Skydda din Azure Cloud HSM-distribution

Azure Cloud HSM tillhandahåller en HSM-lösning (High Assurance Hardware Security Module) för att skydda kryptografiska nycklar och skydda känsliga arbetsbelastningar i molnet. Det är viktigt att implementera rekommenderade säkerhetsmetoder för att förhindra obehöriga access, upprätthålla driftintegriteten och optimera prestanda.

Den här artikeln innehåller säkerhetsrekommendationer för att skydda din Azure Cloud HSM-distribution.

Säkerhetsrekommendationerna i den här artikeln implementerar Nulová dôvera (Zero Trust) principer: "Verifiera explicit", "Använd åtkomst med minst behörighet" och "Anta intrång". Omfattande Nulová dôvera (Zero Trust) vägledning finns i Nulová dôvera (Zero Trust) Guidance Center.

Tjänstspecifik säkerhet

Azure Cloud HSM är en FIPS 140-3 Level 3-verifierad tjänst med en enda klientorganisation som ger kunderna fullständig administrativ auktoritet över sina HSM:er. Det är viktigt att skydda tillitsroten för att upprätthålla säkerheten för utplaceringen.

• Begränsa åtkomsten till partionsägarens privata nyckel: Begränsa åtkomsten till partionsägarens privata nyckel för applikationspartitionen (POTA) (PO.key). Administratören för programpartitionen (AOTA) och privata POTA-nycklar motsvarar rotåtkomst och kan återställa lösenord för kryptografiansvariga (CO) användare i en partition (AOTA för partition 0, POTA för användarpartitioner). PO.key är inte nödvändigt för åtkomst till HSM under körning. Det krävs endast för den första signeringen av autentiseringscertifikatet för partitionsägare (POAC) och återställning av CO-lösenord. Lagra PO.key offline och utför den första POAC-signeringen på en offlinedator, om möjligt. Kunder är ansvariga för att skydda sin privata POTA-nyckel – om du förlorar den blir det inte så att co-lösenord kan återställas. Lagra den privata POTA-nyckeln på ett säkert sätt och underhålla lämpliga säkerhetskopior. Se Användarhantering i Azure Cloud HSM.

Efterlevnad och certifiering

Azure Cloud HSM uppfyller flera branschefterlevnadsstandarder och certifieringar, inklusive FIPS 140-3 Level 3, eIDAS och PCI/PCI 3DS. Mer information finns i Efterlevnad och certifiering.

Nätverkssäkerhet

Genom att konfigurera nätverket korrekt kan du förhindra obehöriga access och minska exponeringen för externa hot.

• Använda privata slutpunkter: Skydda din Azure Cloud HSM-distribution med hjälp av privata undernät och privata slutpunkter för att förhindra exponering för det offentliga Internet. Den här metoden säkerställer att trafiken förblir inom Microsoft stamnätverk, vilket minskar risken för obehörig åtkomst. Se Nätverkssäkerhet för Azure Cloud HSM.

Identitets- och åtkomsthantering

Effektiva användarhanterings- och autentiseringskontroller är avgörande för att upprätthålla säkerheten och integriteten för Azure Cloud HSM. Genom att implementera lämpliga kontroller för användaridentiteter, autentiseringsuppgifter och behörigheter kan du förhindra obehöriga access och säkerställa driftkontinuitet.

• Använd starka lösenord: Skapa unika, starka lösenord för HSM-användare. Använd minst 12 tecken, inklusive en blandning av versaler och gemener, siffror och specialtecken. Se Användarhantering i Azure Cloud HSM.

• Sekure dina HSM-användarautentiseringsuppgifter: Skydda dina HSM-användarautentiseringsuppgifter noggrant eftersom Microsoft inte kan återställa dem om de går förlorade. Se Användarhantering i Azure Cloud HSM.

• Implementera sekundära administratörer för att förhindra utelåsning: Utse minst två administratörer för att förhindra HSM-utelåsning om ett lösenord går förlorat. Se Användarhantering i Azure Cloud HSM.

