GTI廣州科宸(點(diǎn)擊觀看原文)

眾所周知云計(jì)算是數(shù)字化轉(zhuǎn)型必經(jīng)之路，而網(wǎng)絡(luò)安全更是云計(jì)算的核心組件。安全責(zé)任共擔(dān)是目前所有云計(jì)算網(wǎng)絡(luò)運(yùn)營(yíng)者共同策略，也遵循了行業(yè)標(biāo)準(zhǔn)及國(guó)家法律法規(guī)的要求，所以很多用戶高度重視并已經(jīng)積極采取了行動(dòng)。本次我將分享我們工程師團(tuán)隊(duì)在微軟Azure China安全方面的最佳實(shí)踐。

在我與眾多企業(yè)的信息化高管項(xiàng)目互動(dòng)的過(guò)程中，受到了很多感悟啟示。做信息安全就如疫情防控，首先要重視和繃緊弦、然后認(rèn)真地梳理評(píng)估重要業(yè)務(wù)的暴露面和風(fēng)險(xiǎn)、與此同時(shí)積極緩解/修補(bǔ)所梳理出的高風(fēng)險(xiǎn)漏洞、接下來(lái)逐步搭建自身所能適應(yīng)的安全運(yùn)維管理平臺(tái)。人人爭(zhēng)當(dāng)“專業(yè)背鍋俠”，放棄“懶政不作為”的思想，信息安全的建設(shè)就能如疫情防控一樣定能取得重大戰(zhàn)略成果。

 如上圖所示，無(wú)論用戶選擇的是IaaS、或PaaS、或SaaS服務(wù)，其中標(biāo)識(shí)和目錄基礎(chǔ)結(jié)構(gòu)、帳戶和訪問(wèn)管理都是用戶所需承擔(dān)安全責(zé)任的范疇。

標(biāo)識(shí)和目錄基礎(chǔ)結(jié)構(gòu)：

• Azure Active Directory (Azure AD) 企業(yè)標(biāo)識(shí)服務(wù)提供單一登錄和多重身份驗(yàn)證，受此服務(wù)保護(hù)的用戶可免受 99.9% 的網(wǎng)絡(luò)安全攻擊。
  

  
  

帳戶和訪問(wèn)管理：

• 針對(duì)用戶的項(xiàng)目RFP，如何運(yùn)用好Azure AD的最佳實(shí)踐（多場(chǎng)景）是安全項(xiàng)目實(shí)施成功的關(guān)鍵。

MFA和條件訪問(wèn)策略

目標(biāo)

確保在 Azure Active Directory 組設(shè)置 - “用戶可以在 Azure 門(mén)戶中創(chuàng)建安全組” 選項(xiàng)設(shè)置為 否 ，從而確保非特權(quán)用戶不能通過(guò) Azure 門(mén)戶創(chuàng)建安全組。

安全組用于管理一組用戶對(duì)于Azure共享資源中的成員和計(jì)算機(jī)進(jìn)行訪問(wèn)。當(dāng) “用戶可以在 Azure 門(mén)戶中創(chuàng)建安全組” 選項(xiàng)設(shè)置為 是，你的 Active Directory 賬戶中的所有用戶可以創(chuàng)建新的安全組，并可以向這些安全組添加成員。除非您的業(yè)務(wù)需要權(quán)限委派，否則安全組的創(chuàng)建應(yīng)僅限于AD管理員。

注意：目前還不支持通過(guò) Microsoft Graph API or Azure CLI 獲取 “用戶可以在 Azure 門(mén)戶中創(chuàng)建安全組” 的配置狀態(tài)。我們只能通過(guò)訪問(wèn) Azure Portal 進(jìn)行手動(dòng)查詢才能達(dá)成目標(biāo)。

風(fēng)險(xiǎn)等級(jí)
高（不可接受的風(fēng)險(xiǎn)）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_2_ActiveDirectory_CreateSecurityGroup/index.html#more

 

 

 

 

 

 

目標(biāo)

 

確認(rèn)只有 Active Directory(AD) 管理員組的賬戶再能夠管理 Office 365 組。確認(rèn) Azure Active Directory 設(shè)置中的 “用戶可以在 Azure 門(mén)戶中創(chuàng)建 Office 365 組” 策略設(shè)置為 否，確保非特權(quán)管理用戶不能夠通過(guò) Azure Portal 管理 Office 365 用戶組。默認(rèn)情況下，所有組的所有者都可以在Azure活動(dòng)目錄中將其他成員分配為組的所有者。

根據(jù)您的業(yè)務(wù)需求，您可以使用 Azure Active Direcroty 設(shè)置，來(lái)實(shí)現(xiàn)對(duì)用戶自助服務(wù)組管理的更細(xì)粒度訪問(wèn)控制。僅允許 Activ Directory 的管理員可以管理 Office 365 組，禁止用戶對(duì)此類型的組進(jìn)行任何更改。這可確保 Office 365 組的管理權(quán)限不會(huì)委派給未經(jīng)授權(quán)的用戶。

