Veri şifreleme önerileri

İyi Tasarlanmış Çerçeve Güvenliği denetim listesi önerisi için geçerlidir:

Verileriniz korunmuyorsa, kötü amaçlı olarak değiştirilebilir ve bu da bütünlük ve gizlilik kaybına neden olur.

Bu kılavuzda verilerinizi şifrelemeye ve korumaya yönelik öneriler açıklanmaktadır. Şifreleme, verileri okunamaz hale getirmek ve verileri bir anahtarla kilitlemek için şifreleme algoritmalarını kullanma işlemidir. Şifrelenmiş durumda veriler deşifre edilemez. Şifresi yalnızca şifreleme anahtarıyla eşleştirilmiş bir anahtar kullanılarak çözülebilir.

Tanımlar

Temel tasarım stratejileri

Kurumsal zorunluluklar veya mevzuat gereksinimleri şifreleme mekanizmalarını zorunlu kabilir. Örneğin, verilerin yalnızca seçili bölgede kalması ve verilerin kopyalarının bu bölgede tutulması gerekebilir.

Bu gereksinimler genellikle temel minimum gereksinimlerdir. Daha yüksek bir koruma düzeyi için çaba gösterin. İster dış kullanıcı verileri ister çalışan verileri olsun, gizlilik sızıntılarını önlemek ve hassas verilerin değiştirilmesini önlemek sizin sorumluluğundadır.

Şifreleme mekanizmalarının büyük olasılıkla üç aşamada verilerin güvenliğini sağlamaları gerekir:

• Bekleyen veriler, depolama nesnelerinde tutulan tüm bilgilerdir.

  Bekleyen verilerin güvenliğini sağlamanın bir örneği, disk üzerindeki depolama alanına kaydedilen verileri şifrelemek için BitLocker kullanmaktır.

• Aktarımdaki veriler bileşenler, konumlar veya programlar arasında aktarılan bilgilerdir.

  Aktarımdaki verilerin güvenliğini sağlamanın bir örneği, genel ve özel ağlar üzerinden taşınan paketlerin güvenli olması için verileri TLS ile şifrelemektir.

• Kullanımdaki veriler, bellekte etkin olarak üzerinde çalışılan verilerdir.

  Kullanımdaki verilerin güvenliğini sağlamaya örnek olarak verileri işlenirken korumak için gizli bilgi işlemle şifrelemek örnek olarak verilmiştir.

Önceki seçenekler birbirini dışlamaz. Bunlar genellikle çözümün tamamı bağlamında birlikte kullanılır. Bir aşama telafi denetimi olarak görev alabilir. Örneğin, veriler bellekten okunduğunda kurcalanmasını önlemek için verileri yalıtmanız gerekebilir.

Şifreleme gereksinimlerini belirleme

Şifrelemeniz gereken verileri belirlemek için verileri amacına ve duyarlılık düzeyine göre sınıflandırabilirsiniz. Şifrelenmesi gereken veriler için gerekli koruma düzeyini belirleyin. Aktarımdaki tüm veriler için uçtan uca TLS şifrelemesine ihtiyacınız var mı? Bekleyen veriler için hangi Azure özellikleri gereksinimlerinizi karşılayabilir? Her depolama noktasında verileri iki kez şifrelemeniz gerekiyor mu? Bilgi korumayı nasıl uygularsınız?

Önemli dengeler olduğundan şifreleme kararlarınızı dengelemeniz önemlidir.

Denge: Her şifreleme atlaması performans gecikme süresine neden olabilir. İşlem karmaşıklıkları sorun giderme ve gözlemlenebilirlik ile ilgili olarak ortaya çıkabilir. Kurtarma bir zorluk olabilir.

Bu dengelerin kapsamını belirleyin. Hassas olarak sınıflandırılan veriler için dengeleri tahmin edin. Gereksinimler, örneğin belirli bir veri türünün şifrelenip belirli eşikler içinde depolanması gerekip gerekmediğini bile belirleyebilir.

Teknik sınırlamalar, yatırım veya başka nedenlerle şifrelemenin mümkün olmadığı durumlar vardır. Bu nedenlerin açık, geçerli ve belgelenmiş olduğundan emin olun.

Güçlü şifreleme mekanizmaları tek savunma yönteminiz olmamalıdır. Veri hırsızlığı önleme işlemlerini, uygun test yöntemlerini ve anomali algılamayı uygulayın.

Sınıflandırma hakkında bilgi için bkz . Veri sınıflandırması önerileri.

Yerel şifreleme mekanizmaları kullanma

Çoğu Azure hizmeti temel bir şifreleme düzeyi sağlar. Platform tarafından sağlanan şifreleme seçeneklerini keşfedin.

Kendi işlevlerinizi geliştirmek için platform özelliklerini devre dışı bırakmamanızı kesinlikle öneririz. Platform şifreleme özellikleri modern endüstri standartlarını kullanır, uzmanlar tarafından geliştirilmiştir ve yüksek oranda test edilmiştir.

Nadir durumlarda, platform tarafından sağlanan şifrelemeyi değiştirmeniz gerekiyorsa, artıları ve dezavantajları değerlendirin ve endüstri standardı şifreleme algoritmalarını kullanın.

Geliştiriciler, platform dışı şifreleme kitaplıkları yerine işletim sisteminde yerleşik olarak bulunan şifreleme API'lerini kullanmalıdır. .NET için .NET şifreleme modelini izleyin.

Şifreleme anahtarları yaklaşımı seçme

Varsayılan olarak, Azure hizmetleri verileri şifrelemek ve şifresini çözmek için Microsoft tarafından yönetilen şifreleme anahtarlarını kullanır. Azure, anahtar yönetiminden sorumludur.

Müşteri tarafından yönetilen anahtarları seçebilirsiniz. Azure anahtarlarınızı kullanmaya devam ediyor ancak siz anahtar işlemlerine karşı sorumlusunuz. İstediğiniz zaman anahtarları değiştirme esnekliğine sahipsiniz. Şifre çözme, müşteri tarafından yönetilen anahtarları kullanmak için cazip bir nedendir.

Güçlü şifrelemeyi güçlü şifre çözme ile eşleştirmeniz gerekir. Güvenlik açısından bakıldığında, bir şifre çözme anahtarının korunması önemlidir çünkü bir anahtarın güvenliği aşılırsa döndürme, patlama yarıçapını denetlemenin yaygın bir yoludur. Anormal erişimi ve etkinlikleri algılamak için erişimi izleyin.

Anahtarları şifrelenmiş verilerden ayrı depolayın. Bu ayırma, bir varlığın güvenliğinin aşılmasının diğerini etkilememesini sağlamaya yardımcı olur. Müşteri tarafından yönetilen anahtarlar kullanıyorsanız, bunları bir anahtar deposunda depolayın. Yüksek oranda hassas verileri yönetilen donanım güvenlik modülünde (HSM) depolayın.

Her iki depo da kimlik tabanlı erişimle korunur. Bu özellik, platforma erişimi reddetmenizi sağlar.

Standart şifreleme algoritmalarını kullanma

Özel uygulamalar oluşturmak yerine iyi kurulmuş ve endüstri standartlarına uyan şifreleme algoritmalarını kullanın.

Algoritmalar için endüstri standartları, şifreleme şemalarının belirli bir entropi düzeyine sahip olmasını gerektirir. Entropi kaynakları şifreleme sırasında eklenir. Entropi algoritmayı güçlü hale getirir ve saldırganın bilgileri ayıklamasını zorlaştırır. Entropinin dayanıklı eşiklerini belirleyin. Şifreleme yordamları yoğun işlemci kullanır. İşlem isteğinin genel performans hedeflerine göre şifreleme için harcanan işlem döngülerini en üst düzeye çıkarmak için doğru dengeyi bulun.

Denge: Son derece karmaşık bir algoritma seçerseniz veya makul miktardan fazla entropi eklerseniz sisteminizin performansını düşürür.

Karmaları ve sağlama toplamlarını kullanma

Karma genellikle bir hata algılama tekniğidir. Ayrıca, üzerinde oynanma nedeniyle verilerde değişiklik olduğunu algıladığı için güvenlik için karma kullanabilirsiniz. Karma işlevler şifrelemeyi temel alır, ancak anahtar kullanmaz. Karma işlevleri, sağlama toplamları oluşturmak için algoritmaları kullanır. Sağlama toplamları, verilerin bütünlüğünü doğrulamak için verileri karşılaştırabilir.

Uygulamalar SHA-256, SHA-384 veya SHA-512 gibi SHA-2 karma algoritmaları ailesini kullanmalıdır.

Bekleyen verileri şifreleme

Bilgi depolama nesnelerini iç ve dış uyumluluk gereksinimlerine uygun olarak sınıflandırın ve koruyun. Aşağıdaki önerilere bakın:

• Depolama hizmetleri, veri depoları ve verileri kalıcı hale getirmek için kullanılan diğer kaynaklar için sağlanan yerel seçenekleri kullanarak verileri şifreleyin. Verileri bu depolama hizmetlerinde veya kaynaklarda yalnızca geçici olarak depolasanız bile bu verileri şifreleyin. Ayrıca, özgün kaynakla aynı güvenlik düzeyini korumak için yedekleme verilerinizi şifreleyin.

  Daha fazla bilgi için bkz . Bekleyen veriler koruması.

• Çift şifreleme kullanın. İş gereksinimleriniz daha yüksek güvence gerektirirse, çift şifreleme gerçekleştirebilirsiniz. Müşteri tarafından yönetilen bağımsız anahtarları kullanarak iki veya daha fazla katmandaki verileri şifreleyin. Verileri yönetilen bir HSM'de depolayın. Verileri okumak için her iki anahtara da erişmeniz gerekir. Bir anahtarın güvenliği aşılırsa, diğer anahtar verileri korumaya devam eder. Bu teknik saldırgan maliyetlerini artırmayı amaçlar.

  Verileri çift şifrelemek için platform tarafından sağlanan şifrelemeyi de kullanabilirsiniz. Platform tarafından sağlanan şifreleme, depolama medyasını altyapı düzeyinde korur ve veri düzeyinde başka bir şifreleme katmanı uygularsınız. Örneğin, bir ileti aracısı hizmeti, ileti kanalını koruyan Microsoft tarafından yönetilen anahtarlar aracılığıyla platform tarafından sağlanan şifrelemeye sahiptir. Bu yöntem, iletileri müşteri tarafından yönetilen anahtarlarla şifrelemenize olanak tanır.

  Birden fazla şifreleme anahtarı kullanın. Veri şifreleme anahtarınızı (DEK) korumak için anahtar şifreleme anahtarı (KEK) kullanın.

• Verilere erişimi denetlemek için kimlik tabanlı erişim denetimlerini kullanın. Beklenmeyen ve güvenli olmayan erişimi engelleyen ek bir güvenlik katmanı sağlamak için ağ güvenlik duvarları ekleyin.

  Daha fazla bilgi için bkz . Kimlik ve erişim yönetimi önerileri.

• Anahtarları, en az ayrıcalıklı erişim denetimine sahip yönetilen bir HSM'de depolayın. Verileri anahtarlardan verilere ayırın.

• Yalnızca gerekli olanları şifrelemek için sınırlı miktarda veri depolayın. Verilerinizin şifreleme döngünüzden daha uzun süre yaşamaması gerekir. Verilere artık gerek kalmadığında şifre çözme döngülerini harcamadan şifrelenmiş verileri silin.

Aktarımdaki verileri şifreleme

• İstemci-sunucu iletişimi için güvenli protokolleri kullanın. Aktarım protokolleri yerleşik bir güvenlik katmanına sahiptir. TLS, istemci ve sunucu uç noktaları arasında veri alışverişi için endüstri standardıdır.

  TLS 1.2'den düşük sürümleri kullanmayın. TLS 1.2'yi desteklemek için çözümleri geçirin ve varsayılan olarak bu sürümü kullanın. Tüm Azure hizmetleri genel HTTPS uç noktaları üzerinde TLS 1.2'i destekler.

  Risk: Geriye dönük uyumluluk desteklenmiyorsa TLS 1.2'i desteklemeyen eski istemciler düzgün çalışmayabilir.

  Aktarılan verilerin duyarlılığına bakılmaksızın tüm web sitesi iletişimleri HTTPS kullanmalıdır. İstemci-sunucu el sıkışması sırasında, HTTPS aktarımının korunması ve iletişim sırasında HTTP'ye düşmemesi için HTTP Katı Aktarım Güvenliği (HSTS) ilkesinin kullanımını tartışın. Bu ilke, ortadaki adam saldırılarına karşı koruma sağlar.

  HSTS desteği daha yeni sürümler içindir. Eski tarayıcılarla geriye dönük uyumluluğu bozabilirsiniz.

  Not

  Veritabanları için güvenli bağlantılar kurmak için protokolleri de şifreleyebilirsiniz. Örneğin Azure SQL Veritabanı, TLS el sıkışmasını tümleştiren Tablosal Veri Akışı (TDS) protokollerini destekler.

  Şifreleme paketi, istemci ile sunucu arasındaki el sıkışmasını standartlaştırmak için kullanılan bir dizi algoritmadır. Şifreler, değişimin şifrelenmesini ve kimliğinin doğrulanmasını sağlar. Şifreleme seçimi, sunucunun kullandığı TLS sürümüne bağlıdır. Azure Uygulaması lication Gateway gibi bazı hizmetler için TLS sürümünü ve desteklemek istediğiniz şifreleme paketlerini seçebilirsiniz. Gelişmiş Şifreleme Standardı'nı (AES) simetrik blok şifrelemesi olarak kullanan şifreleme paketlerini uygulayın. AES-128, AES-192 ve AES-256 kabul edilebilir.

• Sertifikaların yaşam döngüsünü yönetin. Sertifikaların önceden belirlenmiş bir ömrü vardır. Uzun süreli sertifikaları saklamayın ve sürelerinin kendi başlarına dolmasına izin vermeyin. Sertifikaları kabul edilebilir bir sıklıkta yenileyen bir işlem uygulayın. Kısa aralıklarla gerçekleşen yenileme işlemlerini otomatikleştirebilirsiniz.

  Not

  Sertifika sabitlemeyi kullanıyorsanız çeviklik ve sertifika yönetimi sınırlamaları hakkında bilgi sahibi olun.

  İş akışınız ortamda geçersiz sertifikaların kabul edilmesine izin vermemelidir. Sertifika sabitleme işlemi sertifikaları doğrulamalı ve bu doğrulama denetimini zorunlu kılmalıdır. İmzalama anahtarının uygun izinlerle kullanıldığından emin olmak için erişim günlüklerini izlemeniz gerekir.

  Bir anahtarın güvenliği aşılırsa sertifika hemen iptal edilmelidir. Sertifika yetkilisi (CA), süresi dolmadan önce geçersiz kılınan sertifikaları gösteren bir sertifika iptal listesi (CRL) sağlar. Doğrulama denetiminiz CRL'leri dikkate almalıdır.

  Denge: Sertifikasyon doğrulama işlemi hantal olabilir ve genellikle bir CA içerir. Sertifikalarla şifrelemeniz gereken verileri belirleyin. Diğer iletişim türleri için, güvenlik eklemek için yerelleştirilmiş telafi denetimleri uygulayabileceğinizi belirleyin.

  Denetimleri yerelleştirmenin bir yolu karşılıklı TLS (mTLS) iledir. İstemci ile sunucu arasında her iki yönde de güven oluşturur. hem istemcinin hem de sunucunun kendi sertifikaları vardır ve her sertifikanın kimliği ortak veya özel anahtar çiftiyle doğrulanır. mTLS ile dış CA'ya bağımlı değilsiniz. Denge, iki sertifikayı yönetmenin karmaşıklığının artmasıdır.

• Gerekirse VPN bağlantılarını çift şifreleyin. VPN tünelinize derinlemesine savunma eklemek için çift şifreleme gerçekleştirin. İki VPN sunucusu kullandığınızda, sunucular arasındaki IP adresini gizleyebilir ve ayrıca sunucu ile hedef arasındaki IP adresini gizleyebilirsiniz. Bu işlem sırasında aktarımdaki veriler de iki kez şifrelenir.

  Denge: Tek VPN kurulumlarıyla karşılaştırıldığında, çift VPN kurulumları genellikle daha pahalıdır ve bağlantılar genellikle daha yavaştır.

• Günlüğe kaydetme ve izleme işlemlerini uygulayın. İstemciler hakkında kaynak IP'leri, bağlantı noktası ve protokolleri gibi bilgileri depolayan erişim oturum açma kaynaklarını izleyin. Anomalileri algılamak için bu bilgileri kullanın.

Kullanımdaki verileri şifreleme

Yüksek güvenlikli iş yükleri için segmentasyon, yalıtım ve en az özelleştirme, tasarım desenleri önerilir.

Kullanım içi koruma bağlamında, donanım sınırları VM'lerin, konak yönetim kodunun ve diğer bileşenlerin yalıtılmasını sağlamak için fiziksel CPU ve bellekte kullanımdayken verilerin şifrelenmesini gerektirebilir. Verilerin şifrelenmesinin ve şifresinin çözülmesinin yalnızca bu yalıtım sınırları içinde yapılması gerekir.

Daha sıkı güvenlik veya mevzuat gereksinimleri, verilerin kullanımdayken şifrelendiğine ilişkin donanım tabanlı, kriptografik olarak imzalanmış kanıtlar da gerektirebilir; bu, kanıtlama yoluyla elde edilebilir. Gizli bilgi işlem , gereksinimi destekleyen teknolojilerden biridir. Azure'daki belirli hizmetler, verileri hesaplanırken koruma olanağı sunar. Daha fazla bilgi için bkz . Azure Kolaylaştırma: Azure Gizli İşlem.

Verileri koruduğunuz verilerin uçtan uca yaşam döngüsünü göz önünde bulundurun, bir çözümün tüm bileşen parçalarının gerekli koruma düzeylerini sağlayabildiğinden veya veri yönetimi stratejinizin uygun segmentlere ayırma veya maskeleme sağladığından emin olun.

Azure kolaylaştırma

Aşağıdaki bölümlerde verilerinizi şifrelemek için kullanabileceğiniz Azure hizmetleri ve özellikleri açıklanmaktadır.

Müşteri tarafından yönetilen anahtarlar

Müşteri tarafından yönetilen anahtarları Azure Key Vault'ta veya Key Vault tarafından yönetilen bir HSM'de depolayın.

Key Vault, anahtarlara diğer gizli diziler gibi davranır. Azure rol tabanlı erişim denetimleri (RBAC), anahtarlara bir izin modeli aracılığıyla erişer. Bu kimlik tabanlı denetim Key Vault erişim ilkeleriyle kullanılmalıdır.

Daha fazla bilgi için bkz . RBAC kullanarak Key Vault anahtarlarına, sertifikalarına ve gizli dizilerine erişim sağlama.

Azure Key Vault Premium ve Managed-HSM, gizli bilgi işlem özelliklerini ve bir anahtarın yalnızca Güvenilir Yürütme Ortamı (TEE) içinde yürütüldüğünü kriptografik olarak kanıtlayabilecek bir iş yükünde kullanıma sunulmasını sağlayan bir ilkeyi destekleyen Güvenli Anahtar Yayını'nı ekleyerek teklifi daha da geliştirir.

Bekleyen veri koruması

• Azure Depolama , veriler bir depolama hesabında kalıcı hale geldiğinde verilerinizi blok şifrelemeleriyle otomatik olarak şifreler. Depolama, Azure Blob Depolama ve Azure Kuyruk Depolama için kitaplıklar aracılığıyla istemci tarafı şifreleme de sağlar.

  Daha fazla bilgi için bkz . Depolama şifrelemesi.

• Azure Sanal Makineler, sanal depolama birimleri olarak hizmet veren disk dosyalarına sahiptir. sanal disk dosyalarını şifreleyerek içeriğe erişilememesini sağlayabilirsiniz.

  Yönetilen diskler portaldan dışarı aktarılabilir. Konakta sunucu tarafı şifreleme ve şifreleme verileri ancak dışarı aktarıldıktan sonra koruyabilir. Ancak, dışarı aktarma işlemi sırasında verileri korumanız gerekir. dışarı aktarma işlemi sırasında verilerinizi korumak ve korumak için Azure Disk Şifrelemesi kullanabilirsiniz.

