Uw Azure Cloud HSM-implementatie beveiligen

Azure Cloud HSM biedt een HSM-oplossing (High Assurance Hardware Security Module) voor het beveiligen van cryptografische sleutels en het beveiligen van gevoelige workloads in de cloud. Het implementeren van aanbevolen beveiligingsprocedures is essentieel om onbevoegde access te voorkomen, operationele integriteit te behouden en de prestaties te optimaliseren.

Dit artikel bevat aanbevelingen voor beveiliging om uw Azure Cloud HSM-implementatie te beschermen.

In de aanbevelingen voor beveiliging in dit artikel worden Zero Trust principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide Zero Trust richtlijnen.

Servicespecifieke beveiliging

Azure Cloud HSM is een met één tenant gevalideerde FIPS 140-3 Level 3-service waarmee klanten volledige administratieve autoriteit over hun HSM's krijgen. Het beschermen van de root-of-trust (vertrouwensanker) is cruciaal om de beveiliging van uw implementatie te handhaven.

  • Beperk de toegang tot de private sleutel van de partitie-eigenaar: Beperk de toegang tot de private sleutelPO.key van de Applicatiepartitie (POTA). De beheerder van de toepassingspartitie (AOTA) en POTA-private sleutels zijn gelijk aan roottoegang en kunnen wachtwoorden opnieuw instellen voor gebruikers als cryptografieofficier (CO) in een partitie (AOTA voor partitie 0, POTA voor gebruikers in partities). PO.key is onbelangrijk voor toegang tot HSM tijdens uitvoering. Dit is alleen vereist voor de eerste ondertekening van poAC (Partition Owner Authentication Certificate) en CO-wachtwoordherstel. Sla PO.key offline op en voer indien mogelijk de eerste POAC-ondertekening uit op een offlinecomputer. Klanten zijn verantwoordelijk voor het beveiligen van hun PERSOONLIJKE POTA-sleutel. Als u deze kwijtraakt, kunnen CO-wachtwoorden niet meer worden hersteld. Sla de persoonlijke POTA-sleutel veilig op en onderhoud geschikte back-ups. Zie Gebruiker-beheer in Azure Cloud HSM.

Naleving en certificering

Azure Cloud HSM voldoet aan meerdere industrienalevingsstandaarden en -certificeringen, waaronder FIPS 140-3 Level 3, eIDAS en PCI/PCI 3DS. Zie Naleving en certificering voor meer informatie.

Netwerkbeveiliging

Het correct configureren van uw netwerk kan helpen onbevoegde access te voorkomen en blootstelling aan externe bedreigingen te verminderen.

  • Gebruik privé-eindpunten: Beveilig uw Azure Cloud HSM-implementatie met behulp van privésubnetten en privé-eindpunten om blootstelling aan het openbare internet te voorkomen. Deze aanpak zorgt ervoor dat verkeer binnen het Microsoft backbone-netwerk blijft, waardoor het risico op onbevoegde toegang wordt beperkt. Zie Network-beveiliging voor Azure Cloud HSM.

Identiteits- en toegangsbeheer

Effectieve besturingselementen voor gebruikersbeheer en verificatie zijn van cruciaal belang voor het onderhouden van de beveiliging en integriteit van Azure Cloud HSM. Het implementeren van de juiste besturingselementen voor gebruikersidentiteiten, referenties en machtigingen kan helpen onbevoegde access te voorkomen en operationele continuïteit te garanderen.

  • Gebruik sterke wachtwoorden: maak unieke, sterke wachtwoorden voor HSM-gebruikers. Gebruik ten minste 12 tekens, inclusief een combinatie van hoofdletters en kleine letters, cijfers en speciale tekens. Zie Gebruiker-beheer in Azure Cloud HSM.

  • Beveilig uw HSM-gebruikersreferenties: beveilig uw HSM-gebruikersreferenties zorgvuldig, omdat Microsoft ze niet kunt herstellen als ze verloren gaan. Zie Gebruiker-beheer in Azure Cloud HSM.

  • Secundaire beheerders implementeren voor vergrendelingspreventie: Wijs ten minste twee beheerders aan om HSM-vergrendeling te voorkomen als er één wachtwoord verloren gaat. Zie Gebruiker-beheer in Azure Cloud HSM.

