安全地執行雲端採用
當您實作雲端資產並移轉工作負載時，必須建立健全的安全性機制和做法。 此方法可確保您的工作負載從一開始就安全無虞，並避免在工作負載處於生產環境中之後解決安全性缺口的需求。 在採用階段設定安全性的優先順序，以確保工作負載一致且根據最佳做法建置。 建立的安全性做法也會透過設計完善的原則和程式，為 IT 小組準備雲端作業。
無論您是將工作負載移轉至雲端，還是建置全新的雲端資產，都可以套用本文中的指引。 雲端採用架構 採用方法包含移轉、現代化、創新及重新定位案例。 無論您在雲端旅程採用階段採用的路徑為何，在建立雲端資產的基礎元素並建置或移轉工作負載時，請務必考慮本文中的建議。
本文是採用方法的支援指南。 它提供安全性優化的區域，當您在旅程中經歷該階段時，應該考慮這一點。
安全性狀態現代化採用
當您致力於在採用階段中將安全性狀態現代化時，請考慮下列建議：
安全性基準： 定義包含可用性需求的安全性基準，以建立清楚且健全的開發基礎。 若要節省時間並降低分析環境中人為錯誤的風險，請使用現成的安全性基準分析工具。
採用自動化： 使用自動化工具來管理例行工作，以降低人為錯誤的風險並改善一致性。 利用可自動化故障轉移和復原程式的雲端服務。 您可能考慮自動化的工作包括：
- 基礎結構部署和管理
- 軟體開發生命周期活動
- 測試
- 監視和警示
- 調整大小
零信任 存取和授權控制：實作強式訪問控制和身分識別管理系統，以確保只有授權的人員能夠存取重要系統和數據。 這種方法可降低可能會中斷服務之惡意活動的風險。 將嚴格強制執行的角色型訪問控制 （RBAC） 標準化，並要求多重要素驗證，以防止未經授權的存取中斷服務可用性。 如需詳細資訊，請參閱使用 零信任 保護身分識別。
變更管理制度化
有效的採用和變更管理（ACM）方法對於確保訪問控制的成功實施和制度化至關重要。 一些最佳做法和方法包括：
Prosci ADKAR 模型： 此模型著重於成功變更的五個主要建置組塊。 這些元件為 Awareness、Desire、Knowledge、Ability 和 Reinforcement。 藉由解決每個元素，組織可以確保員工了解訪問控制的需求、有動力支援變更、具備必要的知識和技能，並持續增強以維護變更。
Kotter 的 8 步驟變更模型： 此模型概述領先變更的八個步驟。 這些步驟包括創造緊迫感、形成強大的聯盟、制定願景和策略、溝通願景、賦予員工廣泛行動能力、產生短期勝利、鞏固收益，以及將新方法錨定到文化中。 依照下列步驟，組織可以有效地管理訪問控制的採用。
Lewin 的變更管理模型： 此模型有三個階段，也就是 Unfreeze、Change 和 Refreeze。 在解除凍結階段，組織會藉由識別訪問控制的需求並建立緊迫感來準備變更。 在變更階段中，會實作新的流程和做法。 在重新凍結階段，新做法已鞏固並整合到組織文化中。
Microsoft採用和變更管理架構： 此架構提供結構化的方法，藉由定義成功準則、吸引項目關係人及準備組織，來推動採用和變更。 此架構也衡量成功，以確保實作的有效性。 它強調溝通、培訓和支援的重要性，以確保訪問控制得到有效採用和制度化。
組織可以藉由合併這些 ACM 方法和最佳做法，確保員工實作並採用訪問控制。 這種方法會產生更安全且符合規範的企業環境。
Azure 促進
建立安全性基準：Microsoft安全分數可協助您建立具有有形建議的基準以進行改進。 它是作為 Microsoft Defender 全面偵測回應 套件的一部分提供，並可分析許多Microsoft和非Microsoft產品的安全性。
基礎結構部署自動化：Azure Resource Manager 範本（ARM 範本）和 Bicep 是使用宣告式語法部署基礎結構即程式代碼 （IaC） 的 Azure 原生工具。 ARM 範本是以 JSON 撰寫，而 Bicep 則是網域特定的語言。 您可以輕鬆地將兩者整合至 Azure Pipelines 或 GitHub Actions 持續整合和持續傳遞 （CI/CD） 管線。
