Размер
Схема безопасности и соответствия требованиям Azure. Веб-приложение IaaS для Федеральной программы аккредитации облачных служб
Play

Схема безопасности и соответствия требованиям Azure. Веб-приложение IaaS для Федеральной программы аккредитации облачных служб

Федеральная программа аккредитации облачных служб (FedRAMP) — государственная программа США, которая определяет стандартизированный подход к оценке безопасности, сертификации и постоянному мониторингу облачных продуктов и услуг. В этой статье об автоматизации схемы безопасности и соответствия требованиям Azure приведены инструкции по развертыванию совместимой с FedRAMP среды IaaS, подходящей для создания простого интернет-приложения. Это решение автоматизирует развертывание и конфигурацию ресурсов Azure для общей эталонной архитектуры, демонстрируя, как клиенты могут обеспечить соответствие требованиям к безопасности и соответствию. Оно также служит основой для создания и настройки решений в Azure. В решении реализовано несколько директив из базовых требований FedRAMP уровня High на основе стандартов NIST SP 800-53. Дополнительные сведения о требованиях FedRAMP и этом решении см. в документации по соответствию требованиям.

Это решение развертывается в Azure для государственных организаций.

Решение автоматизации безопасности и соответствия требованиям Azure автоматически развертывает эталонную архитектуру веб-приложения IaaS с предварительно настроенными элементами управления безопасностью, чтобы помочь клиентам обеспечить соответствие требованиям FedRAMP. Решение состоит из шаблонов Azure Resource Manager и сценариев PowerShell, позволяющих развернуть и настроить ресурсы.

Эта архитектура призвана служить основой, которую клиенты должны адаптировать для конкретных требований, и не должна использоваться "как есть" в рабочей среде. Развертывания приложения в этой среде без изменений недостаточно для полного соответствия базовым требованиям FedRAMP уровня High. Обратите внимание на следующее:

  • Эта архитектура является своего рода эталоном, который помогает клиентам использовать Azure в соответствии с требованиями FedRAMP.
  • Клиенты несут ответственность за проведение соответствующих проверок безопасности и соответствия внутренней оценки решения, созданного с использованием этой архитектуры, поскольку требования могут варьироваться в зависимости от специфики реализации каждого клиента.

Краткий обзор того, как работает это решение, содержится в этом видео. В нем объясняется и демонстрируется развертывание решения.

Инструкции по развертыванию см. здесь.

Схема и компоненты архитектуры

Это решение позволяет развернуть эталонную архитектуру для веб-приложения IaaS с внутренним сервером SQL Server. Архитектура включает веб-уровень, уровень данных, инфраструктуру Active Directory, шлюз приложений и подсистему балансировки нагрузки. Виртуальные машины, развернутые на веб-уровне и уровне данных, настраиваются в группе доступности, а экземпляры SQL Server — в группе доступности AlwaysOn. Это обеспечивает высокий уровень доступности. Виртуальные машины присоединены к доменам, а с помощью политик группы Active Directory обеспечивается безопасность и соответствие конфигурациям на уровне операционной системы. Узел-бастион предоставляет безопасное подключение для администраторов, позволяющее получить доступ к развернутым ресурсам. Azure рекомендует настроить подключение VPN или Azure ExpressRoute для управления и импорта данных в подсеть эталонной архитектуры.

Это решение использует следующие службы Azure. Подробные сведения об архитектуре развертывания см. в этом разделе.

  • Виртуальные машины Azure
    • (1) узел-бастион (Windows Server 2016 Datacenter);
    • (2) Контроллер домена Active Directory (Windows Server 2016 Datacenter).
    • (2) узел кластера SQL Server (SQL Server 2017 в Windows Server 2016);
    • (2) Веб-службы и службы IIS (Windows Server 2016 Datacenter).
    • (1) Контроллеры домена Active Directory.
    • (1) узлы кластера SQL;
    • (1) Веб-службы и службы IIS.
    • (1) Виртуальные сети размером в /16.
    • (5) Подсети размером в /24.
    • Параметры DNS настроены на двух контроллерах доменов.
    • (1) Включенный шлюз приложений с брандмауэром веб-приложения:
      • режим брандмауэра — предотвращение;
      • набор правил — OWASP 3.0;
      • прослушиватель — порт 443.
      • (7) Учетная запись хранения для геоизбыточного хранилища.

      Архитектура развертывания

      В следующем разделе подробно описываются компоненты разработки и реализации.

