Entwurfsüberprüfungsprüfliste für Sicherheit
Diese Checkliste enthält eine Reihe von Sicherheitsempfehlungen, mit denen Sie sicherstellen können, dass Ihre Workload sicher ist und mit dem Zero Trust-Modell abgestimmt ist. Wenn Sie die folgenden Kontrollkästchen nicht aktiviert und die Kompromisse berücksichtigt haben, ist Ihr Entwurf möglicherweise gefährdet. Berücksichtigen Sie sorgfältig alle Punkte, die in der Checkliste behandelt werden, um Vertrauen in die Sicherheit Ihrer Workload zu gewinnen.
Checkliste
| Code | Empfehlung | |
|---|---|---|
| ☐ | SE:01 | Erstellen Sie eine Sicherheitsbaseline , die an Complianceanforderungen, Branchenstandards und Plattformempfehlungen ausgerichtet ist. Messen Sie regelmäßig Ihre Workloadarchitektur und -vorgänge anhand der Baseline, um Ihren Sicherheitsstatus im Laufe der Zeit aufrechtzuerhalten oder zu verbessern. |
| ☐ |
SE:02 SE:02 |
Sorgen Sie für einen sicheren Entwicklungslebenszyklus , indem Sie eine gehärtete, größtenteils automatisierte und überprüfbare Softwarelieferkette verwenden. Integrieren Sie einen sicheren Entwurf, indem Sie die Bedrohungsmodellierung verwenden, um sich vor Implementierungen zu schützen, die die Sicherheit gefährden. |
| ☐ | SE:03 | Klassifizieren und anwenden Sie Vertraulichkeits- und Informationstypbezeichnungen auf alle Workloaddaten und Systeme, die an der Datenverarbeitung beteiligt sind. Verwenden Sie die Klassifizierung, um den Entwurf, die Implementierung und die Sicherheitspriorisierung von Workloads zu beeinflussen. |
| ☐ | SE:04 | Erstellen Sie absichtliche Segmentierung und Umkreise in Ihrem Architekturentwurf und im Footprint der Workload auf der Plattform. Die Segmentierungsstrategie muss Netzwerke, Rollen und Zuständigkeiten, Workloadidentitäten und Ressourcen organization umfassen. |
| ☐ | SE:05 | Implementieren Sie eine strenge, bedingte und überprüfbare Identitäts- und Zugriffsverwaltung (IAM) für alle Workloadbenutzer, Teammitglieder und Systemkomponenten. Beschränken Sie den Zugriff ausschließlich auf die Erforderlichen. Verwenden Sie moderne Industriestandards für alle Authentifizierungs- und Autorisierungsimplementierungen. Beschränken und überwachen Sie den Zugriff, der nicht auf der Identität basiert, und überwachen Sie sie streng. |
| ☐ | SE:06 | Isolieren, Filtern und Steuern des Netzwerkdatenverkehrs über eingehende und ausgehende Datenflüsse hinweg. Wenden Sie detaillierte Verteidigungsprinzipien an, indem Sie lokalisierte Netzwerksteuerelemente an allen verfügbaren Netzwerkgrenzen sowohl im Ost-West- als auch im Nord-Süd-Datenverkehr verwenden. |
| ☐ | SE:07 | Verschlüsseln Sie Daten mithilfe moderner, branchenüblicher Methoden, um Vertraulichkeit und Integrität zu schützen. Richten Sie den Verschlüsselungsbereich an Datenklassifizierungen aus, und priorisieren Sie native Plattformverschlüsselungsmethoden. |
| ☐ | SE:08 | Härten Sie alle Workloadkomponenten , indem Sie die zusätzliche Oberfläche reduzieren und Konfigurationen straffen, um die Kosten für Angreifer zu erhöhen. |
| ☐ | SE:09 | Schützen Sie Anwendungsgeheimnisse , indem Sie deren Speicher härten und den Zugriff und die Bearbeitung einschränken und diese Aktionen überwachen. Führen Sie einen zuverlässigen und regelmäßigen Rotationsprozess aus, der Drehungen für Notfälle improvisieren kann. |
| ☐ | SE:10 | Implementieren Sie eine ganzheitliche Überwachungsstrategie , die auf modernen Mechanismen zur Bedrohungserkennung basiert, die in die Plattform integriert werden können. Mechanismen sollten zuverlässig Warnungen für die Triage erhalten und Signale an vorhandene SecOps-Prozesse senden. |
| ☐ | SE:11 | Einrichten eines umfassenden Testregimes , das Ansätze zur Vermeidung von Sicherheitsproblemen, Validierung von Implementierungen zur Bedrohungsprävention und Testen von Bedrohungserkennungsmechanismen kombiniert. |
| ☐ | SE:12 | Definieren und testen Sie effektive Verfahren zur Reaktion auf Vorfälle , die ein Spektrum von Incidents abdecken, von lokalisierten Problemen bis hin zur Notfallwiederherstellung. Definieren Sie eindeutig, welches Team oder welche Person eine Prozedur ausführt. |
Nächste Schritte
Es wird empfohlen, die Sicherheits-Kompromisse zu überprüfen, um andere Konzepte zu erkunden.