Mapowanie zabezpieczeń dla przykładowego szablonu obciążenia ASE/SQL zgodnego z normą ISO 27001

Poniższy artykuł szczegółowo opisuje, jak przykład strategii Azure Blueprints dla obciążenia ASE/SQL ISO 27001 jest mapowany na zabezpieczenia normy ISO 27001.

Następujące mapowania dotyczą kontrolek ISO 27001:2013 . Użyj nawigacji po prawej stronie, aby przejść bezpośrednio do konkretnego mapowania elementów sterujących. Wiele przypisanych mechanizmów kontroli jest wdrażanych za pomocą inicjatywy Azure Policy. Aby przejrzeć pełną inicjatywę, otwórz pozycję Zasady w witrynie Azure Portal i wybierz stronę Definicje . Następnie znajdź i wybierz [Wersja zapoznawcza] Mechanizmy kontroli inspekcji ISO 27001:2013 i wdrażanie określonych rozszerzeń maszyn wirtualnych w celu spełnienia wymagań audytu wbudowaną inicjatywę zasad.

A.6.1.2 Podział obowiązków

Posiadanie tylko jednego właściciela subskrypcji platformy Azure nie zezwala na nadmiarowość administracyjną. Z drugiej strony posiadanie zbyt wielu właścicieli subskrypcji platformy Azure może zwiększyć potencjał naruszenia za pośrednictwem naruszonego konta właściciela. Ta strategia pomaga zachować odpowiednią liczbę właścicieli subskrypcji platformy Azure, przypisując dwie definicje usługi Azure Policy , które przeprowadzają inspekcję liczby właścicieli subskrypcji platformy Azure. Zarządzanie uprawnieniami właściciela subskrypcji może pomóc w zaimplementowaniu odpowiedniego rozdzielenia obowiązków.

• Dla Twojej subskrypcji powinno zostać wyznaczonych maksymalnie 3 właścicieli
• Do Twojej subskrypcji powinien być przypisany więcej niż jeden właściciel

A.8.2.1 Klasyfikacja informacji

Usługa oceny luk w zabezpieczeniach SQL platformy Azure może pomóc w odnalezieniu poufnych danych przechowywanych w bazach danych i zawiera zalecenia dotyczące klasyfikowania tych danych. Ten schemat przypisuje definicję Azure Policy, aby przeprowadzić inspekcję, czy luki w zabezpieczeniach zidentyfikowane podczas skanowania programu SQL Vulnerability Assessment zostały usunięte.

• Luki w zabezpieczeniach baz danych SQL powinny zostać skorygowane

A.9.1.2 Dostęp do sieci i usług sieciowych

Platforma Azure implementuje kontrolę dostępu opartą na rolach (RBAC) platformy Azure w celu zarządzania osobami mającymi dostęp do zasobów platformy Azure. Ta strategia ułatwia kontrolowanie dostępu do zasobów platformy Azure przez przypisanie siedmiu definicji usługi Azure Policy . Te zasady przeprowadzają inspekcję użycia typów zasobów i konfiguracji, które mogą zezwalać na bardziej permissywny dostęp do zasobów. Zrozumienie zasobów, które są niezgodne z tymi zasadami, może pomóc w podjęciu działań naprawczych w celu zapewnienia, że dostęp do zasobów platformy Azure jest ograniczony do autoryzowanych użytkowników.

• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Linux, które mają konta bez haseł
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Linux, które zezwalają na połączenia zdalne z kont bez haseł
• Konta magazynu należy migrować do nowych zasobów usługi Azure Resource Manager
• Maszyny wirtualne powinny zostać zmigrowane do nowych zasobów usługi Azure Resource Manager
• Przeprowadzaj inspekcję maszyn wirtualnych, które nie korzystają z dysków zarządzanych

