Integritet för Azure-infrastruktur

  • Artikel

Programvaruinstallation

Alla komponenter i programvarustacken som är installerade i Azure-miljön är anpassade efter SDL-processen (Microsoft Security Development Lifecycle). Alla programvarukomponenter, inklusive operativsystemavbildningar och SQL Database, distribueras som en del av ändringshanterings- och versionshanteringsprocessen. Operativsystemet som körs på alla noder är en anpassad version. Den exakta versionen väljs av infrastrukturkontrollanten (FC) enligt den roll som operativsystemet avser att spela. Värdoperativsystemet tillåter inte heller installation av obehöriga programvarukomponenter.

Vissa Azure-komponenter distribueras som Azure-kunder på en virtuell gästdator som körs på ett gästoperativsystem.

Virusgenomsökningar i versioner

Versioner av Azure-programvarukomponenter (inklusive OPERATIVSYSTEM) måste genomgå en virusgenomsökning som använder antivirusverktyget Endpoint Protection. Varje virusgenomsökning skapar en logg i den associerade byggkatalogen med information om vad som genomsökts och resultatet av genomsökningen. Virusgenomsökningen är en del av kompileringskällan för varje komponent i Azure. Koden flyttas inte till produktion utan en ren och lyckad virusgenomsökning. Om problem noteras är bygget låst. Bygget går till säkerhetsteamen i Microsoft Security för att identifiera var den "falska" koden kom in i bygget.

Stängd och låst miljö

Som standard har azure-infrastrukturnoder och virtuella gästdatorer inte användarkonton som skapats på dem. Dessutom inaktiveras standardadministratörskonton för Windows. Administratörer från Azure Live Support kan, med korrekt autentisering, logga in på dessa datorer och administrera Azures produktionsnätverk för nödreparationer.

Azure SQL Database-autentisering

Som med alla implementeringar av SQL Server måste kontohanteringen vara noggrant kontrollerad. Azure SQL Database stöder endast SQL Server autentisering. För att komplettera en kunds datasäkerhetsmodell bör även användarkonton med starka lösenord och konfigurerade med specifika rättigheter användas.

ACL:er och brandväggar mellan Microsofts företagsnätverk och ett Azure-kluster

Åtkomstkontrollistor (ACL: er) och brandväggar mellan tjänstplattformen och Microsofts företagsnätverk skyddar SQL Database instanser mot obehörig insideråtkomst. Dessutom kan endast användare från IP-adresser från Microsofts företagsnätverk komma åt Windows Fabric slutpunkt för plattformshantering.

ACL:er och brandväggar mellan noder i ett SQL Database kluster

Som en del av djupskyddsstrategin har ACL:er och en brandvägg implementerats mellan noder i ett SQL Database kluster. All kommunikation i Windows Fabric plattformsklustret och all kod som körs är betrodd.

Anpassade övervakningsagenter

SQL Database använder anpassade övervakningsagenter (MAs), även kallade vakthundar, för att övervaka hälsotillståndet för SQL Database klustret.

Webbprotokoll

Övervakning och omstart av rollinstans

Azure säkerställer att alla distribuerade, aktiva roller (internetuppkopplade webb- eller serverdelsbearbetningsarbetsroller) omfattas av kontinuerlig hälsoövervakning. Hälsoövervakning säkerställer att de effektivt och effektivt levererar de tjänster som de har etablerats för. Om en roll blir skadad, antingen på grund av ett kritiskt fel i programmet som värdhanteras eller ett underliggande konfigurationsproblem i själva rollinstansen, identifierar FC problemet i rollinstansen och initierar ett korrigerande tillstånd.

Compute-anslutning

Azure säkerställer att det distribuerade programmet eller tjänsten kan nås via webbaserade standardprotokoll. Virtuella instanser av Internetuppkopplade webbroller har extern Internetanslutning och kan nås direkt av webbanvändare. För att skydda känsligheten och integriteten för de åtgärder som arbetsroller utför för de offentligt tillgängliga virtuella webbrollinstanserna har virtuella instanser av arbetsroller för serverdelsbearbetning extern Internetanslutning men kan inte nås direkt av externa webbanvändare.

Nästa steg

Mer information om vad Microsoft gör för att skydda Azure-infrastrukturen finns i: