Recomanacions per a proves de seguretat
S'aplica a aquesta Power Platform recomanació de la llista de verificació de seguretat ben arquitectada:
| SE:09 | Establir un sistema de proves complet que combini enfocaments per prevenir problemes de seguretat, validar implementacions de prevenció d'amenaces i provar mecanismes de detecció d'amenaces. |
|---|
Unes proves rigotoses són la base d'un bon disseny de seguretat. Les proves són una forma tàctica de validació per assegurar-se que els controls funcionen com es pretén. Les proves també són una manera proactiva de detectar vulnerabilitats en el sistema.
Estableix el rigor de les proves a través de la cadència i la verificació des de múltiples Perspectives. Hauríeu d'incloure punts de vista de dins cap a fora que provin la plataforma i la infraestructura i avaluacions de fora cap a dins que posin a prova el sistema com un atacant extern.
Aquesta guia proporciona recomanacions per provar la postura de seguretat de la vostra càrrega de treball. Implementeu aquests mètodes de prova per millorar la resistència de la vostra càrrega de treball als atacs i mantenir la confidencialitat, la integritat i la disponibilitat dels recursos.
Definicions
| Terme | Definició |
|---|---|
| Proves de seguretat d'aplicacions (AST) | Una tècnica de cicle de vida de desenvolupament de seguretat (SDL) Microsoft que utilitza metodologies de prova de caixa blanca i caixa negra per comprovar si hi ha vulnerabilitats de seguretat en el codi. |
| Proves de caixa negra | Una metodologia de prova que valida el comportament de l'aplicació visible externament sense conèixer els interns del sistema. |
| Equip blau | Un equip que es defensa dels atacs de l'equip vermell en un exercici de joc de guerra. |
| Proves de penetració | Metodologia de prova que utilitza tècniques de pirateria ètica per validar les defenses de seguretat d'un sistema. |
| Equip vermell | Un equip que fa el paper d'un adversari i intenta piratejar el sistema en un exercici de joc de guerra. |
| Cicle de vida de desenvolupament de seguretat (SDL) | Un conjunt de pràctiques proporcionades per Microsoft que admet els requisits de garantia de seguretat i compliment. |
| Cicle de vida de desenvolupament de programari (SDLC) | Un procés sistemàtic de diverses etapes per al desenvolupament de sistemes de programari. |
| Proves de caixa blanca | Una metodologia de prova on l'estructura del codi és coneguda pel practicant. |
Estratègies clau de disseny
Les proves són una estratègia no negociable, especialment per a la seguretat. Us permet descobrir i abordar de manera proactiva els problemes de seguretat abans que es puguin explotar i verificar que els controls de seguretat que heu implementat funcionen segons el disseny.
L'abast de les proves ha d'incloure l'aplicació, la infraestructura i els processos automatitzats i humans.
Nota
Aquesta guia fa una distinció entre proves i resposta a incidents. Tot i que les proves són un mecanisme de detecció que idealment soluciona problemes abans de la producció, no s'ha de confondre amb la correcció o investigació que es fa com a part de la resposta a incidents. L'aspecte de la recuperació d'incidents de seguretat es descriu a Recomanacions per a la resposta a incidents de seguretat.
Participar en la planificació de les proves. És possible que l'equip de càrrega de treball no dissenyi els casos de prova. Aquesta tasca sovint està centralitzada a l'empresa o realitzada per experts en seguretat externs. L'equip de càrrega de treball hauria d'estar involucrat en aquest procés de disseny per garantir que les garanties de seguretat s'integrin amb la funcionalitat de l'aplicació.
Pensa com un atacant. Dissenyeu els vostres casos de prova assumint que el sistema ha estat atacat. D'aquesta manera, podeu descobrir les possibles vulnerabilitats i prioritzar les proves en conseqüència.
Executar proves de manera estructurada i amb un procés repetible. Construeix el teu rigor de proves al voltant de la cadència, els tipus de proves, els factors de conducció i els resultats previstos.
Utilitzeu l'eina adequada per a la feina. Utilitzeu eines configurades per treballar amb la càrrega de treball. Si no teniu una eina, compreu-la. No el construeixis. Les eines de seguretat estan altament especialitzades i crear la vostra pròpia eina pot introduir riscos. Aprofiteu l'experiència i les eines que ofereixen els equips centrals de SecOps o per mitjans externs si l'equip de càrrega de treball no té aquesta experiència.
Configureu entorns separats. Les proves es poden classificar com a destructives o no destructives. Les proves no destructives no són invasives. Indiquen que hi ha un problema, però no alteren la funcionalitat per solucionar el problema. Les proves destructives són invasives i poden danyar la funcionalitat eliminant dades d'una base de dades.