Terraform 是 Azure 中完全支援的另一個宣告式 IaC 工具。 您可以使用 Terraform 來部署和管理基礎結構，並將它整合到 CI/CD 管線中。
您可以使用 適用於雲端的 Microsoft Defender 來探索 IaC 中的設定錯誤。
Azure 部署環境：部署環境可讓開發小組使用以專案為基礎的範本，快速建立一致的應用程式基礎結構。 這些範本會將設定時間降至最低，並將安全性、合規性和成本效益最大化。 部署環境是預先定義訂用帳戶中部署的 Azure 資源集合。 開發基礎結構管理員可以強制執行企業安全策略，並提供一組精心策劃的預先定義 IaC 範本。
開發基礎結構系統管理員會將部署環境定義為目錄專案。 目錄項目裝載在 GitHub 或 Azure DevOps 存放庫中，稱為 目錄。 目錄專案包含 IaC 範本和manifest.yml檔案。
您可以編寫建立部署環境的腳本，並以程序設計方式管理環境。 如需以工作負載為主的詳細指引，請參閱 Azure 架構架構的 IaC 方法。
例行工作自動化：
Azure Functions：Azure Functions 是一種無伺服器工具，您可以使用慣用的開發語言將工作自動化。 函式提供一組完整的事件驅動觸發程式和系結，將函式連線至其他服務。 您不需要撰寫額外的程式代碼。
Azure 自動化：PowerShell 和 Python 是熱門的程式設計語言，可自動化作業工作。 使用這些語言來執行作業，例如重新啟動服務、在數據存放區之間傳輸記錄，以及調整基礎結構以符合需求。 您可以在程式代碼中表達這些作業，並視需要執行這些作業。 個別來說，這些語言缺少集中式管理、版本控制或追蹤執行歷程記錄的平臺。 這些語言也缺乏回應監視驅動警示等事件的原生機制。 若要提供這些功能，您需要自動化平臺。 自動化 提供 Azure 裝載的平臺，可在雲端和內部部署環境中裝載和執行 PowerShell 和 Python 程式代碼，包括 Azure 和非 Azure 系統。 PowerShell 和 Python 程式代碼會儲存在自動化 Runbook 中。 使用自動化可以：
視需要觸發 Runbook、依排程或透過 Webhook。
執行歷程記錄和記錄。
整合秘密存放區。
整合原始檔控制。
Azure 更新管理員：更新管理員是統一的服務，可用來管理和控管虛擬機的更新。 您可以監視整個工作負載的 Windows 和 Linux 更新合規性。 您還可以使用更新管理員，以即時進行更新，或將更新排程在定義的維護視窗內執行。 使用更新管理員來：
監督整個機器群的合規性。
排程週期性更新。
部署重大更新。
Azure Logic Apps 和 Microsoft Power Automate： 當您建置自定義數位程式自動化 （DPA） 來處理工作負載工作，例如核准流程或建置 ChatOps 整合時，請考慮使用 Logic Apps 或 Power Automate。 您可以從內建連接器和範本建構工作流程。 Logic Apps 和 Power Automate 是以相同的基礎技術為基礎所建置，非常適合以觸發程式為基礎或以時間為基礎的工作。
自動調整： 許多 Azure 技術都有內建的自動調整功能。 您也可以使用 API 將其他服務程式設計為自動調整。 如需詳細資訊，請參閱 自動調整。
Azure 監視器動作群組： 若要在觸發警示時自動執行自我修復作業，請使用 Azure 監視器動作群組。 您可以使用 Runbook、Azure 函式或 Webhook 來定義這些作業。
事件準備和回應採用
建立登陸區域或其他平台設計后，使用安全的網路分割和設計完善的訂用帳戶和資源組織，即可開始實作，專注於事件準備和回應。 在此階段中，開發您的備妥和響應機制，包括您的事件響應計劃，可確保您的雲端資產和作業做法符合商務目標。 這種一致性對於保持效率和達成戰略目標至關重要。 採用階段應從兩個角度處理事件準備和回應。 這些觀點包括威脅整備和風險降低，以及基礎結構和應用程式安全性。
威脅整備和風險降低