注意：目前還不支持 通過(guò) Microsoft Graph API or Azure CLI 獲取 “用戶可以在 Azure 門(mén)戶中創(chuàng)建 Office 365 組” 的配置狀態(tài)。我們只能通過(guò)訪問(wèn) Azure Portal 進(jìn)行手動(dòng)查詢才能達(dá)成目標(biāo)。

風(fēng)險(xiǎn)等級(jí)
高（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_3_ActiveDirectory_CreateO365Group/index.html#more

目標(biāo)

確認(rèn)對(duì)于非管理用戶禁用了 Active Directory（AD）自助服務(wù)組管理。確保非管理員用戶無(wú)法在你的 Azure Active Directory 中創(chuàng)建和管理 安全組 和 Office 365 組。一旦對(duì)非管理員用戶禁用了自助服務(wù)組管理，這些用戶就無(wú)法再更改自身的組配置，也無(wú)法通過(guò)批準(zhǔn)其他用戶加入其現(xiàn)有組的請(qǐng)求來(lái)管理其成員身份。

自助服務(wù)組管理允許用戶在 Azure Active Directory（AD）中創(chuàng)建和管理安全組或 Office 365 組。自助服務(wù)組管理還可以將所有者分組，以便將所有權(quán)分配給其他用戶。由于這些組可以授予對(duì)敏感和私有的信息或 Azure AD 關(guān)鍵配置的訪問(wèn)權(quán)限，因此應(yīng)為所有非管理員用戶禁用自助服務(wù)組管理功能。

風(fēng)險(xiǎn)等級(jí)
高（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_7_ActiveDirectory_DisableSelfServiceGroupManage/index.html#more

前言

最近一直在花時(shí)間研究 Azure 云上的安全措施。根據(jù)官方發(fā)布的（例如 Microsoft Doc 以及 CIS Microsoft Azure Foundations Benchmark v1.0.0）最佳實(shí)踐作為指導(dǎo)，考慮自己寫(xiě)一些 Audit 的腳本，對(duì)于用戶的大規(guī)模場(chǎng)景可以快速統(tǒng)計(jì)那些不合規(guī)的配置，并生成最終的分析報(bào)表。

采用的語(yǔ)言平臺(tái)及工具為：

• PowerShell 7.0.1

• Azure CLI 2.6.0
  

目標(biāo)

確保你的 Azure 帳戶中沒(méi)有自定義 Subscription 訂閱所有者的角色存在，以便遵守云安全的最佳實(shí)踐，并實(shí)現(xiàn)最小權(quán)限原則 - 這是為每個(gè)用戶提供執(zhí)行其任務(wù)所需的最小訪問(wèn)權(quán)限的最佳做法。

典型的 Azure Subscription 訂閱管理員角色提供基本的訪問(wèn)管理。如果分配給自定義訂閱所有者角色，讓其具有完全的管理權(quán)限，并且分配范圍是所有的訂閱，那它可以執(zhí)行任何操作 (例如 “*“)。作為安全的最佳實(shí)踐，強(qiáng)烈建議在剛開(kāi)始時(shí)，給予最少的必要權(quán)限。以后可根據(jù)需要，Account 帳戶持有人可以再添加權(quán)限。這將確保 Azure Account 帳戶持有者無(wú)法執(zhí)行非預(yù)期的操作。

風(fēng)險(xiǎn)等級(jí)
中（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_1_AccessControl/index.html#more

目標(biāo)

確認(rèn)在 Azure Active Directory 中不存在沒(méi)有必要的 Guest 來(lái)賓用戶。

對(duì)于 Microsoft Azure 企業(yè)對(duì)企業(yè)（B2B）協(xié)作，每個(gè)活動(dòng)目錄（AD）的 Guest 來(lái)賓用戶都需要與企業(yè)所有者或業(yè)務(wù)流程相關(guān)聯(lián)。當(dāng)不需要 B2B 協(xié)作時(shí)，請(qǐng)確保 Microsoft Azure 帳戶中沒(méi)有可用的 AD Guest 來(lái)賓用戶。

Active Directory Business-To-Business（B2B）協(xié)作用于與來(lái)自其他組織的來(lái)賓用戶和外部合作伙伴安全地共享應(yīng)用程序和服務(wù)，同時(shí)保持對(duì)自己數(shù)據(jù)的完全控制。Azure AD 被配置為處理 B2B 的協(xié)作，允許您邀請(qǐng)組織外部的人成為 Azure 云帳戶中的 Guest 來(lái)賓用戶。除非您有真正的業(yè)務(wù)需求，需要向外部用戶提供 Guest 來(lái)賓訪問(wèn)，否則請(qǐng)避免創(chuàng)建此類來(lái)賓用戶。Active Directory 來(lái)賓用戶通常在公司管理的員工入職/離職流程的情況之外添加，這最終可能導(dǎo)致潛在的安全漏洞。

