Zabezpieczanie wdrożenia modułu HSM w chmurze Azure

Azure Cloud HSM zapewnia wysoką pewność sprzętowego modułu zabezpieczeń (HSM) do ochrony kluczy kryptograficznych i zabezpieczenia poufnych danych w chmurze. Implementowanie najlepszych rozwiązań w zakresie zabezpieczeń jest niezbędne, aby zapobiec nieautoryzowanemu access, utrzymywać integralność operacyjną i optymalizować wydajność.

Ten artykuł zawiera zalecenia dotyczące zabezpieczeń ułatwiające ochronę wdrożenia modułu HSM w chmurze Azure.

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące Zero Trust, zobacz centrum wskazówek Zero Trust.

Zabezpieczenia specyficzne dla usługi

Azure Cloud HSM to jednodostępna, zweryfikowana usługa FIPS 140-3 poziom 3, która przyznaje klientom pełny urząd administracyjny nad swoimi modułami HSM. Ochrona root zaufania ma kluczowe znaczenie dla utrzymania bezpieczeństwa wdrożenia.

  • Ogranicz dostęp do klucza prywatnego Właściciela partycji: Ogranicz dostęp do klucza prywatnego Właściciela partycji aplikacji (POTAPO.key). Administrator partycji aplikacji (AOTA) i prywatne klucze POTA są równoważne dostępowi root i mogą resetować hasła dla użytkowników będących oficerami kryptografii (CO) w partycji (AOTA dla partycji 0, POTA dla partycji użytkowników). PO.key nie jest potrzebny do dostępu do modułu HSM podczas działania. Jest to wymagane tylko w przypadku początkowego podpisywania certyfikatu uwierzytelniania właściciela partycji (POAC) i resetowania hasła CO. Przechowywanie PO.key w trybie offline i wykonywanie początkowego podpisywania POAC na maszynie w trybie offline, jeśli to możliwe. Jesteś odpowiedzialny za ochronę klucza prywatnego POTA. Utrata powoduje brak możliwości odzyskania haseł CO. Bezpiecznie przechowuj klucz prywatny POTA i przechowuj odpowiednie kopie zapasowe. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Poznaj gwarancje bezpieczeństwa fizycznego: Azure Cloud HSM jest obsługiwany w bezpiecznych centrach danych wyposażonych w mechanizmy wykrywania prób manipulacji. Bezpieczeństwo fizyczne jest odpowiedzialnością firmy Microsoft i stanowi nieodłączny element usługi. Aby uzyskać więcej informacji, zobacz Zabezpieczenia fizyczne.

  • Planuj z uwzględnieniem modelu operacyjnego usługi: Azure Cloud HSM nie ma zaplanowanych okien konserwacji, ale Microsoft powiadamia cię z wyprzedzeniem o wszelkim przewidywanym wpływie. Śledź te powiadomienia i dopasuj je do procesów kontroli zmian. Aby uzyskać więcej informacji, zobacz Operacje dotyczące usługi.

Bezpieczeństwo sieci

Prawidłowe skonfigurowanie sieci może pomóc zapobiec nieautoryzowanemu access i zmniejszyć narażenie na zagrożenia zewnętrzne.

  • Użyj prywatnych punktów końcowych: Pomóż zabezpieczyć wdrożenie modułu HSM w chmurze Azure przy użyciu podsieci prywatnych i prywatnych punktów końcowych, aby zapobiec narażeniu na publiczny Internet. Takie podejście zapewnia, że ruch pozostaje w sieci szkieletowej Microsoft, co zmniejsza ryzyko nieautoryzowanego dostępu. Aby uzyskać więcej informacji, zobacz Network security for Azure Cloud HSM.

Zarządzanie tożsamością i dostępem

Efektywne zarządzanie użytkownikami i mechanizmy kontroli uwierzytelniania mają kluczowe znaczenie dla utrzymania bezpieczeństwa i integralności modułu HSM Azure Cloud. Zaimplementowanie odpowiednich mechanizmów kontroli tożsamości użytkowników, poświadczeń i uprawnień może pomóc zapobiec nieautoryzowanemu access i zapewnić ciągłość działania.