威脅偵測： 實作進階監視工具和做法，以即時偵測威脅。 此實作包括設定異常活動的警示系統，以及整合擴充偵測和回應 （XDR） 和安全性資訊和事件管理 （SIEM） 解決方案。 如需詳細資訊，請參閱 零信任 威脅防護和 XDR。
弱點管理： 透過修補程式管理和安全性更新定期識別和減輕弱點，以確保系統與應用程式受到保護，以免遭受已知的威脅。
事件回應： 開發和維護事件響應計劃，其中包含偵測、分析和補救步驟，以快速解決及復原安全性事件。 如需工作負載導向的指引，請參閱 安全性事件響應的建議。 盡可能自動執行風險降低活動，讓這些活動更有效率且較不容易發生人為錯誤。 例如，如果您偵測到 SQL 插入，您可以讓 Runbook 或工作流程自動鎖定 SQL 的所有連線以包含事件。
基礎結構和應用程式安全性
安全部署管線： 建置具有整合式安全性檢查的 CI/CD 管線，以確保應用程式已安全地開發、測試及部署。 此解決方案包含靜態程式代碼分析、弱點掃描和合規性檢查。 如需詳細資訊，請參閱 零信任 開發人員指引。
IaC部署： 透過程式代碼部署所有基礎結構，但無例外。 藉由管理此標準，降低設定錯誤的基礎結構和未經授權的部署風險。 將所有 IaC 資產與應用程式程式代碼資產共置，並套用與軟體部署相同的 安全部署做法 。
Azure 促進
威脅偵測和回應自動化：使用 Microsoft Defender 全面偵測回應 中的自動化調查和回應功能，將威脅偵測和回應自動化。
IaC 部署安全性： 使用 部署堆疊 將 Azure 資源作為單一的整合單位來管理。 防止使用者使用拒絕設定來執行未經授權的修改。
採用保密原則
在已經制定採用中情局三合會機密原則的總體策略和實施計劃之後，下一步是重點討論ACM。 此步驟包括確保加密和安全訪問控制在企業雲端環境中有效地實作和制度化。 在採用階段中，會實作數據外泄防護 （DLP） 措施，以保護傳輸中的敏感數據和待用數據。 實作牽涉到部署加密解決方案、設定訪問控制，以及訓練所有員工對數據機密性的重要性和遵守 DLP 原則的重要性。
實作加密和安全訪問控制
若要保護敏感性資訊免於未經授權的存取，請務必實作強固的加密和保護訪問控制。 加密可確保未經授權的使用者無法讀取數據，而訪問控制可規範誰可以存取特定數據和資源。 瞭解您部署的雲端服務加密功能，並啟用適當的加密機制以符合您的商務需求。
納入並採用相關聯的標準
為了確保加密和訪問控制的一致實作，開發及採用相關標準至關重要。 組織應建立使用加密和訪問控制的明確指導方針和最佳做法，並確保這些標準會傳達給所有員工。 例如，標準可能會指定所有敏感數據都必須使用 AES-256 加密來加密，而且只有授權人員才能存取此數據。 組織可以藉由將這些標準併入其原則和程式，確保在整個企業中一致地套用加密和訪問控制。 提供定期訓練和支援可進一步強化員工之間的這些做法。 其他範例包括：
強式加密： 盡可能在資料存放區上啟用加密，並考慮管理您自己的密鑰。 雲端提供者可能會為裝載數據存放區的記憶體提供待用加密，並讓您選擇在 Azure SQL 資料庫 中啟用資料庫加密，例如透明數據加密。 盡可能套用額外的加密層。
訪問控制： 套用 RBAC、條件式訪問控制、Just-In-Time 存取，以及對所有數據存放區的 Just-enough 存取。 規範定期檢閱許可權的做法。 限制對組態系統的寫入存取，這隻允許透過指定的自動化帳戶進行變更。 此帳戶會在徹底檢閱程序之後套用修改，通常是 Azure Pipelines 的一部分。
標準採用：組織可能會開發標準，要求使用 Microsoft Purview 資訊保護 加密包含敏感性資訊的所有電子郵件。 這項需求可確保敏感數據在傳輸期間受到保護，而且只能由授權的收件者存取。
Azure 促進
SIEM 和 SOAR 解決方案：Microsoft Sentinel 是可調整的雲端原生 SIEM，可為 SIEM 和安全性協調流程、自動化和回應 （SOAR） 提供智慧且全面的解決方案。 Microsoft Sentinel 提供威脅偵測、調查、回應和主動式搜捕，並提供您企業的高階概觀。
