Integrität der Azure-Infrastruktur

  • Artikel

Softwareinstallation

Alle Komponenten im Softwarestack, die in der Azure-Umgebung installiert sind, werden gemäß dem Microsoft SDL-Prozess (Microsoft Security Development Lifecycle) von Microsoft speziell erstellt. Alle Softwarekomponenten, einschließlich Betriebssystem-Images und SQL-Datenbank, werden im Rahmen des Prozesses für Change Management und Release Management bereitgestellt. Das auf allen Knoten ausgeführte Betriebssystem ist eine benutzerdefinierte Version. Die genaue Version wird vom Fabric Controller (FC) entsprechend der Rolle ausgewählt, die das Betriebssystem übernehmen soll. Darüber hinaus gestattet das Hostbetriebssystem keine Installation von nicht autorisierten Softwarekomponenten.

Einige Azure-Komponenten werden als Azure-Kunden auf einer Gast-VM bereitgestellt, die auf einem Gastbetriebssystem ausgeführt wird.

Virenscans auf Builds

Builds von Azure-Softwarekomponenten (einschließlich Betriebssystem) müssen einen Virenscan mit dem Endpoint Protection (MEP)-Virenschutztool durchlaufen. Bei jedem Virenscan wird ein Protokoll im zugehörigen Buildverzeichnis erstellt, in dem die gescannten Komponenten und die Ergebnisse des Scans detailliert aufgeführt sind. Der Virenscan ist Teil des Buildquellcodes für jede Komponente in Azure. Code wird ohne einen sauberen und erfolgreichen Virensan nicht in die Produktionsumgebung übernommen. Bei Problemen wird der Build eingefroren. Der Build wird dann an die Sicherheitsteams bei Microsoft Security weitergeleitet, um festzustellen, wo der gefährliche Code in den Build gelangt ist.

Geschlossene und gesperrte Umgebung

Standardmäßig werden auf Knoten und Gast-VMs in der Azure-Infrastruktur keine Benutzerkonten erstellt. Zudem sind auch standardmäßige Windows-Administratorkonten deaktiviert. Administrator*innen vom Azure Live Support können sich bei ordnungsgemäßer Authentifizierung bei diesen Computern anmelden und das Azure-Produktionsnetzwerk für Notfallreparaturen verwalten.

Azure SQL-Datenbank-Authentifizierung

Wie bei jeder Implementierung von SQL Server muss die Verwaltung von Benutzerkonten streng kontrolliert werden. Azure SQL-Datenbank unterstützt nur SQL Server-Authentifizierung. Als Ergänzung zum Datensicherheitsmodell des Kunden sollten zudem Benutzerkonten verwendet werden, die sichere Kennwörter haben und mit spezifischen Rechten konfiguriert sind.

ACLs und Firewalls zwischen dem Microsoft-Unternehmensnetzwerk und einem Azure-Cluster

Zugriffssteuerungsliste (Access Control Lists, ACLs) bzw. Firewalls zwischen der Dienstplattform und dem Microsoft-Unternehmensnetzwerk schützen die SQL-Datenbankinstanzen vor nicht autorisiertem Insiderzugriff. Darüber hinaus können nur Benutzer von IP-Adressbereichen des Microsoft-Unternehmensnetzwerks aus auf den Verwaltungsendpunkt der Windows Fabric-Plattform zugreifen.

ACLs und Firewalls zwischen Knoten in einem SQL-Datenbankcluster

Im Rahmen der Strategie für tiefgreifende Verteidigung wurden ACLs und eine Firewall zwischen Knoten in SQL-Datenbankclustern implementiert. Die gesamte Kommunikation innerhalb des Windows Fabric-Plattformclusters sowie der gesamte ausgeführte Code sind vertrauenswürdig.

Benutzerdefinierte Überwachungs-Agents

SQL-Datenbank setzt benutzerdefinierte Überwachungs-Agents (Monitoring Agents, MAs), auch Watchdogs genannt, ein, um die Integrität des SQL-Datenbankclusters zu überwachen.

Webprotokolle

Überwachung und Neustart von Rolleninstanzen

Azure stellt sicher, dass alle bereitgestellten, ausgeführten Rollen (internetseitige Webrollen oder Workerrollen für die Back-End-Verarbeitung) einer fortlaufenden Integritätsüberwachung unterliegen. Die Integritätsüberwachung stellt sicher, dass die Dienste, für die sie bereitgestellt wurden, effektiv und effizient bereitgestellt werden. Wenn Integrität einer Rolle entweder durch einen kritischen Fehler in der gehosteten Anwendung oder aufgrund eines Konfigurationsproblems in der Rolleninstanz selbst nicht mehr gewährleistet ist, erkennt FC das Problem in der Rolleninstanz und initiiert einen Korrekturstatus.

Compute-Konnektivität

Azure stellt sicher, dass die bereitgestellte Anwendung bzw. der bereitgestellte Dienst über webbasierte Standardprotokolle erreichbar ist. Virtuelle Instanzen der Webrollen mit Internetzugriff verfügen über externe Internetkonnektivität und sind für Webbenutzer direkt erreichbar. Virtuelle Instanzen der Workerrolle für die Back-End-Verarbeitung verfügen über externe Internetkonnektivität, jedoch kann ein externer Webbenutzer nicht direkt darauf zugreifen, um die Vertraulichkeit und Integrität der von Workerrollen für die öffentlich zugänglichen virtuellen Instanzen der Webrolle ausgeführten Vorgänge zu schützen.

Nächste Schritte

In den folgenden Artikeln erfahren Sie mehr über die Sicherung der Azure-Infrastruktur seitens Microsoft: