Azure 安全性框架：關鍵原則與最佳實務

Microsoft Azure 生態系統透過其 Azure 安全性框架，協助企業安全地儲存資料與雲端型資源。Azure 安全性框架為組織提供詳細指引，並教導其最佳實務，以便在越來越多企業將營運轉移至雲端、因而變得脆弱且迫切需要安全防護之際，能夠充分運用此框架。

Azure 安全性 框架是一項重要功能，特別是對於希望在遵循最佳實務的同時，為其安全需求採用可擴充解決方案的企業而言。此框架與現代 Zero Trust Principles 一致，並透過其雲端型解決方案，淘汰舊有的網路邊界概念。

在本文中，我們將討論 Azure 安全性框架如何實作 Zero Trust 的原則、此框架的縱深防禦策略如何運作，以及企業如何使用 Azure 以符合合規要求的方式營運。

了解 Azure 安全性框架

為了保護 Microsoft Azure 環境中的雲端資源，Azure 安全性框架因此而設計。它可協助企業在保護其資料、應用程式與基礎架構的同時，滿足其合規要求。因此，此框架可在所有 Azure Services 中提供一致且全面的安全性框架。

Azure 安全性框架代表一套安全實務，有助於保護並提升 Azure 工作負載的品質。它涵蓋多種技能，提供一種在 Microsoft Azure 中保護雲端資源的方法。

此框架不僅著重於資料與雲端資源的保護，也有助於實作 雲端安全最佳實務，企業之後即可藉此建立並維持對抗網路威脅的強大防線。它遵循縱深防禦策略，建立多層防護，以防範任何類型的弱點或攻擊向量。

此框架提供一套既定方法，以確保變更在 Azure 環境中保持一致，從而降低遺漏潛在弱點的風險。此方法也具備可擴充性，確保安全實務能隨著組織雲端基礎架構的成長而擴展。除此之外，此框架與法規標準的一致性，也讓組織更容易進行合規活動。它可藉由避免重複作業來提升效率並節省時間。

Azure 框架的五大支柱是什麼？

以下是 Azure 安全性框架的五大支柱，也是此雲端安全方法的基礎構成要素：

1. 身分識別與存取管理

它遵循一項簡單規則：只有經授權的使用者與服務才能存取資源。它使用 Azure Active Directory（現稱為 Microsoft Entra ID）來提供驗證與授權。此支柱涵蓋身分驗證、多重要素驗證，以及最低權限原則，以降低攻擊面。

2. 網路安全

此支柱著重於保護您的網路資源，並影響 Azure 環境內部的流量流向。此支柱包含 Network Security Groups、Azure firewalls 與 DDoS protection 等功能。當網路經過分段並套用安全的網路連線時，便可降低組織內未經授權存取與資料外洩的潛在風險。

3. 資料保護

此層著重於保護組織的資料。它有助於在兩種狀態下加密資料：靜態與傳輸中狀態。它也透過既有的防護原則以及 Azure Key Vault 的祕密金鑰管理，協助防止資料遺失。它可確保即使安全措施遭到破壞，機密資料也不會外洩。

4. 應用程式安全

此支柱完全聚焦於部署在 Azure 上的應用程式。這包括安全開發實務、定期弱點評估，以及使用 Azure 上應用程式的內建安全功能。它強調在應用程式整個生命週期中保護應用程式的必要性，包括開發、部署與維護。

5. 安全管理與監控

此層著重於 Azure 資源安全狀態的可視性，並提供對事件的有效回應。它使用 Azure Security Center（現稱為 ​​Microsoft Defender for Cloud ）與 Azure Sentinel，以提供持續性的安全驗證、威脅偵測能力，以及事件回應能力。因此，組織可以維持主動式安全態勢，並快速識別及解決潛在威脅，避免發生任何重大安全事件。

您如何知道您的 Azure 框架是否已最佳化？

若要判斷特定 Azure 安全性框架是否已最佳化，必須進行詳細評估，涵蓋雲端環境與安全實務的各個面向。

首先，您的框架必須以 Microsoft 在 Azure Security Benchmark 中提供的建議為基礎；這是 Azure 服務的安全基準，也是當特定產業需求明確後可滿足該等需求的一套實用建議。若要準確衡量您的安全框架最佳化的程度，您必須能夠有效管理身分識別與存取，因此必須部署 Azure Active Directory，並在所有員工之間正確實作 Multi-Factor Authentication。

也必須評估此框架的網路安全功能，包括使用 Network Security Groups、Azure Firewall，以及有效的網路分段所提供的適當防護。

在資料安全方面，您需要確保資料在靜態與傳輸中皆已加密。

也應評估應用程式安全，其中有效保護應用程式是您開發週期中的重要一環，還包括定期安全評估，以及為 Web 應用程式實作 Web Application Firewall。

監控安全事件也應能提供對您的安全性框架最佳化程度的洞察，其中包括使用 Azure Sentinel 進行威脅偵測、進階威脅分析、全面記錄，以及經過充分演練的事件回應計畫。

最後一項必須評估的因素，是安全措施的最佳化及其成本管理，但同時，最終評估也必須交由組織自行決定，並納入訓練與認知。

Azure 安全性框架的核心原則

Azure 安全性框架建立於兩項原則之上：Zero Trust Architecture 與縱深防禦策略。這些原則有助於為 Azure 環境建立強大且細緻的安全態勢。

• The Zero Trust model 的運作原則是「永不信任，一律驗證」。因此，任何人若要存取資源，都必須先通過驗證並具備該資源的存取權限。這與實體所在位置無關，無論其位於組織網路內部或外部皆然。在 Azure 中，Zero Trust model 或其原則是透過明確驗證、最低權限存取，以及假設遭入侵來實作。
• 而 Defense-in-Depth 則主張建立多層安全防護。這些層面包括 Azure 中的實體安全、身分識別與存取管理、周邊防禦、網路安全、運算保護、應用程式安全，以及資料控制。Azure Firewall、Network Security Groups、Azure DDoS Protection、Azure Security Center 與 Azure Sentinel，都是 Azure 為遵循此方法所提供的一些工具。

Azure 中的身分識別與存取管理

身分識別與存取管理對 Microsoft Azure 安全性框架至關重要。Azure 提供多種工具與服務，可控制雲端與內部部署環境中的身分識別與存取。這些包括：

Azure Active Directory (AAD)

Azure Active Directory 是 Microsoft 開發的雲端型身分識別與存取管理服務。它是 Azure 中大多數 Infrastructure as a Service 產品之 IAM 的核心。此解決方案可保護敏感資訊並維持合規性，讓使用者可從任何地方無縫存取偏好的應用程式，並透過針對所有內部部署、SaaS 與其他應用程式使用單一身分識別與存取管理解決方案來提升可管理性。

多重要素驗證 (MFA) 與條件式存取原則

Azure 藉由 多重要素驗證 (MFA) 提供額外一層保護。此功能要求使用者在取得任何資源的存取權之前，先通過另一層驗證。條件式存取原則可實作存取控制，基本上可協助設定在授予存取權之前必須滿足的特定條件。

Privileged identity management (PIM)

Privileged Identity Management 是 Azure 中的一項功能，可讓您管理、控制及監控對 Azure Active Directory 中重要資源的存取。透過 PIM，與系統管理權限相關的風險較難被利用。PIM 可協助確保僅在需要時且於短時間內授予特權存取，以維持最低權限原則。

Azure AD B2B 與 B2C

Azure AD B2B (Business-to-Business)  與 B2C (Business-to-Consumer) 是 Azure AD 在外部使用者管理領域中的延伸功能。

Azure AD B2B 允許使用者透過 Azure AD 應用程式邀請其他公司的來賓使用者。外部使用者可使用自己的認證登入，這可能會降低為外部使用者維護整個端點的管理工作量。

Azure AD B2C 是一種客戶身分識別與存取管理解決方案。它是一種客戶身分識別與存取管理 (CIAM) 解決方案，可讓您控制並自訂使用者在使用其應用程式時如何註冊、登入及管理其設定檔。

在 Azure 中實作網路、應用程式與資料安全性

Azure 提供廣泛的工具與服務來實作網路、應用程式與資料安全性。這些技術的組合可建立多層式安全方法，保護系統免受各種類型的威脅與問題影響。

虛擬網路 (VNet) 與網路安全性群組 (NSG)

它是使用者可在雲端建立的私有網路基礎，並可讓資源彼此連線、連接至網際網路，以及連接至內部部署網路。Virtual Networks (VNets) 提供隔離、分段、IP 位址空間與子網路劃分功能，並允許設定 DNS。新增至 VNet 的每個資源執行個體，只會與該網路中的其他執行個體互動。輸入與輸出流量篩選由 Azure Network Security Group 執行，這是一層保護機制。Network Security Groups (NSG) 本質上是內建防火牆，具有安全性規則，可根據來源與目的地 IP 位址、連接埠及通訊協定來允許或拒絕流量。

Azure Firewall 與 DDoS Protection

Azure Firewall 是一項受管理、以雲端為基礎的網路安全服務，可保護 Azure Virtual Network 資源。它是防火牆即服務，並具備內建高可用性與不受限制的雲端擴充能力。此防火牆可集中建立、強制執行及記錄跨訂用帳戶與虛擬網路的應用程式與網路連線原則。透過 Azure DDoS Protection，在 Azure 上執行的應用程式可受到保護，免於 Distributed Denial of Service 攻擊。DDoS Protection 提供持續啟用的流量監控，以及對常見網路層級攻擊的即時管理。

Azure Storage Service Encryption (SSE) 與 Disk Encryption

Azure Storage Service Encryption (SSE) 會自動加密 Azure Storage 中的靜態資料。這可確保資料安全，並協助組織履行其安全性與合規承諾。它使用 256 位元 AES 加密來加密儲存的資料，這是目前可用最強大的區塊密碼之一。透過磁碟加密，您可以加密 Windows 和 Linux IaaS 虛擬機器磁碟。此加密功能適用於作業系統磁碟和資料磁碟，且 Windows 使用 BitLocker，Linux 使用 Dm-Crypt 功能。

