Meilleures pratiques de sécurité Microsoft Azure pour 2021
En raison de la grande diversité des services Azure, il n'existe pas de "recette" de sécurité universelle qui vous permette d'optimiser votre posture de sécurité. Cependant, en décomposant les différents aspects d'Azure en catégories plus spécifiques, vous découvrirez des meilleures pratiques que vous pourrez mettre en œuvre. Examinons ces catégories et les meilleures pratiques de sécurité Azure qui en découlent.
Mais d'abord, les conditions préalables : Le modèle de la responsabilité partagée et le principe du moindre privilège
Avant de vous plonger dans les meilleures pratiques de sécurité spécifiques à Azure, assurez-vous de comprendre le paradigme de base de la sécurité sur la plateforme : le modèle de responsabilité partagée d'Azure.
En bref, le modèle de responsabilité partagée signifie que Microsoft est responsable de la sécurité du site cloud, tandis que vous êtes responsable de la sécurité du site cloud. Le point de démarcation entre les deux varie en fonction du type de produit spécifique. Par exemple, dans le cas d'une application Modèle SaaS, Microsoft est responsable de la sécurité du système d'exploitation. Toutefois, dans le cas d'un produit d'infrastructure en tant que service (IaaS), vous êtes responsable de la sécurité du système d'exploitation. Il est indispensable de comprendre où se situe la ligne de démarcation pour votre infrastructure Azure.
En outre, dans tous les cas, vous devez respecter le principe du moindre privilège. La manière dont vous mettez en œuvre le principe du moindre privilège varie en fonction de vos charges de travail et de vos applications, mais l'idée reste la même : n'accordez aux utilisateurs, aux appareils, aux applications et aux services que l'accès dont ils ont besoin, et rien de plus. Par exemple, avec une base de données Azure, au lieu d'accorder à tout le monde un accès en lecture à l'ensemble de la base de données, vous pouvez et devez utiliser la sécurité au niveau des lignes pour restreindre l'accès aux lignes de la base de données.
Liste de contrôle des meilleures pratiques en matière de sécurité Azure
Les conditions préalables étant posées, passons à la liste de contrôle. Nous examinerons les différents aspects d'Azure et fournirons des éléments d'action spécifiques que votre équipe pourra vérifier.
chiffrement et sécurité des données
Les violations de données constituent l'une des plus grandes menaces pour votre sécurité. C'est pourquoi il est indispensable d'assurer la sécurité de votre chiffrement et de vos données. Cette liste de contrôle vous aidera à vous assurer que vous êtes sur la bonne voie, et s'applique à toute zone d'Azure qui consomme, transmet ou stocke des données sensibles.
- Identifiez toutes les informations sensibles. Du point de vue des opérations et de la conformité, vous devez identifier toutes les données sensibles transmises ou stockées sur votre infrastructure. Cela vous permet de décider correctement de la manière d'assurer une sécurité et une conformité adéquates.
- Crypter les données au repos. Il s'agit d'un cours de base sur la sécurité des données. Utilisez des protocoles de chiffrement modernes et des méthodes de stockage de données sécurisées pour toutes les données au repos.
- Crypter les données en transit. Tout comme le cryptage des données au repos est indispensable, le cryptage des données en transit l'est tout autant. Même si les données ne transitent pas par l'internet, cryptez-les.
- Disposer d'un plan de sauvegarde et de reprise après sinistre (DR). Si vous êtes victime d'un logiciel rançonneur ou d'un autre logiciel malveillant, des sauvegardes et un plan de reprise après sinistre peuvent faire toute la différence. Un solide plan de sauvegarde et de reprise après sinistre est indispensable pour assurer la sécurité d'Azure.
- Utilisez une solution de gestion des clés. Des solutions comme Azure Key Vault vous permettent de gérer en toute sécurité vos clés, secrets et certificats.
- Durcissez vos postes de travail de gestion. L'accès à des données sensibles à partir d'un poste de travail non sécurisé constitue un risque majeur. Veillez à ce que seuls les postes de travail renforcés puissent accéder aux systèmes qui stockent des données sensibles et les gérer.
- Utilisez Azure Information Protection. Azure Information Protection facilite l'obtention d'une visibilité totale sur vos données sensibles, la mise en œuvre de contrôles et la collaboration en toute sécurité. Son utilisation peut faciliter vos efforts en matière de sécurité des données et les rendre plus efficaces.
Sécurité du stockage et des bases de données
La sécurisation de vos bases de données est un élément essentiel de votre dispositif de sécurité global. En outre, dans de nombreux cas, il s'agit d'une obligation du point de vue de la conformité. C'est ici que vous devez commencer à vous intéresser à la sécurité des bases de données dans Azure.
- Restreindre l'accès à la base de données et au stockage. Utilisez des pare-feu et des contrôles d'accès pour limiter le niveau d'accès des utilisateurs, des appareils et des services à vos bases de données et à vos blocs de stockage.
- Tirez parti de l'audit. Activez l'audit pour vos bases de données Azure. Cela vous permet de connaître toutes les modifications apportées à la base de données.
- Configurez la détection des menaces pour Azure SQL. Si vous utilisez Azure SQL, l'activation de la détection des menaces vous permet d'identifier plus rapidement les problèmes de sécurité et de limiter le temps d'attente.
- Définissez des alertes dans Azure Monitor. Il ne suffit pas d'enregistrer les événements. Assurez-vous d'être alerté des événements liés à la sécurité dans Azure Monitor afin de pouvoir remédier aux problèmes rapidement (et automatiquement si possible).
- Activez Azure Defender pour vos comptes de stockage. Azure Defender vous permet de renforcer et de sécuriser vos comptes de stockage Azure.
