Prepare sua propriedade de nuvem segura
Durante a fase Pronto de uma jornada de adoção da nuvem, você se concentra na criação da base da propriedade. A abordagem da zona de destino do Microsoft Azure fornece às empresas e grandes organizações um padrão de design modular, escalonável e mais seguro a ser seguido ao implementar suas propriedades. Organizações menores e startups podem não precisar do nível de organização que a abordagem da zona de destino oferece, mas uma compreensão da filosofia da zona de destino pode ajudar qualquer organização a criar estratégias para um design básico e obter um alto grau de segurança e escalabilidade.
Depois de definir sua estratégia e plano de adoção da nuvem, você pode iniciar a fase de implementação projetando a base. Use as recomendações neste guia para garantir que o design e a implementação da base priorizem a segurança.
Este artigo é um guia de suporte para a metodologia Ready . Ele descreve áreas de otimização de segurança que você deve considerar à medida que avança nessa fase de sua jornada.
Modernização da postura de segurança
As primeiras etapas de implementação na modernização de sua postura de segurança são criar sua zona de destino ou base de nuvem e criar ou modernizar sua identidade, autorização e plataforma de acesso.
Adotando a abordagem da zona de destino: adotar a abordagem da zona de destino ou incorporar os princípios de design da abordagem da zona de destino na medida do possível para seu caso de uso permite que você inicie sua implementação de maneira otimizada. À medida que sua propriedade na nuvem evolui, manter diferentes domínios de sua propriedade separados ajuda a manter toda a propriedade mais segura e gerenciável.
- Se você não planeja adotar uma zona de destino corporativa completa, ainda precisa entender as áreas de design e aplicar diretrizes relevantes para sua propriedade de nuvem. Você precisa pensar em todas essas áreas de design e implementar controles específicos para cada área, independentemente de como sua base é arquitetada. Por exemplo, o uso de grupos de gerenciamento pode ajudá-lo a controlar sua propriedade de nuvem, mesmo que ela consista apenas em algumas assinaturas.
Desenvolva zonas de destino seguras e escaláveis que forneçam ambientes controlados para a implantação de recursos de nuvem. Essas zonas ajudam a garantir que as políticas de segurança sejam aplicadas de forma consistente e que os recursos sejam segregados de acordo com seus requisitos de segurança. Consulte a área de design de segurança para obter diretrizes detalhadas sobre este tópico.
- Identidade, autorização e acesso modernos: com base nos princípios de Confiança Zero, a abordagem moderna de identidade, autorização e acesso passa de confiança por padrão para confiança por exceção. Segue-se desses princípios que usuários, dispositivos, sistemas e aplicativos devem ter permissão para acessar apenas os recursos de que precisam e apenas pelo tempo necessário para atender às suas necessidades. A mesma orientação se aplica aos elementos fundamentais de sua propriedade: controle rigidamente as permissões para assinaturas, recursos de rede, soluções de governança, a plataforma de gerenciamento de identidade e acesso (IAM) e locatários seguindo as mesmas recomendações que você segue para as cargas de trabalho executadas. Consulte a área de design de gerenciamento de identidade e acesso para obter diretrizes detalhadas sobre esse tópico.
Facilitação do Azure
Aceleradores de zona de destino do Azure: a Microsoft mantém vários aceleradores de zona de destino, que são implantações pré-empacotadas de um determinado tipo de carga de trabalho que podem ser facilmente implantadas em uma zona de destino para você começar rapidamente. Eles incluem aceleradores para Azure Integration Services, AKS (Serviço de Kubernetes do Azure), Gerenciamento de API do Azure e outros. Consulte a seção Cenário da plataforma de aplicativo moderno da documentação do Cloud Adoption Framework para Azure para obter uma lista completa de aceleradores e outros tópicos relacionados a considerações de aplicativos modernos.
Módulo Terraform de zonas de destino do Azure: você pode otimizar suas implantações de zona de destino com automação usando o módulo Terraform de zonas de destino do Azure. Usando o pipeline de CI/CD (integração contínua e implantação contínua) para implantar zonas de destino, você pode garantir que todas as zonas de destino sejam implantadas de forma idêntica, com todos os mecanismos de segurança em vigor.