Azure Key Vault 用於祕密與金鑰管理

Azure Key Vault 是一項用於保護與儲存祕密的雲端服務。這些祕密可能是加密金鑰、憑證與密碼。Key Vault 可協助您維持對用於存取及加密資料之金鑰的控制。它提供監控工具，可協助確保只有經授權的使用者與應用程式能夠存取您的金鑰與祕密。

傳輸中與靜態資料加密

Azure 可協助我們使用資料加密技術來保護資料。若資料處於傳輸階段，Azure 會在使用者裝置與資料中心之間，甚至在資料中心內部，套用一套標準規則。若資料為靜態資料，則可使用加密技術加以保護。

實作 Azure Framework 的最佳實務

以下列出實作 Azure framework 時應遵循的一些最佳實務：

#1. 實作最低權限原則

The 最低權限原則代表提供完成特定任務所需的最低存取或權限層級的概念。在 Azure 中，此原則是透過使用角色型存取控制來實施。每個角色都代表一組特定的權限。接著會將這些權限指派給使用者、群組和應用程式，且其無法超出這些權限。使用 Azure AD Privileged Identity Management，其可授予即時的特權存取，以降低攻擊者取得高層級權限的風險。

#2. 啟用並設定 Just-In-Time (JIT) 存取

JIT VM Access 是 Microsoft Defender for Cloud 中的一項獨特功能，可鎖定受監控 VM 的輸入流量。當需要存取時，它會在指定時間內對那些已識別的來源開放流量。當使用者要求存取虛擬機器時，Microsoft Defender for Cloud 將能夠查詢該使用者是否具有 RBAC 權限。若取得權限，Microsoft Defender for Cloud 會在指定時間內開啟由 JIT 解決方案控制的連接埠，並在時間到期後再次將其鎖定。

#3. 實作網路與微分段

網路分段是指將單一網路切分為多個較小網路，並將安全性套用至這些微分段的過程。請考慮在 Azure 中使用虛擬網路 (VNet) 與子網路來促進網路結構。請在各子網路中使用網路安全性群組 (NSG) 來實作這些功能。

#4. 自動化安全性原則與合規性檢查

應維持高度自動化，以確保 Azure 具備一致的安全性水準。Azure Policy 能夠在特定組態中強制執行您的標準，並評估整個環境中的合規程度。它可自動修正架構中的缺失，並將其與 Azure Security Center 的安全性建議結合。

#5. 定期進行安全性評估與滲透測試

必須定期評估其 Azure 環境的防護狀況並進行滲透測試。Azure Security Center 可用於持續評估您的 Azure 資源。若要進行更全面的測試，建議善用 Azure 內建的弱點評估功能，或連接第三方滲透測試工具。

SentinelOne for Azure Security and Monitoring

SentinelOne’s Singularity Endpoint 是一個強大的端點偵測與回應 (EDR) 平台，可與 Azure 整合以提供額外的安全性與監控價值。

1. AI 驅動的防護： SentinelOne 對人工智慧與機器學習的運用，使平台能夠提供即時威脅偵測、完全自主的回應，以及 Azure 環境中的完整可視性。因此，與 SentinelOne 的整合可讓組織提升自動化安全性的層級，並妥善監控其 Azure 工作負載。
2. 統一端點防護： SentinelOne 與 Azure 的整合可讓我們在 Azure VM 與雲端工作負載之間獲得統一的 端點防護。特別是，該平台可使用自主式威脅偵測來掃描並保護 Azure 基礎架構中的所有資源。
3. 增強的記錄與監控： SentinleOne 的深度可視性功能包括能夠追蹤系統活動，例如程序、檔案系統變更、網路連線，以及在伺服器上執行的各類程序與應用程式的其他活動。這類型監控的可能性，對於威脅偵測與在發生安全事件時進行鑑識分析而言非常重要。
4. 自動化回應：  在發生威脅時，SentinleOne’s platform 將會阻止威脅所有可能的擴散、對惡意軟體造成的變更執行自動化回復，並在必要時將系統還原至先前狀態。

結論

Azure Security Framework 是一種廣泛且完善的安全方法，可提供多層防禦，同時領先於現代網路安全威脅的發展。如部落格中所述，我們可以看到 Azure Security Framework 不僅是一套安全工具，更是一個以零信任架構和 縱深防禦 原則為基礎的完整方案。此框架可保護任何企業的雲端營運，並在資訊儲存與於雲端執行數位作業方面，為其提供最高程度的靈活性與能力。

安全性框架最明顯的優勢之一，是它能降低複雜性，同時不以犧牲安全性為代價。Azure Security Framework 的設計方式使其具備可擴充性，並能在雲端基礎架構發展的任何階段發揮互補作用。重要的是，這正是該框架特別設計的方式，因為在現代環境中，與雲端相關的網路安全威脅往往會削弱雲端轉型的效益。因此，採用此模型可視為企業保持領先，並在雲端中安全地遷移與營運的理想方式。