Panoramica sicura

La metodologia Cloud Adoption Framework per Azure Secure offre un approccio strutturato per proteggere il cloud estate di Azure. Questa panoramica introduce le linee guida per la sicurezza che si applicano in ogni fase della metodologia di Cloud Adoption Framework. La sicurezza si estende su strategia, pianificazione, preparazione, adozione, governance e operazioni; lacune in qualsiasi fase indeboliscono la posizione complessiva. È consigliabile applicare la metodologia di sicurezza end-to-end, in modo che ogni decisione di fase rafforza la protezione, il rilevamento e la resilienza.

Modernizzare il comportamento di sicurezza

La modernizzazione del comportamento di sicurezza è l'elevazione continua delle difese, dei rilevamenti e delle funzionalità di resilienza. Questa modernizzazione è importante perché i controlli statici si deteriorano rapidamente di fronte all'evoluzione delle tecniche degli aggressori. È consigliabile allineare il lavoro di modernizzazione al framework di adozione di Microsoft Zero Trust e arricchire ogni attività di fase con miglioramenti Zero Trust.

Integrare il rafforzamento dell'identità, la segmentazione, l'accesso just-in-time e l'accesso ai privilegi minimi, l'ottimizzazione del rilevamento delle minacce, la protezione dei dati digitali e l'automazione di base della piattaforma nelle zone di destinazione e operazioni. Classificare in ordine di priorità gli sprint di modernizzazione in base alla riduzione del rischio misurabile (ad esempio, privilegi esposti, configurazioni non sicure, asset non monitorati). Automatizzare la convalida tramite criteri, infrastruttura come codice, analisi della conformità continua e rilevamento dei punteggi sicuri in Microsoft Defender for Cloud.

Preparare e rispondere agli eventi imprevisti

La preparazione e la risposta agli incidenti costituiscono un livello di controllo primario che limita il tempo di permanenza degli attaccanti e le interruzioni operative. Questa funzionalità è importante perché anche i controlli preventivi maturi non possono eliminare i tentativi di intrusione. È consigliabile implementare e migliorare continuamente un ciclo di vita degli eventi imprevisti end-to-end che copre l'idoneità, il rilevamento, la valutazione, il contenimento, l'eradicazione, il ripristino e l'apprendimento post-evento imprevisto.

Codificare ruoli, canali di comunicazione, gestione delle prove e autorità decisionale. Miglioramenti nella precisione degli avvisi e nell'ingestione dei dati di telemetria degli strumenti per ridurre i falsi positivi e accelerare il tempo medio di rilevamento (MTTD). Usare le linee guida per la risposta agli eventi imprevisti di Azure per perfezionare i runbook, praticare simulazioni di tabelle e automatizzare le azioni di contenimento (ad esempio, isolare gli host, revocare i token, l'archiviazione in quarantena) tramite flussi di lavoro orchestrati.

Adottare i principi della triade CIA (Riservatezza, Integrità, Disponibilità)

I principi di triade cia (riservatezza, integrità, disponibilità) forniscono un modello conciso per la protezione completa delle informazioni. Questo modello è importante perché le lacune in qualsiasi singolo principio creano punti deboli a catena. Si dovrebbe mappare in modo esplicito i controlli, i processi, la telemetria e le metriche a ciascun principio per ogni fase.

• La riservatezza limita l'accesso ai dati sensibili; i controlli di crittografia, gestione delle chiavi, identità, criteri di accesso, segmentazione di rete e classificazione dei dati.
• L'integrità mantiene la correttezza e la completezza dei dati; hashing, firma, modelli di archiviazione non modificabili, controllo della versione e catene di fornitura di aggiornamenti sicuri applicano lo stato attendibile.
• La disponibilità mantiene l'accesso tempestivo ai servizi e ai dati; progettazione della ridondanza, isolamento del dominio di errore, scalabilità automatica, probe di integrità, test chaos, backup e orchestrazione del ripristino di emergenza supportano l'accessibilità.

Applicare la triade per guidare:

• Protezione dei dati: Associare le etichette di riservatezza e i controlli di crittografia al rischio di confidenzialità.
• Continuità aziendale: Garantire l'integrità e la disponibilità dei tecnici per sostenere le operazioni.
• Fiducia degli stakeholder: Dimostra l'aderenza misurabile a ciascun principio negli audit e nella rendicontazione di conformità.

Ogni articolo illustra le attività che affrontano la riservatezza, l'integrità e la disponibilità, in modo da poter incorporare questi principi in strategia, progettazione, compilazione, governance e operazioni.

Mantenere la posizione di sicurezza

Il mantenimento della postura di sicurezza è il ciclo disciplinato di misurazione, miglioramento e convalida dell'efficacia del controllo. Questo mantenimento è importante perché gli attori delle minacce eseguono rapidamente e le difese statiche perdono rilevanza. È consigliabile istituzionalizzare la valutazione ricorrente, la correzione con priorità, l'automazione dei controlli e la creazione di report basati sulle prove.

Tenere traccia dei controlli di sicurezza del punteggio di sicurezza in Microsoft Defender for Cloud per quantificare le lacune e associarle alle metriche basate sul rischio ( ad esempio, esposizione di identità con privilegi elevati o archivi sensibili non crittografati). Automatizzare il rilevamento della deriva tramite criteri, linee di base di configurazione e pipeline di distribuzione. Inserire le retrospettive degli incidenti e le informazioni di intelligence sulle minacce nel backlog per allineare le modifiche della postura ai comportamenti degli avversari attivi.

Usare l'elenco di controllo per la sicurezza cloud

L'elenco di controllo per la sicurezza cloud è un supporto consolidato per la navigazione e il monitoraggio per l'esecuzione della metodologia di sicurezza. Questo elenco di controllo è importante perché riduce il rischio di omissione, accelera l'onboarding e supporta l'idoneità dei controlli. È consigliabile integrarla negli accordi di lavoro del team e nelle revisioni dei progressi come registro ufficiale delle attività.

Passaggio successivo