A.9.2.3 Zarządzanie uprzywilejowanym prawami dostępu

Ta strategia pomaga ograniczyć i kontrolować uprawnienia uprzywilejowanego dostępu, przypisując cztery definicje usługi Azure Policy do inspekcji kont zewnętrznych z uprawnieniami właściciela i/lub zapisu oraz kontami z uprawnieniami właściciela i/lub zapisu, które nie mają włączonego uwierzytelniania wieloskładnikowego. Kontrola dostępu oparta na rolach (RBAC) platformy Azure ułatwia zarządzanie osobami mającymi dostęp do zasobów platformy Azure. Ta strategia przypisuje również trzy definicje usługi Azure Policy do inspekcji użycia uwierzytelniania usługi Azure Active Directory dla serwerów SQL i usługi Service Fabric. Korzystanie z uwierzytelniania usługi Azure Active Directory umożliwia uproszczone zarządzanie uprawnieniami i scentralizowane zarządzanie tożsamościami użytkowników bazy danych i innych usługi firmy Microsoft. Ta strategia przypisuje również definicję usługi Azure Policy do inspekcji użycia niestandardowych reguł RBAC platformy Azure. Zrozumienie, gdzie implementowane są niestandardowe reguły kontroli dostępu opartej na rolach platformy Azure, mogą pomóc w weryfikowaniu potrzeb i właściwej implementacji, ponieważ niestandardowe reguły kontroli dostępu opartej na rolach platformy Azure są podatne na błędy.

• Uwierzytelnianie wieloskładnikowe powinno być włączone dla kont mających uprawnienia właściciela do subskrypcji
• Uwierzytelnianie MFA powinno być włączone dla kont z uprawnieniami do zapisu w ramach twojej subskrypcji
• Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji
• Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji
• Administrator usługi Azure Active Directory powinien być aprowizowany dla serwerów SQL
• Klastry usługi Service Fabric powinny używać tylko usługi Azure Active Directory do uwierzytelniania klienta
• Inspekcja użycia niestandardowych reguł RBAC

A.9.2.4 Zarządzanie informacjami o uwierzytelnianiu tajnym użytkowników

Ta strategia przypisuje trzy definicje usługi Azure Policy do kont inspekcji, które nie mają włączonego uwierzytelniania wieloskładnikowego. Uwierzytelnianie wieloskładnikowe pomaga zapewnić bezpieczeństwo kont nawet w przypadku naruszenia bezpieczeństwa informacji o uwierzytelnianiu. Monitorując konta bez włączonego uwierzytelniania wieloskładnikowego, można zidentyfikować konta, które mogą być bardziej narażone na naruszenie zabezpieczeń. Ten plan przypisuje również dwie definicje usługi Azure Policy, które inspekcjonują uprawnienia do pliku haseł na maszynach wirtualnych z systemem Linux i generują alerty, jeśli są one ustawione nieprawidłowo. Ta konfiguracja umożliwia podjęcie działań naprawczych w celu zapewnienia, że uwierzytelnianie nie zostanie naruszone.

• Uwierzytelnianie wieloskładnikowe powinno być włączone dla kont mających uprawnienia właściciela do subskrypcji
• Uwierzytelnianie wieloskładnikowe powinno być włączone dla kont z uprawnieniami do odczytu w Twojej subskrypcji
• Uwierzytelnianie MFA powinno być włączone dla kont z uprawnieniami do zapisu w ramach twojej subskrypcji
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Linux, w których uprawnienia pliku passwd nie są ustawione na 0644

A.9.2.5 Przegląd praw dostępu użytkowników

Platforma Azure implementuje kontrolę dostępu opartą na rolach (RBAC) platformy Azure, aby ułatwić zarządzanie osobami mającymi dostęp do zasobów na platformie Azure. Korzystając z witryny Azure Portal, możesz sprawdzić, kto ma dostęp do zasobów platformy Azure i ich uprawnień. Ta strategia przypisuje cztery definicje usługi Azure Policy do kont inspekcji, które powinny być priorytetowe do przeglądu, w tym kont przestarzałych i kont zewnętrznych z podwyższonym poziomem uprawnień.

• Przestarzałe konta powinny zostać usunięte z subskrypcji
• Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji
• Konta zewnętrzne z uprawnieniami właściciela powinny zostać usunięte z subskrypcji
• Konta zewnętrzne z uprawnieniami do zapisu powinny zostać usunięte z subskrypcji

A.9.2.6 Usunięcie lub dostosowanie praw dostępu

Platforma Azure implementuje kontrolę dostępu opartą na rolach (RBAC) platformy Azure, aby ułatwić zarządzanie osobami mającymi dostęp do zasobów na platformie Azure. Korzystając z usług Azure Active Directory i Azure RBAC, możesz zaktualizować role użytkowników, aby odzwierciedlały zmiany organizacyjne. W razie potrzeby konta mogą być blokowane podczas logowania (lub usuwania), co powoduje natychmiastowe usunięcie praw dostępu do zasobów platformy Azure. Ten wzorzec przypisuje dwie definicje usługi Azure Policy do inspekcji przestarzałych kont, które należy rozważyć pod kątem usunięcia.