風(fēng)險(xiǎn)等級(jí)
中（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_5_ActiveDirectory_ManageGuestAccount/index.html#more

目標(biāo)

確保已啟用 “All Users” 組，以便在您的 Active Directory 帳戶中進(jìn)行集中訪問(wèn)管理。確保在 Azure Active Directory（AD）的組中通過(guò)包含所有用戶的規(guī)則生成器生成動(dòng)態(tài)組，以便啟用 “All Users” 組進(jìn)行集中訪問(wèn)管理。此組表示 Active Directory 用戶（包括來(lái)賓和外部用戶）的整個(gè)集合，您可以使用這些用戶在目錄中使訪問(wèn)權(quán)限更易于管理。

“All Users”組可用于向 Azure Active Directory 帳戶中的所有用戶分配相同的權(quán)限。例如，目錄中的所有用戶都可以通過(guò)分配一組特定的權(quán)限來(lái)訪問(wèn) SaaS 應(yīng)用程序，這些權(quán)限允許應(yīng)用程序訪問(wèn) “All Users” 專用組。這確保為所有現(xiàn)有和未來(lái)用戶創(chuàng)建了一個(gè)通用策略，并且不需要實(shí)現(xiàn)單獨(dú)的訪問(wèn)權(quán)限。

風(fēng)險(xiǎn)等級(jí)
中（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_8_ActiveDirectory_EnableAllUsersGroup/index.html#more

目標(biāo)

啟用密碼重置的雙重標(biāo)識(shí)，確保用戶密碼重置所需的方法數(shù)設(shè)置為 2個(gè)。

確保在允許重置 Azure Active Directory（AD）的密碼之前提供了兩種備用的用戶標(biāo)識(shí)形式。當(dāng)至少提供了在 Azure Active Directory 設(shè)置中配置的密碼重置所需的方法數(shù)，則可以成功重置用戶密碼。

在允許在你的 Azure Active Directory 帳戶中重置密碼之前啟用雙重身份驗(yàn)證，通過(guò)確保用戶身份由兩種不同的身份驗(yàn)證形式（如電子郵件和短信）進(jìn)行確認(rèn)，增強(qiáng)了訪問(wèn)安全性。攻擊者必須攻陷重置用戶密碼所需的 2個(gè) 方法后，他才能完成惡意重置 Azure Active Directory 用戶密碼。

風(fēng)險(xiǎn)等級(jí)
中（應(yīng)該實(shí)施）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_10_ActiveDirectory_EnableDualIDForPasswordReset/index.html#more

目標(biāo)

風(fēng)險(xiǎn)等級(jí)
中（不可接受的風(fēng)險(xiǎn)）

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_11_ActiveDirectory_EnableMFAForNonPrivilegedAzureUser/index.html#more

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_12_ActiveDirectory_EnableMFAForPrivilegedAzureUser/index.html#more

閱讀更多（詳細(xì)配置）：https://www.tonywalker.tech/Microsoft/AzureSecurityBestPractics_9_ActiveDirectory_EnableAuthenticationReconfirmation/index.html#more

- 如有類似需求，歡迎與我們聯(lián)系。-

- 謝謝您的閱讀。-

Azure Security 云安全管理服務(wù)：

• Azure安全基準(zhǔn)配置評(píng)估和加固
  

• 安全架構(gòu)咨詢、設(shè)計(jì)、交付
  

• 實(shí)施多層縱深防御、零信任網(wǎng)絡(luò)模型

• 主動(dòng)合規(guī)等保三級(jí)2.0

• 管理服務(wù)/年度（遠(yuǎn)程 or 現(xiàn)場(chǎng)）

ACR 云消費(fèi)優(yōu)化管理服務(wù)：

• 自動(dòng)化審計(jì)報(bào)表，集成Power BI可視化展示
  

• 業(yè)務(wù)部門(mén)自助門(mén)戶 - 創(chuàng)建/回收資源
  

• 服務(wù)工單門(mén)戶 - 創(chuàng)建/跟蹤/變更
  

• 管理服務(wù)/年度（遠(yuǎn)程 or 現(xiàn)場(chǎng)）

我們的特色在于可以幫助用戶交付本地、私有云與公有云安全一致性的解決方案，為企業(yè)數(shù)字化轉(zhuǎn)型保駕護(hù)航、行穩(wěn)致遠(yuǎn)。

 GTI技術(shù)團(tuán)隊(duì)致力與您一起工作，幫助您解決企業(yè)組織在數(shù)字化轉(zhuǎn)型旅程中所遇到的難題。