  • Stel meerdere cryptografiegebruikers (CA's) met beperkte machtigingen in: maak meerdere CA's met verschillende verantwoordelijkheden om te voorkomen dat één gebruiker volledig beheer heeft. Zie Gebruiker-beheer in Azure Cloud HSM.

  • Beperk de mogelijkheid van CA's om sleutels te exporteren: beperk het exporteren van sleutelmateriaal door de juiste gebruikerskenmerken in te stellen. Zie Gebruiker-beheer in Azure Cloud HSM.

  • CO-controle over CU's beperken: gebruik de disableUserAccess-opdracht om te voorkomen dat CO-gebruikers specifieke CU's beheren. CO-gebruikers kunnen deze opdracht overslaan met oudere back-ups. Zie Gebruiker-beheer in Azure Cloud HSM.

  • Beheerde identiteiten configureren: door de gebruiker toegewezen beheerde identiteiten instellen voor back-up- en herstelbewerkingen en voor VM's die beheeracties uitvoeren. Zie Gebruiker-beheer in Azure Cloud HSM.

  • HSM-referenties veilig opslaan: bescherm opgeslagen referenties en voorkom dat ze worden weergegeven wanneer ze niet in gebruik zijn. Configureer uw omgeving om referenties automatisch op te halen en in te stellen. Zie Authentication in Azure Cloud HSM.

  • Gebruik impliciete aanmelding voor JCE-verificatie: gebruik waar mogelijk impliciete aanmelding voor Java JCE-verificatie (Cryptografieextensie) om automatische referentiebeheer en verificatie mogelijk te maken. Zie Authentication in Azure Cloud HSM.

  • Vermijd het delen van sessies tussen threads: wijs voor toepassingen met meerdere threads een eigen sessie toe om conflicten en beveiligingsproblemen te voorkomen. Zie Authentication in Azure Cloud HSM.

  • Nieuwe pogingen aan de clientzijde implementeren: Voeg logica voor nieuwe pogingen toe voor HSM-bewerkingen om potentiële onderhoudsgebeurtenissen of HSM-vervangingen af te handelen. Zie Authentication in Azure Cloud HSM.

  • Beheer HSM-clientsessies zorgvuldig: houd er rekening mee dat azurecloudhsm_client sessies worden gedeeld tussen toepassingen op dezelfde host. Het juiste sessiebeheer voorkomt conflicten. Zie Authentication in Azure Cloud HSM.

Gegevensbescherming

De juiste verwerking van sleutelopslaglimieten, sleutelomwikkelingsbeveiliging, sleutelkenmerken en cachestrategieën kan de beveiliging en prestaties verbeteren.

  • Implement van sleutelrotatie: draai regelmatig sleutels om oudere sleutels te vervangen en maak storage vrij terwijl de beveiliging behouden blijft. Zie Sleutelbeheer in Azure Cloud HSM.

  • Gebruik een sleutelhiërarchie: Sla minder sleutels op in de HSM met behulp van hoofdsleutels om andere sleutels te versleutelen. Zie Sleutelbeheer in Azure Cloud HSM.

  • Sleutels delen en hergebruiken indien mogelijk: verminder storage vereisten door sleutels te delen of opnieuw te gebruiken voor meerdere sessies, indien van toepassing. Zie Sleutelbeheer in Azure Cloud HSM.

  • Ongebruikte sleutels veilig verwijderen: verwijder sleutels die u niet meer nodig hebt, om onnodig opslagverbruik te voorkomen. Zie Sleutelbeheer in Azure Cloud HSM.

  • Stel sleutels zo mogelijk in als niet-uitextracteerbaar: gebruik EXTRACTABLE=0 deze functie om ervoor te zorgen dat sleutels niet buiten de HSM kunnen worden geëxporteerd. Zie Sleutelbeheer in Azure Cloud HSM.

  • Vertrouwde sleutelterugloop inschakelen: gebruik WRAP_WITH_TRUSTED=1 deze optie om sleutelterugloop te beperken tot vertrouwde sleutels. Met deze actie voorkomt u dat niet-geautoriseerde sleutelexports worden uitgevoerd. Zie Sleutelbeheer in Azure Cloud HSM.

