Pozdravljeni,
ker smo bili v preteklem letu priča številnim zlorabam storitev identitet v oblaku, prejemamo veliko vprašanj o tem, kako zaščitimo podatke svojih strank. V današnji objavi v spletnem dnevniku bomo podrobneje predstavili podrobnosti, kako zaščitimo podatke strank v storitvi Azure AD.
Varnost podatkovnega središča in storitve
Začnimo z našimi podatkovnimi središči. Microsoftovo osebje za podatkovna središča mora naprej prestati temeljito preverjanje. Vsak dostop do naših podatkovnih središč je strogo nadzorovan, vsak vstop in izstop pa je nadzorovan. V teh podatkovnih središč so najpomembnejše storitve Azure AD, v katerih so hranjeni podatki strank v posebnih zaklenjenih predalih. Fizični dostop je strogo omejen in s kamerami nadzorovan 24 ur na dan. Če je eden od teh strežnikov umaknjen, so vsi diski logično in fizično uničeni, da ne pride do nenadzorovanega uhajanja podatkov.
Nato omejimo število ljudi, ki imajo dostop do storitev Azure AD. In tudi ljudje, ki imajo dostop, pri vsakdanjem vpisu in vsakdanjih opravilih delujejo brez teh dovoljenj. Ko potrebujejo dovoljenja za dostop do storitve, morajo opraviti večkratno preverjanje pristnosti s pametno kartico, s katero potrdijo svojo identiteto in pošljejo zahtevo. Ko je zahteva odobrena, dobi oseba dovoljenja »tik pred zdajci«. Ta dovoljenja so po določenem časovnem obdobju samodejno odstranjena. Če nekdo potrebuje več časa, mora ponoviti postopek zahteve in odobritve.
Ko so ta dovoljenja odobrena, je vsak dostop izveden z upravljano skrbniško delovno postajo (skladno z objavljenim vodnikom za delovno postajo s prednostnim dostopom). To zahteva pravilnik, strogo pa nadzorujemo skladnost s predpisi. Te delovne postaje uporabljajo nespremenljivo sliko, vsa programska oprema v napravi pa je v celoti upravljana. Zaradi zmanjšanja napadalne površine so dovoljene le izbrane dejavnosti, uporabnik pa ne more nehote zaobiti zasnove skrbniške delovne postaje, saj nima skrbniških dovoljenj. Delovne postaje so dodatno zaščitene tako, da mora biti za vsak dostop uporabljena pametna kartica, dostop do posamezne postaje pa imajo le izbrani uporabniki.
Vzdržujemo majhno število (manj kot pet) računov »za nujne primere«. Ti računi so rezervirani le za nujne primere, zaščiteni pa so s postopkom »za nujne primere« v več korakih. Vsaka uporaba teh računov je nadzorovana in sproži alarme.
Zaznavanje groženj
Redno izvajamo več samodejnih preverjanj (vsakih nekaj minut), s katerimi preverimo, ali vse deluje v skladu s pričakovanji, tudi takrat, ko dodajamo nove funkcije, ki jih zahtevajo stranke:
- Zaznavanje kršitev: Preverjamo vzorce, ki nakazujejo kršitev. Ta seznam preverjanj redno dopolnjujemo. Uporabljamo tudi avtomatizirane preizkuse, ki sprožijo te vzorce. To pomeni, da preverjamo tudi, ali deluje pravilno naša logika za zaznavanje kršitev!
- Preverjanje vdora: Ti preizkusi se neprestano izvajajo. Ti preizkusi skušajo na najrazličnejše načine ogroziti varnost naše storitve. Pričakujemo, da preizkusom nikoli ne bo uspelo vdreti v sistem. Če jim uspe, vemo, da je nekaj narobe in da moramo to nemudoma popraviti.
- Revizija: Vse skrbniške dejavnosti so zabeležene v dnevnik. Ob vsaki nepričakovani dejavnosti (na primer skrbnik ustvarja račune z dovoljenji) se sprožijo opozorila. Na podlagi teh nato temeljito preverimo, ali gre za kršitve.
Ali smo že omenili, da vse podatke v storitvi Azure AD šifriramo? Da, šifriramo jih. S storitvijo BitLocker šifriramo vse hranjene podatke identitete v storitvi Azure AD. Kaj pa pri prenosu? Tudi takrat! Vsi API-ji storitve Azure AD za šifriranje podatkov uporabljajo tehnologijo spleta s tehnologijo SSL prek jezika HTTPS. Vsi strežniki storitve Azure AD so konfigurirani tako, da uporabljajo TLS 1.2. Dovoljujemo dohodne priključke prek prenosne plasti TLS 1.1 in 1.0 za podporo zunanjih odjemalcev. Izrecno zavračamo vsako povezavo prek vseh podedovanih različic protokola SSL, vključno z različico SSL 3.0 in 2.0. Dostop do informacij je omejen s preverjanjem pristnosti z žetoni, do podatkov v posameznem najemniku pa imajo dostop le računi, dovoljeni v tem najemniku. Naši interni API-ji imajo poleg tega dodatno zahtevo, ki narekuje uporabo preverjanja pristnosti odjemalca/strežnika SSL z zaupanja vrednimi potrdili in verigami izdaje.
Za konec
Storitev Azure AD nudimo na dva načina. V tej objavi sta opisana varnost in šifriranje za javno storitev, ki jo nudi in upravlja Microsoft. Če imate podobna vprašanja o naših primerkih nacionalnega oblaka, ki jih upravljajo zaupanja vredni partnerji, se obrnite na ekipe za vaš račun.
(Opomba: Preprost način za preverjanje: če svoje storitve Microsoft Online Services upravljate ali dostopate do njih prek URL-jev, ki se končajo s .com, je v tej objavi opisano, kako varujemo in šifriramo vaše podatke.)
Varnost vaših podatkov je naša najvišja prioriteta in jemljemo jo ZELO resno. Upamo, da je ta pregled našega šifriranja podatkov in varnostnega protokola utrdil vaše zaupanje in da je bil uporaben.
Lep pozdrav,
Alex Simons (Twitter: @Alex_A_Simons)
Vodja oddelka za upravljanje programa
Microsoftov oddelek za upravljanje identitet
[updated 10/3/2017 to add specific version information about our use of TLS and SSL]