Azure 加密：Azure 提供 Azure SQL 資料庫、Azure Cosmos DB 和 Azure Data Lake 等服務的加密。 支援的加密模型包括伺服器端加密與服務管理的金鑰、Azure 中的客戶自控密鑰 金鑰保存庫，以及客戶控制硬體上的客戶自控密鑰。 用戶端加密模型在傳送至 Azure 之前，支援應用程式的數據加密。 如需詳細資訊，請參閱 Azure 加密概觀。
訪問控制管理： 先前稱為 Azure Active Directory，Microsoft Entra ID 提供完整的身分識別和存取管理功能。 它支援多重要素驗證、條件式存取原則和單一登錄，以確保只有授權的使用者可以存取敏感數據。
Microsoft Entra ID Protection 會使用進階機器學習來識別登入風險和不尋常的用戶行為，以封鎖、挑戰、限制或授與存取權。 它有助於防止身分識別入侵、防止認證竊取，並提供身分識別安全性狀態的深入解析。
適用於身分識別的 Microsoft Defender 是雲端式安全性身分識別威脅偵測解決方案，可協助保護整個組織的身分識別監視。 其可協助您透過自動化威脅偵測和響應機制，更清楚地識別、偵測及調查針對貴組織的進階威脅。
Azure 機密運算： 這項服務在處理數據時會保護數據。 它會使用硬體型信任的執行環境來隔離和保護使用中的數據，確保即使是雲端系統管理員也無法存取數據。
採用誠信原則
在採用階段中，規劃和設計會變成真實世界的實作。 若要確保數據和系統完整性，請根據您在先前階段開發的標準來建置系統。 此外，根據相關的通訊協定和程式，訓練工程師、系統管理員和操作員。
數據完整性採用
數據分類： 盡可能透過自動化實作數據分類架構，並在必要時手動實作。 使用現成的工具，將您的數據分類自動化，並識別敏感性資訊。 手動為檔和容器加上標籤，以確保分類正確無誤。 利用知識淵博用戶的專業知識來建立敏感度，來策劃用於分析的數據集。
數據驗證和驗證： 利用您所部署服務中的內建驗證和驗證功能。 例如，當您將數據從來源移至目的地存放區時，Azure Data Factory 具有內建功能來 驗證數據一致性 。 請考慮採用下列做法：
在 SQL 中使用 CHECKSUM 和 BINARY_CHECKSUM 函式，以確保數據不會在傳輸中損毀。
將哈希儲存在數據表中，並建立子程式，以在上次修改日期變更時修改哈希。
監視和警示： 使用詳細的變更歷程記錄資訊監視您的數據存放區，以協助檢閱。 設定警示以確保您有適當的可見度，而且如果有任何可能影響數據完整性的事件，可以採取有效率的動作。
備份原則： 在所有適當的系統上套用備份原則。 瞭解平臺即服務和軟體即服務服務的備份功能。 例如，Azure SQL 資料庫 包含自動備份，您可以視需要設定保留原則。
共用設計標準： 發佈和共用應用程式設計標準，以納入整個組織的數據完整性機制。 設計標準應包含非功能需求，例如原生追蹤應用層級的組態和數據變更，並在數據架構中記錄此歷程記錄。 這個方法會強制數據架構除了標準記錄機制來加強完整性監視之外，也會保留數據歷程記錄和設定歷程記錄的詳細數據作為數據存放區一部分。
系統完整性採用
安全性監視： 使用強固的監視解決方案自動註冊雲端資產中的所有資源，並確保警示已啟用並設定為在事件發生時通知適當的小組。
自動化組態管理： 部署及設定組態管理系統，以自動註冊新系統並持續管理您的設定。
自動化修補程式管理： 部署及設定修補程式管理系統，以自動註冊新的系統，並根據您的原則管理修補。 偏好使用原生工具到您的雲端平臺。
Azure 促進
數據分類和標籤：Microsoft Purview 是一組強大的解決方案，可協助您的組織管理、保護及管理數據，無論數據位於何處。 它提供手動和自動 數據分類 和 敏感度標籤。
設定管理：Azure Arc 是集中式且統一的基礎結構治理和管理平臺，可用來管理雲端式和內部部署系統的設定。 藉由使用 Azure Arc，您可以從 Azure 原則、您的 適用於雲端的 Defender 原則和安全分數評估，以及記錄和監視單一位置的所有資源來擴充安全性基準。