• Upprätta flera kryptografianvändare (CUS) med begränsad behörighet: Skapa flera CU:er med olika ansvarsområden för att förhindra att en enskild användare har fullständig kontroll. Se Användarhantering i Azure Cloud HSM.

• Begränsa möjligheten för processorer att exportera nycklar: Begränsa processorer från att exportera nyckelmaterial genom att ange lämpliga användarattribut. Se Användarhantering i Azure Cloud HSM.

• Begränsa CO-kontrollen över CUs: Använd disableUserAccess kommandot för att förhindra att CO-användare hanterar specifika CU:er. CO-användare kan kringgå det här kommandot med äldre säkerhetskopior. Se Användarhantering i Azure Cloud HSM.

• Konfigurera hanterade identiteter: Upprätta användartilldelade hanterade identiteter för säkerhetskopierings- och återställningsåtgärder och för virtuella datorer som utför administrativa åtgärder. Se Användarhantering i Azure Cloud HSM.

• Lagra HSM-autentiseringsuppgifter på ett säkert sätt: Skydda lagrade autentiseringsuppgifter och undvik att exponera dem när de inte används. Konfigurera din miljö för att hämta och ange autentiseringsuppgifter automatiskt. Se Authentication i Azure Cloud HSM.

• Använd implicit inloggning för JCE-autentisering: Använd implicit inloggning för Java JCE-autentisering (Cryptography Extension) om du vill tillåta automatisk hantering och autentisering av autentiseringsuppgifter. Se Authentication i Azure Cloud HSM.

• Undvik att dela sessioner mellan trådar: För program med flera trådar tilldelar du varje tråd sin egen session för att förhindra konflikter och säkerhetsproblem. Se Authentication i Azure Cloud HSM.

• Implementera återförsök på klientsidan: Lägg till logik för återförsök för HSM-åtgärder för att hantera potentiella underhållshändelser eller HSM-ersättningar. Se autentisering i Azure Cloud HSM.

• Hantera HSM-klientsessioner noggrant: Tänk på att azurecloudhsm_client dela sessioner mellan program på samma värd. Korrekt sessionshantering undviker konflikter. Se Autentisering i Azure Cloud HSM.

Dataskydd

Korrekt hantering av nyckellagergränser, nyckelomslagsäkerhet, nyckelattribut och cachestrategier kan förbättra skydd och prestanda.

• Implement key rotation: Rotera regelbundet nycklar för att ersätta äldre nycklar och frigöra lagringsutrymme samtidigt som säkerheten bibehålls. Se Nyckelhantering i Azure Cloud HSM.

• Använd en nyckelhierarki: Lagra färre nycklar i HSM med hjälp av huvudnycklar för att kryptera andra nycklar. Läs om Hantera nycklar i Azure Cloud HSM.

• Dela och återanvända nycklar när det är möjligt: Minska storage krav genom att dela eller återanvända nycklar över flera sessioner när det är lämpligt. Se Nyckelhantering i Azure Cloud HSM.

• Ta bort oanvända nycklar på ett säkert sätt: Ta bort nycklar som du inte längre behöver för att förhindra onödig lagringsförbrukning. Se Nyckelhantering i Azure Cloud HSM.

• Ange nycklar som nonextractable när det är möjligt: Använd EXTRACTABLE=0 för att säkerställa att nycklar inte kan exporteras utanför HSM. Se även Nyckelhantering i Azure Cloud HSM.

• Aktivera betrodd nyckelomslutning: Använd WRAP_WITH_TRUSTED=1 för att begränsa nyckelomslutning till betrodda nycklar. Den här åtgärden förhindrar export av obehöriga nycklar. Se även Nyckelhantering i Azure Cloud HSM.