Les proves en entorns de producció us proporcionen la millor informació, però causen més interrupcions. Tendeixeu a fer només proves no destructives en entorns de producció. Les proves en entorns que no són de producció solen ser menys disruptives, però poden no representar amb precisió la configuració de l'entorn de producció de maneres importants per a la seguretat.
Podeu crear un clon aïllat del vostre entorn de producció mitjançant la funció de còpia de l'entorn. Si teniu canalitzacions de desplegament configurades, també podeu implementar les solucions en un entorn de proves dedicat.
Avalueu sempre els resultats de les proves. Les proves són un esforç malgastat si els resultats no s'utilitzen per prioritzar accions i fer millores aigües amunt. Documenteu les directrius de seguretat, incloses les pràctiques recomanades, que descobriu. La documentació que captura els resultats i els plans de correcció educa l'equip sobre les diverses maneres en què els atacants poden intentar violar la seguretat. Realitzeu formació periòdica en seguretat per a desenvolupadors, administradors i provadors.
Quan dissenyeu els vostres plans de prova, penseu en les preguntes següents:
- Amb quina freqüència espereu que s'executi la prova i com afecta el vostre entorn?
- Quins són els diferents tipus de proves que hauríeu d'executar?
Amb quina freqüència esperes que s'executin les proves?
Proveu la càrrega de treball regularment per assegurar-vos que els canvis no introdueixin riscos de seguretat i que no hi hagi cap regression. L'equip també ha d'estar preparat per respondre a les validacions de seguretat de l'organització que es puguin dur a terme en qualsevol moment. També hi ha proves que podeu executar en resposta a un incident de seguretat. Les seccions següents proporcionen recomanacions sobre la freqüència de les proves.
Proves rutinàries
Les proves rutinàries es realitzen a una cadència regular, com a part dels vostres procediments operatius estàndard i per complir els requisits de compliment. Es poden fer diverses proves a diferents cadències, però la clau és que es realitzen periòdicament i en un calendari.
Hauríeu d'integrar aquestes proves al vostre SDLC perquè proporcionen una defensa en profunditat en cada etapa. Diversificar el conjunt de proves per verificar les garanties d'identitat, emmagatzematge i transmissió de dades i canals de comunicació. Realitzeu les mateixes proves en diferents punts del cicle de vida per assegurar-vos que no hi hagi regressions. Les proves rutinàries ajuden a establir un punt de referència inicial. Tanmateix, això és només un punt de partida. A mesura que descobriu nous problemes en els mateixos punts del cicle de vida, afegiu nous casos de prova. Les proves també milloren amb la repetició.
En cada etapa, aquestes proves han de validar el codi afegit o eliminat o els paràmetres de configuració que han canviat per detectar l'impacte de seguretat d'aquests canvis. Hauríeu de millorar l'eficàcia de les proves amb l'automatització, equilibrada amb les revisions per parells.
Penseu en executar proves de seguretat com a part d'un pipeline automatitzat o d'una execució de prova planificada. Com més aviat descobriu problemes de seguretat, més fàcil serà trobar el codi o el canvi de configuració que els causa.
No confieu només en proves automatitzades. Utilitzeu proves manuals per detectar vulnerabilitats que només l'experiència humana pot detectar. Les proves manuals són bones per a casos d'ús exploratoris i per trobar riscos desconeguts.
Proves improvisades
Les proves improvisades proporcionen una validació puntual de les defenses de seguretat. Les alertes de seguretat que poden afectar la càrrega de treball en aquell moment activen aquestes proves. Els mandats organitzatius poden requerir una mentalitat de pausa i prova per verificar l'eficàcia de les estratègies de defensa si l'alerta s'intensifica a una emergència.
El benefici de les proves improvisades és la preparació per a un incident real. Aquestes proves poden ser una funció forçant per fer proves d'acceptació de l'usuari (UAT).
L'equip de seguretat pot auditar totes les càrregues de treball i executar aquestes proves segons sigui necessari. Com a propietari de la càrrega de treball, heu de facilitar i col·laborar amb els equips de seguretat. Negocieu prou temps amb els equips de seguretat perquè pugueu preparar-vos. Reconeix i comunica al teu equip i a les parts interessades que aquestes interrupcions són necessàries.
En altres casos, és possible que hàgiu d'executar proves i informar de l'estat de seguretat del sistema contra l'amenaça potencial.
Compensació: Com que les proves improvisades són esdeveniments disruptius, espereu tornar a prioritzar les tasques, cosa que pot retardar altres treballs planificats.
Risc: Hi ha el risc del desconegut. Les proves improvisades poden ser esforços puntuals sense processos o eines establerts. Però el risc predominant és la possible interrupció del ritme dels negocis. Cal avaluar aquests riscos en relació amb els beneficis.
Proves d'incidències de seguretat
Hi ha proves que detecten la causa d'un incident de seguretat en el seu origen. Aquestes llacunes de seguretat s'han de resoldre per assegurar-se que l'incident no es repeteix.
