na noodgevallen implementeren: de service ondersteunt uitgebreide back-up- en herstelbewerkingen die alle sleutels, kenmerken en roltoewijzingen behouden. Van HSM's afgeleide sleutels beveiligen back-ups waartoe Microsoft geen toegang heeft. Azure Cloud HSM biedt geen ondersteuning voor het herstellen naar al geactiveerde HSM's. Voor bedrijfscontinuïteit gebruikt u beheerde identiteiten voor verificatie, slaat u back-ups op in privé-Azure Blob Storage, implementeert u minimale RBAC-machtigingen (op rollen gebaseerd toegangsbeheer) en schakelt u toegang tot gedeelde sleutels uit. Aanvullende herstelopties zijn onder andere het gebruiken extractMaskedObject om sleutels als versleutelde blobs te extraheren, ze veilig op te slaan en ze waar nodig te insertMaskedObject importeren. Implementeer in twee regio's voor failovermogelijkheden. Zie Back-up maken en herstellen Azure Cloud HSM-resources voor meer informatie.

  • Controleer gebruiker- en sleutelsynchronisatie over alle knooppunten: Azure Cloud HSM werkt als een cluster van drie knooppunten. Tijdens servicegebeurtenissen zoals zelfherstel of upgrades worden gebruikers of sleutels mogelijk niet gerepliceerd naar alle knooppunten. Als u onregelmatige verificatie- of bewerkingsfouten ondervindt, controleert u of alle gebruikers en sleutels op elk knooppunt aanwezig zijn. Zie Gebruikers en sleutels synchroniseren tussen Azure Cloud HSM-knooppunten voor meer informatie.

Volgende stappen 

  • Last updated on