      Узел-бастион. Узел-бастион является единой точкой входа, которая предоставляет защищенное подключение для администраторов, позволяющее получить доступ к развернутым ресурсам. Группа безопасности сети для узла-бастиона разрешает подключения только к TCP-порту 3389 для RDP. В дальнейшем клиенты могут настроить узел-бастион в соответствии с требованиями системы в организации.

      виртуальную сеть

      Архитектура определяет частную виртуальную сеть с пространством адресов 10.200.0.0/16.

      Группы безопасности сети. Решение позволяет развернуть ресурсы в архитектуре с отдельной веб-подсетью, подсетью базы данных, подсетью Active Directory и подсетью управления внутри виртуальной сети. Подсети логически разделены правилами групп безопасности сети, применяемыми к отдельным подсетям, которые настроены таким образом, чтобы между подсетями проходил только трафик, который необходим для работы функций системы и управления.

      См. конфигурацию групп безопасности сети, развертываемых с этим решением. Клиенты могут настроить группы безопасности сети. Для этого нужно изменить файл, приведенный выше, руководствуясь инструкциями в этой документации.

      Каждая из подсетей имеет выделенную группу безопасности сети (NSG):

      • 1 NSG для шлюза приложений (LBNSG);
      • 1 NSG для узла-бастиона (MGTNSG);
      • 1 NSG для основного и резервного контроллера домена (ADNSG);
      • 1 NSG для серверов SQL Server (SQLNSG);
      • 1 NSG для веб-уровня (WEBNSG).

      Подсети. Каждая подсеть связана с соответствующей группой NSG.

      Неактивные данные

      Архитектура защищает неактивные данные с помощью нескольких мер шифрования.

      Служба хранилища Azure. Чтобы обеспечить соответствие требованиям к шифрованию неактивных данных, для всех учетных записей хранения используется шифрование службы хранилища.

      SQL Server. Платформа SQL Server настроена для использования прозрачного шифрования данных (TDE). Оно обеспечивает шифрование и расшифровку файлов данных и журналов в режиме реального времени для защиты неактивных данных. TDE позволяет защитить сохраненные данные от несанкционированного доступа.

      Клиенты также могут настроить следующие меры безопасности SQL Server:

        обеспечивает централизованное управление удостоверениями для пользователей баз данных и других служб Майкрософт. позволяет отслеживать события базы данных и записывать их в журнал аудита в учетной записи хранения Azure. предотвращают любой доступ к серверам баз данных без надлежащих разрешений. Брандмауэр предоставляет доступ к базам данным на основе исходного IP-адреса каждого запроса. позволяет немедленно выявлять потенциальные угрозы и реагировать на них. При этом поступают оповещения системы безопасности о подозрительных действиях с базами данных, потенциальных уязвимостях, атаках путем внедрения кода SQL и аномальных шаблонах доступа к базам данных. гарантируют, что конфиденциальные данные никогда не отобразятся как открытый текст внутри системы баз данных. После включения шифрования данных получить доступ к данным в виде открытого текста смогут только клиентские приложения и серверы приложений, у которых есть доступ к ключам.
      • После развертывания эталонной архитектуры можно выполнить динамическое маскирование данных в базе данных SQL. Клиентам потребуется отрегулировать параметры динамического маскирования данных в соответствии со своей схемой базы данных.

      Шифрование дисков Azure. Шифрование дисков Azure применяется для шифрования дисков на виртуальных машинах Windows IaaS. Шифрование дисков Azure использует возможность BitLocker Windows, чтобы обеспечить шифрование тома для ОС и дисков данных. Решение интегрируется с хранилищем ключей Azure, помогая управлять ключами шифрования дисков.

      Управление удостоверениями

      Следующие технологии обеспечивают возможности управления удостоверениями в среде Azure:

        — это мультитенантный облачный каталог и служба управления удостоверениями корпорации Майкрософт.
      • Аутентификация развернутого пользователем веб-приложения может выполняться с помощью Azure Active Directory. Дополнительные сведения см. в статье Интеграция приложений с Azure Active Directory. обеспечивает точное управление доступом для Azure. Доступ к подписке ограничен администратором подписки, а доступ к ресурсам можно ограничить с учетом роли пользователя.
      • Развернутый экземпляр IaaS Active Directory обеспечивает управление удостоверениями на уровне операционной системы для развернутых виртуальных машин IaaS.
      Безопасность

      Управление секретами. Решение использует Azure Key Vault для управления ключами и секретами. Хранилище ключей Azure помогает защитить криптографические ключи и секреты, используемые облачными приложениями и службами. Azure Key Vault обеспечивает управление секретами и ключами шифрования диска виртуальной машины IaaS для этой эталонной архитектуры.