  Azure, yönetilen diskler için çeşitli şifreleme seçenekleri sunar. Daha fazla bilgi için bkz . Yönetilen disk şifreleme seçeneklerine genel bakış.

• SQL Veritabanı, sayfa düzeyinde bir veritabanı dosyasını şifrelemek için kullanılan saydam bir veri şifreleme özelliği sunar.

Aktarım sırasında veri koruması

Key Vault ile genel ve özel Güvenli Yuva Katmanı (SSL) veya TLS sertifikaları sağlayabilir, yönetebilir ve dağıtabilirsiniz. Sertifikaları Azure ile ve dahili bağlı kaynaklarınızla kullanabilirsiniz.

Kullanımda veri koruması

Azure'daki belirli hizmetler, Azure gizli bilgi işlemini kullanarak bir konağın fiziksel CPU'sunda ve belleğinde hesaplanırken verileri koruma olanağı sunar.

• Gizli Sanal Makineler, TEE içinde çalışan bir sanal makinenin tamamını sunar. Sanal makinenin belleği ve CPU içeriğini yürütme, yüksek güvenlik gereksinimleri olan değiştirilmemiş uygulamaları Azure'a taşımak için basit bir 'lift & shift' yaklaşımı sunan şifrelenir. Her Azure gizli SANAL makinesinin kendi ayrılmış sanal Güven Platformu Modülü (TPM) vardır. İşletim sistemi bileşenleri güvenli bir şekilde önyüklendiğinde şifreleme gerçekleştirilir.

• Gizli AKS çalışan düğümleri, AKS'deki Gizli Kapsayıcılar veya Azure Container Instances'ta (ACI) Gizli Kapsayıcılar, müşterilerin kullanım içi korumadan yararlanmasını sağlayan bir TEE içinde değiştirilmemiş kapsayıcıları çalıştırma ve yönetme olanağı sunar. Kapsayıcı teklifleri, Gizli Sanal Makineler yerleşiktir ve aynı korumalardan yararlanır.

• Uygulama Kapanımı çözümleri, Intel Software Guard Uzantılarını (SGX) destekleyen sanal makine SKU'ları tarafından sunulan belirli CPU uzantılarından yararlanan özel olarak oluşturulmuş uygulamalardır; bunlar çok ayrıntılı bir Güvenilir İşlem Tabanı (TCB) sunar ancak özelliklerden yararlanmak için uygulamaların özel olarak kodlanması gerekir.

• Güvenli Anahtar Yayını bu teknolojilerle birleştirilerek şifrelenmiş verilerin yalnızca tee içinde şifrelerinin çözülmesi sağlanır ve bu da Kanıtlama olarak bilinen bir işlem aracılığıyla gerekli koruma düzeyini sağladığını kanıtlar.

Gizli dizi yönetimi

Anahtar Kasası'nı kullanarak belirteçlere, parolalara, sertifikalara, API anahtarlarına ve diğer gizli dizilere erişimi güvenli bir şekilde depolayabilir ve denetleyebilirsiniz. Anahtar Kasası'nın anahtar ve sertifika yönetimi çözümü olarak kullanılması. Premium SKU, HSM'leri destekler.

Örnek

Aşağıdaki örnekte anahtarları, sertifikaları ve gizli dizileri yönetmek için kullanabileceğiniz şifreleme çözümleri gösterilmektedir.

İlgili bağlantılar

• .NET şifreleme modeli
• Azure Disk Şifrelemesi
• Bekleyen veriler için depolama şifrelemesi
• Azure hizmetlerinde sertifika sabitleme
• RBAC kullanarak Key Vault anahtarlarına, sertifikalarına ve gizli dizilerine erişim sağlama
• Yönetilen disk şifreleme seçeneklerine genel bakış
• Saydam veri şifrelemesi
• Güven Platformu Modülüne genel bakış
• Azure gizli bilgi işlem

Topluluk bağlantıları

• Key Vault'a genel bakış

Güvenlik denetim listesi

Öneriler kümesinin tamamına bakın.

Güvenlik denetim listesi