• Använd nyckelattribut för att begränsa behörigheter: Tilldela endast nödvändiga attribut när du genererar nycklar för att begränsa oavsiktliga åtgärder. Se Nyckelhantering i Azure Cloud HSM.

• Cache-nyckelobjekt för bättre prestanda: Använd nyckelsökningskommandon endast en gång vid programstart och lagra det returnerade nyckelobjektet i programminnet för att minska latensen. Se även Nyckelhantering i Azure Cloud HSM.

Loggning och övervakning

• Konfigurera loggning av åtgärdshändelser: Loggning av åtgärdshändelser är avgörande för HSM-säkerhet. Det ger en oföränderlig logg för åtkomst och operationer för ansvar, spårbarhet och regelefterlevnad. Den hjälper till att identifiera obehöriga access, undersöka incidenter och identifiera avvikelser för att säkerställa integriteten och konfidentialiteten för kryptografiska åtgärder. För att upprätthålla säkerhet och sekretess exkluderar loggar känsliga data (till exempel nyckel-ID: er, nyckelnamn och användarinformation). De samlar in HSM-åtgärder, tidsstämplar och metadata, men de kan inte fastställa lyckade eller misslyckade åtgärder eftersom HSM-åtgärden inträffar i den inre TLS-kanalen. Se Tutorial: Loggning av åtgärdshändelser i Azure Cloud HSM.

• Streama loggar till Event Hub för realtidsbearbetning: För att bearbeta loggar i realtid och integrera med nedströms SIEM-system eller anpassade analyspipelines, konfigurera Event Hub som en ytterligare destination i dina diagnostikinställningar. Se Tutorial: Configure Event Hub for Azure Cloud HSM.

Säkerhetskopiering och återställning

Azure Cloud HSM ger hög tillgänglighet via klustrade HSM:er som synkroniserar nycklar och principer samtidigt som arbetsbelastningar migreras automatiskt vid fel.

• Implementera robust säkerhetskopiering och haveriberedskap: Tjänsten stöder omfattande säkerhetskopierings- och återställningsåtgärder som bevarar alla nycklar, attribut och rolltilldelningar. Säkerhetskopior skyddas av HSM-härledda nycklar som Microsoft inte kan komma åt. Azure Cloud HSM stöder inte återställning till redan aktiverade HSM:er. För affärskontinuitet använder du hanterade identiteter för autentisering, lagrar säkerhetskopior i privata Azure Blob Storage, implementerar minimala behörigheter för rollbaserad åtkomstkontroll (RBAC) och inaktiverar åtkomst till delad nyckel. Ytterligare återställningsalternativ är att använda extractMaskedObject för att extrahera nycklar som krypterade blobar, lagra dem på ett säkert sätt och importera dem efter insertMaskedObject behov. Distribuera i två regioner för redundans. Se Säkerhetskopiera och återställ Azure Cloud HSM-resurser.

• Verifiera användar- och nyckelsynkronisering över alla noder: Azure Cloud HSM fungerar som ett kluster med tre noder. Under tjänsthändelser som självåterställning eller uppgraderingar kanske användare eller nycklar inte replikeras till alla noder. Om det uppstår tillfälliga autentiserings- eller åtgärdsfel kontrollerar du att alla användare och nycklar finns på varje nod. Se Synkronisera användare och nycklar över Azure Cloud HSM-noder.

Nästa steg

• Säkerhetstips för IaaS-arbetsbelastningar i Azure
• Möjliggör just-in-time-åtkomst till virtuella maskiner
• Adopt en Nulová dôvera (Zero Trust) metod
• Nulová dôvera (Zero Trust) vägledningscenter

Fysisk säkerhet

Azure Cloud HSM finns i säkra datacenter med mekanismer för manipuleringsidentifiering. Mer information finns i Fysisk säkerhet.

Tjänståtgärder

Azure Cloud HSM har inte schemalagda underhållsfönster, men Microsoft meddelar kunderna före eventuell förväntad påverkan. Mer information finns i Tjänståtgärder.