• Przestarzałe konta powinny zostać usunięte z subskrypcji
• Przestarzałe konta z uprawnieniami właściciela powinny zostać usunięte z subskrypcji

Procedury bezpiecznego logowania A.9.4.2

Ta strategia przypisuje trzy definicje usługi Azure Policy do kont inspekcji, które nie mają włączonego uwierzytelniania wieloskładnikowego. Usługa Azure AD Multi-Factor Authentication zapewnia dodatkowe zabezpieczenia, wymagając drugiej formy uwierzytelniania i zapewniając silne uwierzytelnianie. Monitorując konta bez włączonego uwierzytelniania wieloskładnikowego, można zidentyfikować konta, które mogą być bardziej narażone na naruszenie zabezpieczeń.

• Uwierzytelnianie wieloskładnikowe powinno być włączone dla kont mających uprawnienia właściciela do subskrypcji
• Uwierzytelnianie wieloskładnikowe powinno być włączone dla kont z uprawnieniami do odczytu w Twojej subskrypcji
• Uwierzytelnianie MFA powinno być włączone dla kont z uprawnieniami do zapisu w ramach twojej subskrypcji

System zarządzania hasłami A.9.4.3

Ten plan pomaga wymuszać silne hasła przez przypisanie 10 definicji usługi Azure Policy, które inspekcjonują maszyny wirtualne z systemem Windows niespełniające wymagań dotyczących minimalnej złożoności i innych wymagań dotyczących haseł. Świadomość maszyn wirtualnych naruszających zasady siły hasła ułatwia podejmowanie działań naprawczych w celu zapewnienia zgodności haseł dla wszystkich kont użytkowników maszyn wirtualnych z zasadami.

• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które nie mają włączonego ustawienia złożoności hasła
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które nie mają maksymalnego wieku hasła wynoszącego 70 dni
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które nie mają minimalnego wieku hasła wynoszącego 1 dzień
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które nie ograniczają minimalnej długości hasła do 14 znaków
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które umożliwiają ponowne użycie poprzednich 24 haseł

A.10.1.1 Zasady dotyczące korzystania z kontrolek kryptograficznych

Ta strategia pomaga wymusić zasady korzystania z kontrolek kryptograficznych, przypisując 13 definicji usługi Azure Policy , które wymuszają określone mechanizmy kontroli kryptograficznych i przeprowadzają inspekcję słabych ustawień kryptograficznych. Zrozumienie, gdzie zasoby platformy Azure mogą mieć konfiguracje kryptograficzne inne niż optymalne, mogą pomóc w podjęciu działań naprawczych w celu upewnienia się, że zasoby są skonfigurowane zgodnie z zasadami zabezpieczeń informacji. W szczególności zasady przypisane przez tę strategię wymagają szyfrowania kont magazynu obiektów blob i kont usługi Data Lake Storage; wymagają włączenia transparentnego szyfrowania danych w bazach danych SQL; przeprowadzają inspekcję pod kątem braku szyfrowania w kontach magazynu, bazach danych SQL, dyskach maszyn wirtualnych i zmiennych kont automatyzacji; przeprowadzają inspekcję niezabezpieczonych połączeń z kontami magazynu, aplikacjami Function Apps, aplikacjami Web App, aplikacjami API Apps i pamięcią podręczną Redis Cache; przeprowadzają inspekcję słabego szyfrowania haseł na maszynach wirtualnych; oraz przeprowadzają inspekcję niezaszyfrowanej komunikacji usługi Service Fabric.

