Introduzione al benchmark di sicurezza cloud Microsoft
Nota
Il benchmark della sicurezza cloud Microsoft è il successore di Azure Security Benchmark (ASB), che è stato rebranded nel mese di ottobre 2022.
I nuovi servizi e le nuove funzionalità vengono rilasciati ogni giorno nelle piattaforme dei provider di servizi cloud e di Azure, gli sviluppatori stanno pubblicando rapidamente nuove applicazioni cloud basate su questi servizi e gli utenti malintenzionati cercano costantemente nuovi modi per sfruttare risorse non configurate. Il cloud sposta rapidamente, gli sviluppatori si spostano rapidamente e gli utenti malintenzionati si spostano rapidamente. Come è possibile tenere il passo e assicurarsi che le distribuzioni cloud siano sicure? Come sono le procedure di sicurezza per i sistemi cloud diversi dai sistemi locali e diversi tra i provider di servizi cloud? Come si monitora il carico di lavoro per la coerenza tra più piattaforme cloud?
Microsoft ha scoperto che l'uso di benchmark di sicurezza consente di proteggere rapidamente le distribuzioni cloud. Un framework di procedure consigliate per la sicurezza completo dai provider di servizi cloud può fornire un punto di partenza per selezionare impostazioni di configurazione di sicurezza specifiche nell'ambiente cloud, tra più provider di servizi e consentire di monitorare queste configurazioni usando un unico riquadro di vetro.
Microsoft Cloud Security Benchmark (MCSB) include una raccolta di raccomandazioni per la sicurezza ad alto impatto che è possibile usare per proteggere i servizi cloud in un unico ambiente cloud o multi-cloud. I consigli di MCSB includono due aspetti principali:
- Controlli di sicurezza: questi consigli sono generalmente applicabili nei carichi di lavoro cloud. Ogni raccomandazione identifica un elenco di stakeholder che sono in genere coinvolti nella pianificazione, nell'approvazione o nell'implementazione del benchmark.
- Linee di base del servizio: si applicano i controlli ai singoli servizi cloud per fornire raccomandazioni sulla configurazione di sicurezza del servizio specifico. Attualmente sono disponibili linee di base del servizio solo per Azure.
Implementare il benchmark di sicurezza cloud Microsoft
- Pianificare l'implementazione di MCSB esaminando la documentazione per i controlli aziendali e le baseline specifiche del servizio per pianificare il framework di controllo e come esegue il mapping alle linee guida come Center for Internet Security (CIS), National Institute of Standards and Technology (NIST) e il framework Pci-DSS (Payment Card Industry Data Security Standard) (PCI-DSS).
- Monitorare la conformità con lo stato MCSB (e altri set di controlli) usando il Microsoft Defender for Cloud - Compliance Dashboard per l'ambiente multi-cloud. .
- Stabilire guardrail per automatizzare configurazioni sicure e applicare la conformità con MCSB (e altri requisiti nell'organizzazione) usando funzionalità come Azure Blueprints, Criteri di Azure o tecnologie equivalenti da altre piattaforme cloud.
Casi d'uso comuni
Il benchmark di sicurezza cloud Microsoft può spesso essere usato per risolvere le sfide comuni per i clienti o i partner di servizi che sono:
- Novità di Azure (e altre principali piattaforme cloud, ad esempio AWS) e cercare procedure consigliate per la sicurezza per garantire una distribuzione sicura dei servizi cloud e del carico di lavoro dell'applicazione.
- Cercando di migliorare il comportamento di sicurezza delle distribuzioni cloud esistenti per assegnare priorità ai principali rischi e mitigazioni.
- L'uso di ambienti multi-cloud (ad esempio Azure e AWS) e di fronte alle sfide in linea con il monitoraggio e la valutazione del controllo della sicurezza usando un unico riquadro di vetro.
- Valutazione delle funzionalità/funzionalità di sicurezza di Azure (e di altre principali piattaforme cloud, ad esempio AWS) prima di eseguire l'onboarding/approvazione di un servizio nel catalogo dei servizi cloud.
- Dover soddisfare i requisiti di conformità nei settori altamente regolamentati, ad esempio governo, finanza e assistenza sanitaria. Questi clienti devono garantire le configurazioni del servizio di Azure e di altri cloud per soddisfare le specifiche di sicurezza definite nel framework, ad esempio CIS, NIST o PCI. MCSB offre un approccio efficiente con i controlli già pre-mappati a questi benchmark del settore.
Terminologia
I termini "control" e "baseline" vengono spesso usati nella documentazione del benchmark di sicurezza cloud Microsoft. È importante comprendere in che modo MCSB usa queste condizioni.
| Termine | Descrizione | Esempio |
|---|---|---|
| Control | Un controllo è una descrizione generale di una funzionalità o di un'attività che deve essere presa in considerazione e che non è specifica di una tecnologia o di un'implementazione. | La protezione dei dati è una delle famiglie di controlli di sicurezza. La protezione dei dati contiene azioni specifiche che devono essere risolte per garantire che i dati siano protetti. |
| Di base | Una baseline è l'implementazione del controllo nei singoli servizi di Azure. Ogni organizzazione determina una raccomandazione di benchmark e le configurazioni corrispondenti sono necessarie in Azure. Nota: oggi sono disponibili solo le baseline di servizio per Azure. | L'azienda Contoso cerca di abilitare le funzionalità di sicurezza Azure SQL seguendo la configurazione consigliata nella baseline di sicurezza Azure SQL. |
È possibile ricevere commenti e suggerimenti sul benchmark della sicurezza cloud Microsoft. Ti consigliamo di fornire commenti nell'area di feedback seguente. Se si preferisce condividere l'input in modo più privato con il team di sicurezza cloud Microsoft, inviare un messaggio di posta elettronica a benchmarkfeedback@microsoft.com.