      Управление исправлениями. Виртуальные машины Windows, развернутые с помощью этого решения для автоматизации схемы безопасности и соответствия требованиям Azure, по умолчанию настроены для получения автоматических обновлений из службы Центра обновления Windows. В этом решении также развертывается решение службы автоматизации Azure, с помощью которого при необходимости можно обновить развертывания исправлений на серверах Windows.

      Защита от вредоносных программ. Антивредоносное ПО Майкрософт для виртуальных машин Azure предоставляет возможности защиты в реальном времени для обнаружения и удаления вирусов, шпионских и других вредоносных программ. Вы можете настроить оповещения о попытках установки или выполнения вредоносных или нежелательных программ на защищенных виртуальных машинах.

      Шлюз приложений. Архитектура снижает риск возникновения уязвимостей с помощью шлюза приложений с брандмауэром веб-приложения (WAF) и включенным набором правил OWASP. Доступны следующие дополнительные возможности:

        ;
      • включение разгрузки SSL;
      • отключение TLS версий 1.0 и 1.1; (режим WAF); с набором правил OWASP 3.0.
      Непрерывность ведения бизнеса

      Высокий уровень доступности. Во время планового или внепланового технического обслуживания доступна как минимум одна виртуальная машина, что соответствует показателю 99,95 %, установленному в соглашении об уровне обслуживания Azure. Решение позволяет развернуть все виртуальные машины веб-уровня и уровня данных в группе доступности. Группа доступности распределяет виртуальные машины между несколькими изолированными аппаратными кластерами, чтобы повысить уровень доступности. Более того, это решение позволяет развернуть виртуальные машины SQL Server в группе доступности в качестве группы доступности AlwaysOn. Группа доступности Always On предоставляет возможности, обеспечивающие высокий уровень доступности, и возможности аварийного восстановления.

      Хранилище служб восстановления. Хранилище служб восстановления содержит резервные копии данных и защищает все конфигурации виртуальных машин Azure в этой архитектуре. С помощью хранилища служб восстановления клиенты могут восстановить отдельные файлы и папки виртуальной машины IaaS, а не всю виртуальную машину. Это сокращает время восстановления.

      Облако-свидетель. Облако-свидетель — это тип свидетеля кворума отказоустойчивого кластера в Windows Server 2016, использующий Azure в качестве точки разрешения конфликтов. Для облака-свидетеля, как и для других свидетелей кворума, предоставляется возможность голосования и участия в подсчетах кворума, но используется стандартное общедоступное хранилище BLOB-объектов Azure. Это позволяет избежать дополнительных затрат на обслуживание виртуальных машин, размещенных в общедоступном облаке.

      Ведение журналов и аудит

      Журналы Azure Monitor предоставляют широкие возможности ведения журнала системных и пользовательских действий, а также работоспособность системы. Решение " журналы Azure Monitor " собирает и анализирует данные, созданные ресурсами в Azure и локальных средах.

      • Журналы действий.Журналы действий содержат информацию об операциях, которые выполнялись с ресурсами в подписке. Журналы действий помогают определить инициатора операции, время события и состояние.
      • Журналы диагностики.Журналы диагностики — это все журналы, создаваемые ресурсом. К этим журналам относятся системные журналы событий Windows, журналы службы хранилища Azure, журналы аудита Key Vault, а также журналы брандмауэра и доступа шлюза приложений.
      • Архивация журналов. Все журналы диагностики обеспечивают запись данных в централизованную и зашифрованную учетную запись Azure для архивирования. В соответствии с требованиями конкретной организации пользователь может настроить срок хранения до 730 дней. Эти журналы подключаются к журналам Azure Monitor для обработки, хранения и создания отчетов на панели мониторинга.

      Кроме того, в составе этой архитектуры устанавливаются указанные ниже решения мониторинга. Обратите внимание, что клиент отвечает за настройку этих решений в соответствии с мерами безопасности FedRAMP:

        . Решение "Проверка работоспособности Active Directory" регулярно оценивает риски и работоспособность серверных сред и предоставляет список рекомендаций, относящихся к развернутой серверной инфраструктуре и перечисленных в порядке приоритета. . Решение для защиты от вредоносных программ сообщает о вредоносных программах, угрозах и состоянии защиты. . Это решение обеспечивает хранение и выполнение модулей runbook, а также управление ими. Панель мониторинга "Безопасность и аудит" обеспечивает высокоуровневое представление для состояния безопасности ресурсов. Предоставляются метрики по доменам безопасности, важным проблемам, обнаружениям и исследованию угроз, а также по стандартным запросам безопасности. . Решение "Проверка работоспособности SQL" регулярно оценивает риски и работоспособность серверных сред и предоставляет клиентам список рекомендаций, относящихся к развернутой серверной инфраструктуре и перечисленных в порядке приоритета. . Решение "Управление обновлениями" позволяет клиенту управлять обновлениями безопасности операционной системы, включая состояние доступных обновлений, а также процесс установки необходимых обновлений. . Решение "Работоспособность агентов" сообщает количество развернутых агентов, их географическое распределение, а также количество агентов, которые перестают отвечать на запросы и агентов, которые отправляют операционные данные. Решение "Аналитика журнала действий" помогает анализировать журналы действий Azure во всех подписках Azure для клиента. . Решение "Отслеживание изменений" позволяет клиентам легко определять изменения в среде.

      Azure Monitor. Azure Monitor помогает пользователям отслеживать производительность, поддерживать безопасность и выявлять тенденции. Решение предоставляет организациям возможность аудита, создания оповещений и архивации данных, включая отслеживание вызовов API в ресурсах Azure клиентов.

      Модель рисков

      Схему потока данных для этой эталонной архитектуры можно скачать или просмотреть ниже. Используя эту модель, клиенты могут найти зоны потенциального риска в инфраструктуре системы при внесении изменений.

      Документация по соответствию

      В документе Azure Security and Compliance Blueprint – FedRAMP High Customer Responsibility Matrix (Схема безопасности и соответствия требованиям Azure. Таблица ответственности клиентов для FedRAMP уровня High) перечислены все директивы по обеспечению безопасности базового плана FedRAMP уровня High. В таблице указано, кто отвечает за реализацию каждой директивы: корпорация Майкрософт, клиент либо же они вместе.

      В документе Azure Security and Compliance Blueprint – FedRAMP IaaS Web Application High Control Implementation Matrix (Схема безопасности и соответствия требованиям Azure. Таблица реализация директив для веб-приложений IaaS для FedRAMP уровня High) перечислены все директивы обеспечения безопасности базового плана FedRAMP уровня High. В таблице содержатся сведения о том, какие директивы охватывает архитектура веб-приложений IaaS, включая подробные описание методов реализации каждой из них.

      Развертывание решения

      Это решение автоматизации схемы безопасности и соответствия требованиям Azure состоит из файлов конфигурации JSON и сценариев PowerShell, которые обрабатываются службой API Azure Resource Manager для развертывания ресурсов в Azure. Подробные инструкции по развертыванию см. в этой статье.

      Это решение развертывается в Azure для государственных организаций.

      Быстрый запуск

      Клонируйте или скачайте этот репозиторий GitHub на локальную рабочую станцию.

      Запустите сценарий PowerShell для предварительного развертывания: azure-blueprint/predeploy/Orchestration_InitialSetup.ps1.

      Нажмите кнопку ниже, войдите на портал Azure, введите необходимые параметры шаблона ARM и нажмите кнопку Приобрести.

      Советы и рекомендации

      VPN и ExpressRoute

      Необходимо настроить защищенный туннель VPN или ExpressRoute для защищенного подключения к ресурсам, развертываемым в рамках этой эталонной архитектуры веб-приложений IaaS. Правильно настроив VPN-подключение или ExpressRoute, клиенты могут добавить уровень защиты передаваемых данных.

      При реализации защищенного VPN-туннеля с помощью Azure можно создать виртуальное частное подключение между локальной сетью и виртуальной сетью Azure. Это подключение осуществляется через Интернет и позволяет клиентам безопасно передавать данные по "туннелю" внутри зашифрованного канала между сетью клиента и Azure. VPN типа "сеть-сеть" — это безопасная проверенная технология, которая десятилетиями применяется на предприятиях всех размеров. Режим туннеля IPsec используется в этом решении как механизм шифрования.

      Так как трафик в VPN-туннеле проходит через Интернет с VPN типа "сеть-сеть", Майкрософт предлагает другой, еще более защищенный вариант подключения. Azure ExpressRoute — это выделенный канал связи в глобальной сети между Azure и локальной средой или поставщиком услуг размещения Exchange. Подключения ExpressRoute не осуществляются через Интернет и обеспечивают повышенный уровень безопасности, надежности и быстродействия подключений с низким уровнем задержки по сравнению с типичными подключениями через Интернет. Более того, так как это прямое подключение поставщика телекоммуникационных услуг клиента, данные не передаются через Интернет и поэтому недоступны в нем.

      См. рекомендации по реализации защищенной гибридной сети, расширяющей локальную сеть в Azure.