  • Użyj silnych haseł: utwórz unikatowe, silne hasła dla użytkowników modułu HSM. Użyj co najmniej 12 znaków, w tym kombinacji wielkich i małych liter, cyfr i znaków specjalnych. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Bezpiecz poświadczenia użytkownika modułu HSM: Starannie chroń poświadczenia użytkownika modułu HSM, ponieważ Microsoft nie może ich odzyskać, jeśli zostaną utracone. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Zaimplementuj administratorów pomocniczych na potrzeby zapobiegania blokadom: wyznaczyć co najmniej dwóch administratorów, aby zapobiec zablokowaniu modułu HSM w przypadku utraty jednego hasła. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Ustanów wielu użytkowników kryptografii (CU) z ograniczonymi uprawnieniami: Utwórz wiele jednostek CU z odrębnymi obowiązkami, aby uniemożliwić każdemu pojedynczemu użytkownikowi pełną kontrolę. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Ogranicz możliwość eksportowania kluczy przez jednostki CU: uniemożliw jednostkom CU eksportowanie materiału kluczowego, ustawiając odpowiednie atrybuty użytkownika. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Ogranicz kontrolę CO nad jednostkami CU: użyj polecenia disableUserAccess, aby uniemożliwić użytkownikom CO zarządzanie określonymi jednostkami CU. Użytkownicy systemu CO mogą pominąć to polecenie za pomocą starszych kopii zapasowych. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Konfigurowanie tożsamości zarządzanych: ustanów tożsamości zarządzane przypisane przez użytkownika na potrzeby operacji tworzenia kopii zapasowych i przywracania oraz maszyn wirtualnych wykonujących akcje administracyjne. Aby uzyskać więcej informacji, zobacz zarządzanie użytkownikami w Azure Cloud HSM.

  • Bezpieczne przechowywanie poświadczeń modułu HSM: chroń przechowywane poświadczenia i unikaj uwidaczniania ich, gdy nie są używane. Skonfiguruj środowisko do automatycznego pobierania i ustawiania poświadczeń. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Użyj niejawnego logowania do uwierzytelniania JCE: Jeśli to możliwe, użyj niejawnego logowania do uwierzytelniania Java rozszerzenia kryptografii (JCE), aby umożliwić automatyczne zarządzanie poświadczeniami i ponowne uwierzytelnianie. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Unikaj udostępniania sesji między wątkami: w przypadku aplikacji wielowątkowych przypisz każdy wątek własną sesję, aby zapobiec konfliktom i problemom z zabezpieczeniami. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Zaimplementuj ponawianie prób po stronie klienta: dodaj logikę ponawiania dla operacji HSM w celu obsługi potencjalnych zdarzeń konserwacji lub zamian modułu HSM. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w Azure Cloud HSM.

  • Uważnie zarządzaj sesjami klienta modułu HSM: należy pamiętać, że azurecloudhsm_client udostępnia sesje między aplikacjami na tym samym hoście. Właściwe zarządzanie sesjami pozwala uniknąć konfliktów. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w Azure Cloud HSM.

Ochrona danych

Właściwa obsługa limitów przechowywania kluczy, owijania kluczy, atrybutów kluczy i strategii buforowania może poprawić ochronę i wydajność.

  • Implementacja rotacji kluczy: Regularnie wymieniaj klucze, aby zastąpić starsze i zwolnić przestrzeń magazynową przy zachowaniu zabezpieczeń. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Użyj hierarchii kluczy: przechowywanie mniejszej liczby kluczy w module HSM przy użyciu kluczy głównych do szyfrowania innych kluczy. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Udostępnianie i ponowne używanie kluczy, jeśli to możliwe: Zmniejsz wymagania dotyczące przechowywania przez udostępnianie lub ponowne używanie kluczy w wielu sesjach, jeśli to odpowiednie. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Bezpieczne usuwanie nieużywanych kluczy: usuń klucze, których już nie potrzebujesz, aby zapobiec niepotrzebnemu zużyciu pamięci. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Ustaw klucze jako niewyciągalne, jeśli to możliwe: użyj EXTRACTABLE=0 aby upewnić się, że klucze nie mogą być eksportowane poza sprzętowy moduł bezpieczeństwa (HSM). Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Włącz zawijanie zaufanych kluczy: użyj polecenia WRAP_WITH_TRUSTED=1 , aby ograniczyć zawijanie kluczy do zaufanych kluczy. Ta akcja uniemożliwia nieautoryzowane eksporty kluczy. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Użyj atrybutów klucza, aby ograniczyć uprawnienia: przypisz tylko niezbędne atrybuty podczas generowania kluczy, aby ograniczyć niezamierzone operacje. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

  • Obiekty kluczy pamięci podręcznej dla lepszej wydajności: użyj poleceń znajdowania kluczy tylko raz podczas uruchamiania aplikacji i zapisz zwrócony obiekt klucza w pamięci aplikacji, aby zmniejszyć opóźnienie. Aby uzyskać więcej informacji, zobacz zarządzanie kluczami w Azure Cloud HSM.