• Aplikacja funkcji powinna być dostępna tylko za pośrednictwem protokołu HTTPS
• Aplikacja internetowa powinna być dostępna tylko za pośrednictwem protokołu HTTPS
• Aplikacja interfejsu API powinna być dostępna tylko za pośrednictwem protokołu HTTPS
• Pokaż wyniki inspekcji z maszyn wirtualnych z systemem Windows, które nie przechowują haseł przy użyciu szyfrowania odwracalnego
• Szyfrowanie dysków powinno być stosowane na maszynach wirtualnych
• Zmienne konta usługi Automation powinny być szyfrowane
• Należy włączyć tylko bezpieczne połączenia z usługą Azure Cache for Redis
• Należy włączyć bezpieczny transfer dla kont magazynu
• Klastry usługi Service Fabric powinny mieć właściwość ClusterProtectionLevel ustawioną na Wartość EncryptAndSign
• Należy włączyć funkcję Transparent Data Encryption w bazach danych SQL

Rejestrowanie zdarzeń A.12.4.1

Ta strategia pomaga zagwarantować, że zdarzenia systemowe są rejestrowane, przypisując siedem definicji usługi Azure Policy , które przeprowadzają inspekcję ustawień dziennika na zasobach platformy Azure. Dzienniki diagnostyczne zapewniają wgląd w operacje, które zostały wykonane w ramach zasobów platformy Azure.

• Inspekcja wdrożenia agenta zależności — obraz maszyny wirtualnej (system operacyjny) niewymieniony na liście
• Inspekcja wdrożenia agenta Dependency w zestawach skalowania maszyn wirtualnych — obraz maszyny wirtualnej (system operacyjny) nie figuruje na liście
• [Wersja zapoznawcza]: Wdrożenie agenta Log Analytics — obraz maszyny wirtualnej (OS) nie figuruje na liście
• Inspekcja wdrożenia agenta Log Analytics w zestawach skalowania maszyn wirtualnych — obraz VM (OS) niewymieniony
• Ustawienie diagnostyczne inspekcji
• Inspekcja na serwerze SQL powinna być włączona

Dzienniki administratora i operatora A.12.4.3

Ta strategia pomaga zagwarantować, że zdarzenia systemowe są rejestrowane, przypisując siedem definicji usługi Azure Policy, które przeprowadzają inspekcję ustawień dziennika na zasobach platformy Azure. Dzienniki diagnostyczne zapewniają wgląd w operacje, które zostały wykonane w ramach zasobów platformy Azure.

• Inspekcja wdrożenia agenta zależności — obraz maszyny wirtualnej (system operacyjny) niewymieniony na liście
• Inspekcja wdrożenia agenta Dependency w zestawach skalowania maszyn wirtualnych — obraz maszyny wirtualnej (system operacyjny) nie figuruje na liście
• [Wersja zapoznawcza]: Wdrożenie agenta Log Analytics — obraz maszyny wirtualnej (OS) nie figuruje na liście
• Inspekcja wdrożenia agenta Log Analytics w zestawach skalowania maszyn wirtualnych — obraz VM (OS) niewymieniony
• Ustawienie diagnostyczne inspekcji
• Inspekcja na serwerze SQL powinna być włączona

A.12.4.4 Synchronizacja zegara

Ta strategia pomaga zagwarantować, że zdarzenia systemowe są rejestrowane, przypisując siedem definicji usługi Azure Policy, które przeprowadzają inspekcję ustawień dziennika na zasobach platformy Azure. Dzienniki platformy Azure opierają się na zsynchronizowanych zegarach wewnętrznych, aby utworzyć skorelowany czas rekord zdarzeń między zasobami.

• Inspekcja wdrożenia agenta zależności — obraz maszyny wirtualnej (system operacyjny) niewymieniony na liście
• Inspekcja wdrożenia agenta Dependency w zestawach skalowania maszyn wirtualnych — obraz maszyny wirtualnej (system operacyjny) nie figuruje na liście
• [Wersja zapoznawcza]: Wdrożenie agenta Log Analytics — obraz maszyny wirtualnej (OS) nie figuruje na liście
• Inspekcja wdrożenia agenta Log Analytics w zestawach skalowania maszyn wirtualnych — obraz VM (OS) niewymieniony
• Ustawienie diagnostyczne inspekcji
• Inspekcja na serwerze SQL powinna być włączona

A.12.5.1 Instalacja oprogramowania w systemach operacyjnych

Adaptacyjna kontrola aplikacji to rozwiązanie z usługi Azure Security Center, które ułatwia kontrolowanie, które aplikacje mogą być uruchamiane na maszynach wirtualnych znajdujących się na platformie Azure. Ta strategia przypisuje definicję usługi Azure Policy, która monitoruje zmiany w zestawie dozwolonych aplikacji. Ta funkcja ułatwia kontrolowanie instalacji oprogramowania i aplikacji na maszynach wirtualnych platformy Azure.