Microsoft Entra: o Microsoft Entra é uma família de produtos de identidade e acesso à rede. Ele permite que as organizações implementem uma estratégia de segurança Zero Trust e criem uma malha de confiança que verifica identidades, valida condições de acesso, verifica permissões, criptografa canais de conexão e monitora o comprometimento.
Prepare-se para a preparação e resposta a incidentes
Depois de definir sua estratégia e desenvolver seu plano de preparação e resposta a incidentes, você pode começar sua implementação. Quer você adote um design de zona de destino corporativo completo ou um design básico menor, a segregação de rede é fundamental para manter um alto grau de segurança.
Segmentação de rede: projete uma arquitetura de rede com segmentação e isolamento adequados para minimizar as superfícies de ataque e conter possíveis violações. Use técnicas como nuvens privadas virtuais (VPCs), sub-redes e grupos de segurança para gerenciar e controlar o tráfego. Consulte o artigo Planejar segmentação de rede para obter diretrizes detalhadas sobre esse tópico. Certifique-se de examinar o restante dos guias de segurança de rede da zona de destino do Azure. As diretrizes incluem recomendações para conectividade de entrada e saída, criptografia de rede e inspeção de tráfego.
Facilitação do Azure
- WAN Virtual do Azure: a WAN Virtual do Azure é um serviço de rede que consolida muitas funcionalidades de rede, segurança e roteamento para fornecer uma única interface operacional. O design é uma arquitetura hub-and-spoke que tem escala e desempenho internos para filiais (dispositivos VPN/SD-WAN), usuários (clientes VPN do Azure/OpenVPN/IKEv2), circuitos do Azure ExpressRoute e redes virtuais. Quando você implementa suas zonas de destino, a WAN Virtual do Azure pode ajudá-lo a otimizar sua rede por meio de mecanismos de segmentação e segurança.
Prepare-se para a confidencialidade
Durante a fase Pronto, a preparação para suas cargas de trabalho do ponto de vista da confidencialidade é um processo para garantir que suas políticas e padrões do IAM sejam implementados e aplicados. Essa preparação garante que, quando você implantar cargas de trabalho, seus dados serão protegidos por padrão. Certifique-se de ter políticas e padrões bem controlados para:
O princípio do privilégio mínimo. Conceda aos usuários o acesso mínimo necessário para executar suas tarefas.
RBAC (Controle de Acesso Baseado em Função). Atribua funções e permissões com base nas responsabilidades do trabalho. Isso ajuda você a gerenciar o acesso com eficiência e reduz o risco de acesso não autorizado.
MFA (autenticação multifator). Implemente a MFA para adicionar uma camada extra de segurança.
Controles de acesso condicional. Os controles de acesso condicional fornecem segurança adicional impondo políticas com base em condições específicas. As políticas podem incluir a imposição de MFA, bloqueio de acesso com base na geografia e muitos outros cenários. Ao escolher uma plataforma do IAM, certifique-se de que o acesso condicional seja compatível e que a implementação atenda aos seus requisitos.
Facilitação do Azure
- O Acesso Condicional do Microsoft Entra é o mecanismo de política de Confiança Zero da Microsoft. Ele leva em consideração os sinais de várias fontes ao aplicar decisões políticas.
Prepare-se para a integridade
Assim como acontece com seus preparativos de confidencialidade, certifique-se de ter políticas e padrões bem controlados para integridade de dados e sistema para implantar cargas de trabalho com segurança aprimorada por padrão. Defina políticas e padrões para as seguintes áreas.
Práticas de gerenciamento de dados
Classificação de dados: crie uma estrutura de classificação de dados e uma taxonomia de rótulo de confidencialidade que defina categorias de alto nível de risco de segurança de dados. Você usará essa taxonomia para simplificar tudo, desde inventário de dados ou insights de atividades até gerenciamento de políticas e priorização de investigações. Consulte Criar uma estrutura de classificação de dados bem projetada para obter diretrizes detalhadas sobre este tópico.