- Utilisez les suppressions douces. Les suppressions progressives vous permettent de vous assurer que les données sont toujours récupérables (pendant 14 jours) au cas où un acteur malveillant (ou une erreur de l'utilisateur) entraînerait la suppression de données que vous vouliez conserver.
- Utilisez des signatures à accès partagé (SAS). SAS vous permet de mettre en place des contrôles d'accès granulaires et des limites de temps pour l'accès des clients aux données.
Charges de travail et protection virtuelle des machines
Cette section de notre liste de contrôle des meilleures pratiques de sécurité Azure traite des machines virtuelles et autres charges de travail. Il existe quelques autres bonnes pratiques qui vous aideront à protéger vos ressources dans Azure :
- Renforcez l'authentification multi-facteurs (MFA) et les mots de passe complexes. L'AMF peut contribuer à limiter la menace que représentent les informations d'identification compromises. Les mots de passe complexes réduisent l'efficacité des attaques par force brute.
- Utilisez l'accès à la machine virtuelle en flux tendu (JIT). L'accès JIT fonctionne avec les NSG et le pare-feu Azure et vous aide à mettre en place des contrôles d'accès basés sur les rôles (RBAC) et des limitations temporelles sur l'accès aux machines virtuelles.
- Mettez en place un processus de correction. Si vous ne corrigez pas vos charges de travail, tous vos autres efforts risquent de ne servir à rien. Une seule vulnérabilité non corrigée peut conduire à une violation. Un processus de mise à jour de vos systèmes d'exploitation et de votre site application vous permet de limiter ce risque.
- Verrouillez les ports administratifs. Sauf nécessité absolue, limitez l'accès aux ports SSH, RDP, WinRM et autres ports administratifs.
- Utilisez le pare-feu Azure et les groupes de sécurité réseau (NGS) pour limiter l'accès aux charges de travail. Conformément au principe du moindre privilège, utilisez les NSG et le pare-feu Azure pour restreindre l'accès à la charge de travail.
Sécurité réseau pour le cloud
La sécurité du réseau est un aspect important de la sécurisation de vos charges de travail Azure. Voici les meilleures pratiques de sécurité Azure à garder à l'esprit pour votre cloud réseau :
- Crypter les données en transit. Comme nous l'avons mentionné dans la section sur le chiffrement et la sécurité des données, le chiffrement des données en transit (et au repos) est indispensable. Utilisez des protocoles de chiffrement modernes pour l'ensemble du trafic réseau.
- Mettez en œuvre la confiance zéro. Par défaut, les stratégies de réseau doivent refuser l'accès à moins qu'il n'y ait une règle d'autorisation explicite.
- Limitez les ports ouverts et les postes orientés vers l'Internet. À moins qu'il n'y ait une raison commerciale bien définie pour qu'un port soit ouvert ou que la charge de travail soit orientée vers l'internet, ne laissez pas cela se produire.
- Surveillez l'accès à l'appareil. La surveillance de l'accès à vos charges de travail et à vos appareils (par exemple à l'aide d'un SIEM (Gestion de l'information et des événements de sécurité) ou d'Azure Monitor) vous aide à détecter les menaces de manière proactive.
- Segmentez votre réseau. La segmentation logique du réseau peut contribuer à améliorer la visibilité, à faciliter la gestion de vos réseaux et à limiter les mouvements est-ouest en cas de violation.
Conformité
Le maintien de la conformité est l'un des aspects les plus importants de la sécurité dans Azure cloud. Voici nos recommandations pour vous aider à y parvenir.
- Définissez vos objectifs de Conformité. Quelles sont les données et les charges de travail concernées du point de vue de la conformité ? Quelles sont les normes et réglementations (par ex. PCI-DSS, ISO 27001, HIPAA) sont pertinentes pour votre organisation ? Il est indispensable de répondre clairement à ces questions et de définir vos objectifs de conformité.
- Utilisez le Tableau de bord de la conformité réglementaire du centre de sécurité Azure et Azure Security Benchmark. Le tableau de bord Conformité du Azure Security Center peut vous aider à déterminer dans quelle mesure vous êtes sur le point d'obtenir la Conformité sur la base d'un large éventail de normes. Azure Security Benchmark fournit des recommandations que vous pouvez suivre pour vous rapprocher de la conformité totale. L'utilisation de ces outils vous aide à simplifier Conformité dans le site cloud.
Améliorer la sécurité d'Azure avec l'approche du Point de contrôle Sécurité unifiée du cloud
Comme vous pouvez le constater, il y a beaucoup à faire pour assurer la sécurité dans Azure cloud. Pour aider les entreprises à rationaliser le processus et à mettre en œuvre les meilleures pratiques de Sécurité du cloud à grande échelle, nous avons développé l'approche Point de contrôle Sécurité du cloud unifiée. Basé sur les principes de cette approche unifiée, Point de contrôle CloudGuard est l'outil idéal pour vous aider à mettre en œuvre ces bonnes pratiques de Sécurité du cloud.
Pour en savoir plus sur la sécurité Azure et comment Point de contrôle peut vous aider, téléchargez le livre blanc gratuit Atteindre cloud en toute confiance à l'ère des menaces avancées:
- Comment sécuriser les environnements multi-cloud à grande échelle
- Comment améliorer la visibilité de cloud
- Comment maintenir la conformité à travers différents déploiements ?
Si vous souhaitez évaluer votre position actuelle en matière de sécurité du cloud, inscrivez-vous à un check-up de sécurité gratuit. Après le contrôle, vous recevrez un rapport complet détaillant des éléments tels que le nombre d'infections par logiciel malveillant, les menaces pour le poste et l'appareil intelligent, les attaques de robots et les tentatives d'intrusion, l'utilisation de application à haut risque et la perte de données sensibles.
Commentaires