修補程式管理：Azure Update Manager 是適用於 Windows 和 Linux 機器的整合更新管理解決方案，可用於 Azure、內部部署和多重雲端環境。 其內建支援 Azure 原則和 Azure Arc 受控機器。
採用可用性原則
定義復原性設計模式之後，您的組織就可以進入採用階段。 如需工作負載可用性的詳細指引，請參閱架構完善的架構 可靠性 要素和 Azure 可靠性 檔。 在雲端採用的內容中，重點在於建立和編纂支援可用性的作業做法。
建立可支援可用性的操作作法
為了維護高可用性的雲端資產，營運雲端系統的小組必須遵循標準化且成熟的做法。 這些做法應包括：
作業持續性： 組織必須規劃持續作業，即使在攻擊狀況下也是如此。 這種方法包括建立快速復原的程式，並在降級層級維護重要服務，直到完全復原。
健全且持續可觀察性： 組織在發生安全性事件時偵測安全性事件的能力，可讓他們快速起始其事件回應計劃。 此策略可協助盡可能減少商務影響。 事件偵測只能透過設計完善的監視和警示系統進行，其遵循威脅偵測的最佳做法。 如需詳細資訊，請參閱 可觀察性指南 和安全性 監視和威脅偵測指南。
主動式維護： 透過原則標準化並強制執行系統更新。 排程定期維護期間，將更新和修補程式套用至系統，而不會中斷服務。 定期進行健康情況檢查和維護活動，以確保所有元件都能以最佳方式運作。
標準化治理原則： 透過工具支持的原則強制執行所有安全性標準。 使用原則管理工具，以確保所有系統預設都符合您的商務需求，而且您的原則很容易稽核。
災害復原準備： 開發並定期測試工作負載的災害復原計劃，以確保災害發生時可復原。 如需詳細資訊，請參閱 災害復原。 盡可能自動化復原活動。 例如，在 Azure SQL 資料庫 等服務中使用自動故障轉移功能。
服務等級協定： 雲端平臺為其服務所提供的服務等級協定（SLA）可協助您瞭解工作負載元件保證的運行時間。 使用這些 SLA 作為基礎，然後為您提供給客戶的 SLA 開發您自己的目標計量。 Microsoft針對 線上服務 的 SLA 發佈所有雲端服務的 SLA。
合規性需求： 遵守一般數據保護規定（GDPR）和 HIPAA 等法規，以確保系統的設計和維護為高標準，包括與可用性相關的標準。 不符合規範可能會導致法律行動和罰款，這可能會擾亂商務營運。 合規性通常不限於系統設定。 大部分的合規性架構也需要風險管理和事件響應標準。 請確定您的作業標準符合架構需求，並定期訓練員工。
Azure 促進
原則和合規性管理：
Azure 原則 是一種原則管理解決方案，可協助強制執行組織標準和大規模評估合規性。 若要將許多 Azure 服務的原則強制執行自動化，請利用 內建原則定義。
作業持續性和災害復原： 許多 Azure 服務都有內建的復原功能，您可以納入作業持續性和災害復原計劃。 如需詳細資訊，請參閱 Azure 服務可靠性指南。
採用安全性維持
請考慮下列建議，以協助確保您在雲端採用過程中所設定的安全性機制和做法，在您繼續旅程時可以維持並持續改善：
建立安全性檢閱委員會： 建立安全性檢閱委員會，以持續檢閱專案並授權安全性控制。 定期檢閱您的程式，以找出改進的領域。 開發程式以確保安全性永遠是每個人的重中之重。
實作 弱點管理 解決方案：使用 弱點管理 解決方案來監視安全性弱點風險分數，並定義一個程式來對最高風險分數採取行動，以將風險降到最低。 追蹤最新的常見弱點和風險風險。 有原則可定期套用這些風險降低措施以進行補救。
強化生產基礎結構： 強化基礎結構來保護您的雲端資產。 若要根據業界最佳做法強化基礎結構，請遵循因特網安全性中心 （CIS） 基準檢驗等 基準檢驗指引。
使用 MITRE ATT&CK 知識庫：使用 MITRE ATT&CK 知識庫 來協助開發常見真實世界攻擊策略和技術的威脅模型和方法。
左移： 使用具有不同存取層級的隔離環境進行生產前與生產環境。 這種方法可協助您向左移位，這會將安全性考慮新增至開發的所有階段，並在較低環境中提供彈性。
Azure 促進
弱點管理：Microsoft Defender 弱點管理 是一個全面的風險型 弱點管理 解決方案，可讓您用來識別、評估、補救及追蹤您最重要的資產中所有最大的弱點，全都在單一解決方案中。