Kötü amaçlı değişkenleri yönetme
Bulut benimsemesinin İdare aşamasında kötü modellerle karşılaşabilirsiniz. Bu kötü amaçlı yazılımlardan kaçınmanıza yardımcı olmak için paylaşılan sorumlulukları ve mevcut çerçevelerde güvenlik stratejinizi nasıl oluşturabileceğinizi anlayın.
Kötü amaçlı yazılımdan koruma: Paylaşılan sorumlulukları yanlış anlama
Bulutu benimsediğinizde, sorumluluğunuzun nerede sona erdiği her zaman net değildir ve bulut sağlayıcısının farklı hizmet modelleri ile ilgili sorumluluğu başlar. Hizmet modellerini kullanan iş öğeleriyle ilgili süreçler ve uygulamalar oluşturmak için bulut becerileri ve bilgi gerekir.
Örnek: Bulut sağlayıcısının güncelleştirmeleri yönettiğini varsayın
Bir şirketin insan kaynakları (İk) departmanının üyeleri, bulutta birden çok Windows sunucusu ayarlamak için hizmet olarak altyapıyı (IaaS) kullanır. Şirket içi BT genellikle güncelleştirme yüklemesini işlediğinden, güncelleştirmeleri bulut sağlayıcısının yönettiğini varsayarlar. azure'un işletim sistemi (OS) güncelleştirmelerini varsayılan olarak dağıtmadığını ve yüklemediğinin farkında olmadıklarından İk departmanı güncelleştirmeleri yapılandırmaz. Sonuç olarak, sunucular uyumsuz olur ve güvenlik riski oluşturur.
Tercih edilen sonuç: Hazırlık planı oluşturma
Bulutta paylaşılan sorumluluğu anlama. Hazırlık planı oluşturun ve oluşturun. Hazırlık planı, öğrenme ve uzmanlık geliştirme için sürekli bir ivme oluşturabilir.
Kötü amaçlı yazılımdan koruma: Kullanıma sunulan çözümlerin güvenlik sağladığını varsayın
Şirketler, güvenliği bulut hizmetlerinin doğasında bulunan bir özellik olarak görmeye eğilimlidir. Bu varsayım genellikle doğru olsa da çoğu ortamın güvenlik gereksinimlerinden farklı olabilecek uyumluluk çerçevesi gereksinimlerine uyması gerekir. Azure temel güvenlik sağlar ve Azure portalı Bulut için Microsoft Defender aracılığıyla daha gelişmiş güvenlik sağlayabilir. Abonelik oluştururken, uyumluluk ve güvenlik standardı uygulamak için çözümünüzü özelleştirmeniz gerekir.
Örnek: Bulut güvenliğini ihmal etme
Bir şirket bulutta yeni bir uygulama geliştirir. Hizmet olarak platform (PaaS) hizmetlerinin yanı sıra hata ayıklama amacıyla bazı IaaS bileşenlerini temel alan bir mimari seçer. Şirket, uygulamayı üretime verdikten sonra atlama sunucularından birinin gizliliğinin ihlal edildiğini ve bilinmeyen bir IP adresine veri ayıkladığını fark eder. Şirket, sorunun atlama sunucusunun genel IP adresi ve tahmin etmek kolay bir parola olduğunu keşfeder. Şirket, bulut güvenliğine daha fazla odaklanmış olsaydı bu durumdan kaçınabilirdi.
Tercih edilen sonuç: Bulut güvenlik stratejisi tanımlama
Uygun bir bulut güvenlik stratejisi tanımlayın. Daha fazla bilgi için CISO buluta hazır olma kılavuzuna bakın. Bilgi güvenliği sorumlunuzu (CISO) bu kılavuza yönlendirin. CISO bulut hazır olma kılavuzunda güvenlik platformu kaynakları, gizlilik ve denetimler, uyumluluk ve saydamlık gibi konular ele alınmaktadır.
Azure Güvenlik Karşılaştırması'nda güvenli bulut iş yükleri hakkında bilgi edinin. Çoğu güvenlik risk ve önlemini ele alan Ulusal Standartlar ve Teknoloji Enstitüsü'nden NIST SP800-53 ile birlikte İnternet Güvenliği Merkezi'nden CIS Denetimleri v7.1'i temel alın.
Riskleri belirlemek, en iyi yöntemleri uyarlamak ve şirketinizin güvenlik duruşunu geliştirmek için Bulut için Microsoft Defender kullanın.
Azure İlkesi ve Kod olarak Azure İlkesi çözümünü kullanarak şirkete özgü otomatik uyumluluk ve güvenlik gereksinimlerini uygulayın veya destekleyin.
Kötü amaçlı yazılımdan koruma: Özel uyumluluk veya idare çerçevesi kullanma
Sektör standartlarına dayalı olmayan özel bir uyumluluk ve idare çerçevesinin tanıtılması, bulut benimseme süresini önemli ölçüde artırabilir. Bunun nedeni, özel çerçeveden bulut ayarlarına çevirinin karmaşık olmasıdır. Bu karmaşıklık, özel ölçüleri ve gereksinimleri uygulanabilir güvenlik denetimlerine çevirmek için gereken çabayı artırabilir. Şirketlerin genellikle benzer güvenlik ve uyumluluk gereksinimlerine uyması gerekir. Sonuç olarak, çoğu özel uyumluluk ve güvenlik çerçevesi geçerli uyumluluk çerçevelerinden yalnızca biraz farklıdır. Ek güvenlik gereksinimleri olan şirketler yeni çerçeveler oluşturmayı göz önünde bulundurabilir.
Örnek: Özel güvenlik çerçevesi kullanma
Bir şirketin CISO'sunun BT güvenlik çalışanlarına bir bulut güvenlik stratejisi ve çerçevesi oluşturma görevi atanır. BT güvenlik departmanı, endüstri standartlarına göre oluşturmak yerine geçerli şirket içi güvenlik ilkesine dayalı yeni bir çerçeve oluşturur. Bulut güvenlik ilkesini tamamladıktan sonra AppOps ve DevOps ekipleri bulut güvenlik ilkesini uygulamakta zorlanır.
Azure, şirketin kendi çerçevesinden farklı daha kapsamlı bir güvenlik ve uyumluluk yapısı sunar. CISO ekibi, Azure denetimlerinin kendi uyumluluk ve güvenlik kurallarıyla uyumsuz olduğunu düşünüyor. Çerçevesini standart denetimlere dayandırsaydı, bu sonuca varmazdı.
Tercih edilen sonuç: Mevcut çerçeveleri kullanma
Özel bir şirket uyumluluk çerçevesi oluşturmadan veya sunmadan önce CIS Denetimleri sürüm 7.1 veya NIST SP 800-53 gibi mevcut çerçeveleri kullanın veya oluşturun. Mevcut çerçeveler, bulut güvenliği ayarlarına geçişi daha kolay ve daha ölçülebilir hale getirir. Çerçeve uygulamaları hakkında daha fazla bilgi için bkz . Azure giriş bölgeleri uygulama seçenekleri.