Verificação e validação de dados: invista em ferramentas que automatizam a verificação e validação de dados para reduzir a carga sobre seus engenheiros e administradores de dados e diminuir o risco de erro humano.
Políticas de backup: codifique as políticas de backup para garantir que todos os dados sejam copiados regularmente. Teste backups e restaurações regularmente para garantir que os backups sejam bem-sucedidos e que os dados estejam corretos e consistentes. Alinhe essas políticas com as metas de RTO (objetivo de tempo de recuperação) e RPO (objetivo de ponto de recuperação) da sua organização.
Criptografia forte: certifique-se de que seu provedor de nuvem criptografe seus dados em repouso e em trânsito por padrão. No Azure, seus dados são criptografados de ponta a ponta. Consulte a Central de Confiabilidade da Microsoft para obter detalhes. Para os serviços que você usa em suas cargas de trabalho, certifique-se de que a criptografia forte tenha suporte e esteja configurada adequadamente para atender aos seus requisitos de negócios.
Padrões de design de integridade do sistema
Monitoramento de segurança: para detectar alterações não autorizadas em seus sistemas de nuvem, projete uma plataforma robusta de monitoramento de segurança como parte de sua estratégia geral de monitoramento e observabilidade. Consulte a seção Gerenciar monitoramento de metodologia para obter orientações gerais detalhadas. Consulte o guia de visibilidade, automação e orquestração de confiança zero para obter recomendações sobre monitoramento de segurança.
- SIEM e detecção de ameaças: use ferramentas de gerenciamento de eventos e informações de segurança (SIEM) e orquestração, automação e resposta de segurança (SOAR) e ferramentas de detecção de ameaças para detectar atividades suspeitas e possíveis ameaças à sua infraestrutura.
Gerenciamento de configuração automatizado: codifique o uso de ferramentas para automatizar o gerenciamento de configuração. A automação ajuda a garantir que todas as configurações do sistema sejam consistentes, livres de erros humanos e aplicadas automaticamente.
Gerenciamento automatizado de patches: codifique o uso de ferramentas para gerenciar e controlar atualizações para máquinas virtuais. A aplicação de patches automatizada ajuda a garantir que todos os sistemas sejam corrigidos regularmente e que as versões do sistema sejam consistentes.
Implantações automatizadas de infraestrutura: codifique o uso de infraestrutura como código (IaC) para todas as implantações. Implante a IaC como parte de seus pipelines de CI/CD. Aplique as mesmas práticas de implantação segura para implantações de IaC que você faria para implantações de software.
Facilitação do Azure
O Azure Policy e o Microsoft Defender para Nuvem trabalham juntos para ajudá-lo a definir e impor políticas de segurança em sua propriedade de nuvem. Ambas as soluções dão suporte à governança de seus elementos fundamentais e seus recursos de carga de trabalho.
O Azure Update Manager é a solução nativa de gerenciamento de patches e atualizações do Azure. Você pode estendê-lo para sistemas locais e sistemas habilitados para Arc.
O Microsoft Sentinel é a solução Microsoft SIEM e SOAR. Ele fornece detecção, investigação e resposta a ameaças cibernéticas, busca proativa e uma visão abrangente de toda a sua empresa.
Prepare-se para a disponibilidade
Projetar suas cargas de trabalho para resiliência ajuda a garantir que sua empresa possa resistir a falhas e incidentes de segurança e que as operações possam continuar enquanto os problemas com os sistemas afetados são resolvidos. As recomendações a seguir, que se alinham aos princípios do Cloud Adoption Framework, podem ajudá-lo a projetar cargas de trabalho resilientes:
Implemente o design de aplicativos resilientes. Adote padrões de design de aplicativos que aumentem a resiliência contra incidentes de infraestrutura e não infraestrutura, alinhando-se aos princípios mais amplos do Cloud Adoption Framework. Padronize projetos que incorporem mecanismos de autocorreção e autopreservação para garantir operação contínua e recuperação rápida. Para obter diretrizes detalhadas sobre padrões de design resilientes, consulte o pilar Confiabilidade do Well-Architected Framework.