• Funkcje adaptacyjnego sterowania aplikacjami do definiowania bezpiecznych aplikacji powinny być włączone na maszynach

A.12.6.1 Zarządzanie lukami w zabezpieczeniach technicznych

Ta strategia ułatwia zarządzanie lukami w zabezpieczeniach systemu informacyjnego przez przypisanie pięciu definicji usługi Azure Policy , które monitorują brakujące aktualizacje systemu, luki w zabezpieczeniach systemu operacyjnego, luki w zabezpieczeniach SQL i luki w zabezpieczeniach maszyn wirtualnych w usłudze Azure Security Center. Usługa Azure Security Center udostępnia funkcje raportowania, które umożliwiają wgląd w stan zabezpieczeń wdrożonych zasobów platformy Azure w czasie rzeczywistym.

• Monitorowanie braku ochrony punktu końcowego w usłudze Azure Security Center
• Należy zainstalować aktualizacje systemu na maszynach
• Należy usunąć podatności w konfiguracji zabezpieczeń na Twoich maszynach
• Luki w zabezpieczeniach baz danych SQL powinny zostać skorygowane
• Luki w zabezpieczeniach powinny zostać skorygowane przez rozwiązanie do oceny luk w zabezpieczeniach

A.12.6.2 Ograniczenia dotyczące instalacji oprogramowania

Adaptacyjna kontrola aplikacji to rozwiązanie z usługi Azure Security Center, które ułatwia kontrolowanie, które aplikacje mogą być uruchamiane na maszynach wirtualnych znajdujących się na platformie Azure. Ta strategia przypisuje definicję usługi Azure Policy, która monitoruje zmiany w zestawie dozwolonych aplikacji. Ograniczenia dotyczące instalacji oprogramowania mogą pomóc zmniejszyć prawdopodobieństwo wprowadzenia luk w zabezpieczeniach oprogramowania.

• Funkcje adaptacyjnego sterowania aplikacjami do definiowania bezpiecznych aplikacji powinny być włączone na maszynach

A.13.1.1 Kontrolki sieci

Ten wzorzec pomaga zarządzać sieciami i sprawować nad nimi kontrolę przez przypisanie definicji zasad Azure Policy, która monitoruje grupy zabezpieczeń sieci pod kątem nadmiernie otwartych reguł. Reguły, które są zbyt liberalne, mogą umożliwiać niezamierzony dostęp do sieci i należy je przeanalizować. Ten schemat przypisuje również trzy definicje usługi Azure Policy, które monitorują niechronione punkty końcowe, aplikacje i konta magazynu danych. Punkty końcowe i aplikacje, które nie są chronione przez zaporę, a także konta usługi magazynowania z nieograniczonym dostępem mogą umożliwiać niezamierzony dostęp do informacji zawartych w systemie informatycznym.

• Dostęp za pośrednictwem punktu końcowego dostępnego z Internetu powinien być ograniczony
• Konta magazynu powinny ograniczać dostęp do sieci

A.13.2.1 Zasady i procedury transferu informacji

Strategia pomaga zapewnić bezpieczeństwo transferu informacji za pomocą usług platformy Azure, przypisując dwie definicje usługi Azure Policy do inspekcji niezabezpieczonych połączeń z kontami magazynu i usługą Azure Cache for Redis.

• Należy włączyć tylko bezpieczne połączenia z usługą Azure Cache for Redis
• Należy włączyć bezpieczny transfer dla kont magazynu

Następne kroki

Po zapoznaniu się z mapowaniem mechanizmów kontrolnych w przykładowym planie architektury obciążenia ISO 27001 dla środowiska App Service Environment/SQL Database zapoznaj się z następującymi artykułami, aby dowiedzieć się więcej o architekturze i sposobie wdrażania tego przykładu:

Dodatkowe artykuły na temat strategii i sposobu ich używania:

• Uzyskaj informacje na temat cyklu życia strategii.
• Dowiedz się, jak używać parametrów statycznych i dynamicznych.
• Dowiedz się, jak dostosować kolejność sekwencjonowania strategii.
• Dowiedz się, jak korzystać z blokowania zasobów blueprintu.
• Dowiedz się, jak zaktualizować istniejące przypisania.