Rejestrowanie i monitorowanie

  • Konfigurowanie rejestrowania zdarzeń operacji: rejestrowanie zdarzeń operacji jest niezbędne w przypadku zabezpieczeń modułu HSM. Rejestrowanie zdarzeń zapewnia spójny rekord dostępu i operacji na potrzeby odpowiedzialności, możliwości śledzenia i zgodności z przepisami. Rejestrowanie zdarzeń pomaga wykrywać nieautoryzowany dostęp, badać zdarzenia i identyfikować anomalie, co pomaga zapewnić integralność i poufność operacji kryptograficznych. Aby zachować bezpieczeństwo i prywatność, dzienniki wykluczają poufne dane (takie jak identyfikatory kluczy, nazwy kluczy i szczegóły użytkownika). Dzienniki przechwytują operacje modułu HSM, znaczniki czasu i metadane, ale nie mogą określić powodzenia lub niepowodzenia, ponieważ operacja HSM występuje w wewnętrznym kanale TLS. Aby uzyskać więcej informacji, zobacz Samouczek: rejestrowanie zdarzeń operacji w Azure Cloud HSM.

  • Przesyłanie strumieniowe dzienników do centrum zdarzeń na potrzeby przetwarzania w czasie rzeczywistym: w przypadku przetwarzania dzienników w czasie rzeczywistym i integracji z podrzędnymi systemami SIEM lub niestandardowymi potokami analitycznymi należy skonfigurować centrum zdarzeń jako inne miejsce docelowe dla ustawień diagnostycznych. Aby uzyskać więcej informacji, zobacz Tutorial: Configure Event Hub for Azure Cloud HSM (Samouczek: konfigurowanie centrum zdarzeń dla modułu HSM w chmurze Azure).

Zgodność i ład

Regularne przeglądy zgodności ułatwiają pokazanie, że wdrożenie modułu HSM w chmurze Azure spełnia standardy branżowe i regulacyjne.

  • Opis stanu zgodności usługi: Azure Cloud HSM spełnia wiele branżowych standardów zgodności i certyfikatów, w tym fiPS 140-3 poziom 3, eIDAS i PCI / PCI 3DS. Sprawdź aktualną listę certyfikatów przed użyciem usługi Cloud HSM w przypadku obciążeń podlegających regulacjom. Aby uzyskać więcej informacji, zobacz Zgodność i certyfikacja.

Kopia zapasowa i przywracanie

Azure HSM w chmurze zapewnia wysoką dostępność dzięki klastrowanym modułom HSM, które synchronizują klucze i polityki, automatycznie migrując obciążenia w przypadku awarii.

  • Implementowanie tworzenia kopii zapasowych i odzyskiwania po awarii: usługa obsługuje kompleksowe operacje tworzenia i przywracania kopii zapasowych, które zachowują wszystkie klucze, atrybuty i przypisania ról. Klucze pochodzące z modułu HSM zabezpieczają kopie zapasowe, do których firma Microsoft nie ma dostępu. Azure Cloud HSM nie obsługuje przywracania na już aktywowane moduły HSM. W celu zapewnienia ciągłości działania użyj tożsamości zarządzanych do uwierzytelniania, zapisz kopie zapasowe w prywatnych Azure Blob Storage, zaimplementuj minimalne uprawnienia kontroli dostępu opartej na rolach (RBAC) i wyłącz dostęp do klucza współużytkowanego. Dodatkowe opcje odzyskiwania obejmują użycie extractMaskedObject do wyodrębniania kluczy jako zaszyfrowanych obiektów blob, ich bezpieczne przechowywanie oraz importowanie ich w razie potrzeby za pomocą insertMaskedObject. Wdrażanie w dwóch regionach na potrzeby możliwości trybu failover. Aby uzyskać więcej informacji, zobacz Tworzenie kopii zapasowych i przywracanie zasobów modułu HSM w chmurze Azure.

  • Weryfikuj synchronizację użytkowników i kluczy we wszystkich węzłach: Azure Moduł HSM w chmurze działa jako klaster trzech węzłów. Podczas zdarzeń serwisowych, takich jak samonaprawianie lub aktualizacje, użytkownicy lub klucze mogą nie być replikowane na wszystkie węzły. Jeśli występują sporadyczne błędy uwierzytelniania lub operacji, sprawdź, czy wszyscy użytkownicy i klucze istnieją w każdym węźle. Aby uzyskać więcej informacji, zobacz Synchronizowanie użytkowników i kluczy między węzłami modułu HSM w chmurze Azure.

Następne kroki

  • Last updated on