Adote a arquitetura sem servidor. Use tecnologias sem servidor, incluindo PaaS (plataforma como serviço), SaaS (software como serviço) e FaaS (função como serviço), para reduzir a sobrecarga de gerenciamento de servidor, dimensionar automaticamente de acordo com a demanda e melhorar a disponibilidade. Essa abordagem dá suporte à ênfase do Cloud Adoption Framework na modernização de cargas de trabalho e na otimização da eficiência operacional.
Use microsserviços e conteinerização. Implemente microsserviços e conteinerização para evitar aplicativos monolíticos, dividindo-os em serviços menores e independentes que você pode implantar e dimensionar de forma independente. Essa abordagem se alinha aos princípios do Cloud Adoption Framework de agilidade e escalabilidade em ambientes de nuvem.
Desacoplar serviços. Isole estrategicamente os serviços uns dos outros para reduzir o raio de explosão dos incidentes. Essa estratégia ajuda a garantir que as falhas em um componente não afetem todo o sistema. Ele suporta o modelo de governança do Cloud Adoption Framework, promovendo limites de serviço robustos e resiliência operacional.
Ative o dimensionamento automático. Certifique-se de que a arquitetura do aplicativo ofereça suporte ao dimensionamento automático para lidar com cargas variadas para que possa manter a disponibilidade durante picos de tráfego. Essa prática se alinha às diretrizes do Cloud Adoption Framework sobre a criação de ambientes de nuvem escalonáveis e responsivos e pode ajudá-lo a manter os custos gerenciáveis e previsíveis.
Implemente o isolamento de falhas. Projete seu aplicativo para isolar falhas em tarefas ou funções individuais. Isso pode ajudar a evitar interrupções generalizadas e aumentar a resiliência. Essa abordagem dá suporte ao foco do Cloud Adoption Framework na criação de sistemas confiáveis e tolerantes a falhas.
Garanta alta disponibilidade. Incorpore mecanismos integrados de redundância e recuperação de desastres para manter a operação contínua. Essa abordagem dá suporte às práticas recomendadas do Cloud Adoption Framework para planejamento de alta disponibilidade e continuidade dos negócios.
Planeje o failover automático. Implante aplicativos em várias regiões para oferecer suporte a failover contínuo e serviço ininterrupto. Essa abordagem se alinha à estratégia do Cloud Adoption Framework para redundância geográfica e recuperação de desastres.
Prepare-se para a sustentação da segurança
Durante a fase Pronto, a preparação para a manutenção de segurança de longo prazo envolve garantir que os elementos fundamentais de sua propriedade sigam as práticas recomendadas de segurança para as cargas de trabalho iniciais, mas também sejam escaláveis. Isso ajuda a garantir que, à medida que seu patrimônio cresce e evolui, sua segurança não seja comprometida e o gerenciamento de sua segurança não se torne muito complexo e oneroso. Isso, por sua vez, ajuda a evitar comportamentos de shadow IT. Para isso, durante a fase Pronto, pense em como suas metas de negócios a longo prazo podem ser alcançadas sem grandes reformulações arquitetônicas ou grandes revisões nas práticas operacionais. Mesmo que você opte por estabelecer uma base muito mais simples do que um design de zona de destino, certifique-se de que você possa fazer a transição de seu design básico para uma arquitetura corporativa sem precisar reimplantar os principais elementos de sua propriedade, como rede e cargas de trabalho críticas. Criar um design que possa crescer à medida que sua propriedade cresce, mas ainda permanecer seguro, é fundamental para o sucesso de sua jornada para a nuvem.
Consulte Fazer a transição de um ambiente existente do Azure para a arquitetura conceitual da zona de destino do Azure para obter recomendações sobre como mover um volume existente do Azure para uma arquitetura de zona de destino.