  • Gebruik sleutelkenmerken om machtigingen te beperken: wijs alleen benodigde kenmerken toe wanneer u sleutels genereert, om onbedoelde bewerkingen te beperken. Zie Sleutelbeheer in Azure Cloud HSM.

  • Cachesleutelobjecten voor prestaties: gebruik sleutelzoekopdrachten slechts eenmaal tijdens het opstarten van de toepassing en sla het geretourneerde sleutelobject op in het toepassingsgeheugen om de latentie te verminderen. Zie Sleutelbeheer in Azure Cloud HSM.

Logboekregistratie en bewaking

  • Logboekregistratie van bewerkingsevenementen configureren: logboekregistratie van bewerkingsevenementen is essentieel voor HSM-beveiliging. Het biedt een onveranderbaar verslag van toegang en bewerkingen voor verantwoordelijkheid, traceerbaarheid en naleving van regelgeving. Het helpt bij het detecteren van niet-geautoriseerde access, het onderzoeken van incidenten en het identificeren van afwijkingen, om de integriteit en vertrouwelijkheid van cryptografische bewerkingen te waarborgen. Om beveiliging en privacy te behouden, sluiten logboeken gevoelige gegevens uit (zoals sleutel-id's, sleutelnamen en gebruikersgegevens). Ze leggen HSM-bewerkingen, tijdstempels en metagegevens vast, maar ze kunnen geen succes of mislukking bepalen omdat de HSM-bewerking plaatsvindt in het binnenste TLS-kanaal. Zie Tutorial: Logboekregistratie van bewerkingslogboeken in Azure Cloud HSM.

  • Stream logboeken naar Event Hub voor realtime verwerking: Voor realtime logboekverwerking en -integratie met downstream SIEM-systemen of aangepaste analysepijplijnen configureert u Event Hub als een extra bestemming voor uw diagnostische instellingen. Zie Tutorial: Event Hub configureren voor Azure Cloud HSM.

Back-up en herstel

Azure Cloud HSM biedt hoge beschikbaarheid via geclusterde HSM's waarmee sleutels en beleid worden gesynchroniseerd terwijl workloads automatisch worden gemigreerd tijdens storingen.

  • Robuuste back-up en herstel na noodgevallen implementeren: de service ondersteunt uitgebreide back-up- en herstelbewerkingen die alle sleutels, kenmerken en roltoewijzingen behouden. Back-ups worden beveiligd door HSM-afgeleide sleutels waar Microsoft geen toegang toe heeft. Azure Cloud HSM biedt geen ondersteuning voor het herstellen naar al geactiveerde HSM's. Voor bedrijfscontinuïteit gebruikt u beheerde identiteiten voor verificatie, slaat u back-ups op in privé-Azure Blob Storage, implementeert u minimale RBAC-machtigingen (op rollen gebaseerd toegangsbeheer) en schakelt u toegang tot gedeelde sleutels uit. Aanvullende herstelopties zijn onder andere het gebruiken extractMaskedObject om sleutels als versleutelde blobs te extraheren, ze veilig op te slaan en ze waar nodig te insertMaskedObject importeren. Implementeer in twee regio's voor failovermogelijkheden. Zie Back-up en herstel van Azure Cloud HSM-resources.

  • Controleer gebruiker- en sleutelsynchronisatie over alle knooppunten: Azure Cloud HSM werkt als een cluster van drie knooppunten. Tijdens servicegebeurtenissen zoals zelfherstel of upgrades worden gebruikers of sleutels mogelijk niet gerepliceerd naar alle knooppunten. Als u onregelmatige verificatie- of bewerkingsfouten ondervindt, controleert u of alle gebruikers en sleutels op elk knooppunt aanwezig zijn. Zie Synchroniseer gebruikers en sleutels op Azure Cloud HSM-knooppunten.

Volgende stappen 

Fysieke beveiliging

Azure Cloud HSM wordt gehost in beveiligde datacenters met manipulatiedetectiemechanismen. Zie Fysieke beveiliging voor meer informatie.

Serviceactiviteiten

Azure Cloud HSM geen geplande onderhoudsvensters heeft, maar Microsoft klanten op de hoogte gesteld van eventuele verwachte impact. Zie Servicebewerkingen voor meer informatie.

  • Last updated on