Els incidents també milloren els casos de prova amb el pas del temps descobrint les llacunes existents. L'equip ha d'aplicar les lliçons apreses de l'incident i incorporar millores de manera rutinària.
Quins són els diferents tipus de proves?
Les proves es poden classificar per tecnologia i per metodologies de prova. Combineu aquestes categories i enfocaments dins d'aquestes categories per obtenir una cobertura completa.
Si afegiu diverses proves i tipus de proves, podeu descobrir:
- Buits en els controls de seguretat o controls compensadors.
- Configuracions incorrectes.
- Buits en els mètodes d'observabilitat i detecció.
Un bon exercici de modelització d'amenaces pot indicar àrees clau per garantir la cobertura i la freqüència de les proves. Per obtenir recomanacions sobre el modelatge d'amenaces, consulteu Recomanacions per assegurar el cicle de vida del desenvolupament.
La majoria de les proves descrites en aquestes seccions es poden executar com a proves rutinàries. Tanmateix, la repetibilitat pot suposar costos en alguns casos i provocar interrupcions. Penseu amb cura en aquestes compensacions.
Proves que validen la pila tecnològica
Aquests són alguns exemples de tipus de proves i les seves àrees d'interès. Aquesta llista no és exhaustiva. Proveu tota la pila, inclosa la pila d'aplicacions, el front-end, el back-end, les API, les bases de dades i qualsevol integració externa.
- Seguretat de les dades: comproveu l'eficàcia del xifratge de dades i els controls d'accés per assegurar-vos que les dades estiguin correctament protegides contra l'accés no autoritzat i la manipulació.
- Xarxa i connectivitat: proveu els vostres tallafocs per assegurar-vos que només permeten el trànsit esperat, permès i segur a la càrrega de treball.
- Aplicació: proveu el codi font mitjançant tècniques de proves de seguretat d'aplicacions (AST) per assegurar-vos que seguiu les pràctiques de codificació segura i detectar errors en temps d'execució, com ara la corrupció de la memòria i els problemes de privilegis.
- Identitat: avalueu si les assignacions de rols i les comprovacions condicionals funcionen com s'ha previst.
Metodologia de prova
Hi ha molts Perspectives sobre metodologies de prova. Recomanem proves que permetin la caça d'amenaces simulant atacs del món real. Poden identificar possibles actors d'amenaça, les seves tècniques i les seves explotacions que suposen una amenaça per a la càrrega de treball. Feu que els atacs siguin el més realistes possible. Utilitzeu tots els vectors d'amenaces potencials que identifiqueu durant el modelatge d'amenaces.
Aquests són alguns dels avantatges de provar mitjançant atacs del món real:
- Quan feu que aquests atacs formen part de les proves rutinàries, utilitzeu una perspectiva exterior per comprovar la càrrega de treball i assegurar-vos que la defensa pot suportar un atac.
- A partir de les lliçons apreses, l'equip millora el seu nivell de coneixements i habilitats. L'equip millora la consciència de la situació i pot autoavaluar la seva disposició per respondre als incidents.
Alguns exemples de proves simulades inclouen proves de caixa negra i caixa blanca, proves de penetració i exercicis de jocs de guerra.
Proves de caixa negra i caixa blanca
Aquests tipus de proves ofereixen dos Perspectives diferents. A les proves de caixa negra, els elements interns del sistema no són visibles. A les proves de caixa blanca, el verificador té una bona comprensió de l'aplicació i fins i tot té accés al codi, registres, topologia de recursos i configuracions per dur a terme l'experiment.
Proves que simulen atacs mitjançant proves de penetració
Els experts en seguretat que no formen part dels equips de TI o d'aplicacions de l'organització fan proves de penetració o pentesting. Miren el sistema de la manera com els actors maliciosos abasten una superfície d'atac. El seu objectiu és trobar llacunes de seguretat recopilant informació, analitzant vulnerabilitats i informant dels resultats.
Els professionals poden necessitar accés a dades sensibles de tota l'organització. Seguiu les regles de participació per assegurar-vos que l'accés no s'utilitza malament. Consulteu els recursos que s'enumeren a Informació relacionada.
Proves que simulen atacs mitjançant exercicis de joc de guerra
En aquesta metodologia d'atacs simulats, hi ha dos equips:
- El vermell L'equip és l'adversari que intenta modelar atacs del món real. Si tenen èxit, trobareu buits en el vostre disseny de seguretat i avalueu la contenció del radi de l'explosió de les seves infraccions.
- El blau L'equip és l'equip de càrrega de treball que defensa dels atacs. Posen a prova la seva capacitat per detectar, respondre i corregir els atacs. Validen les defenses que s'han implementat per protegir els recursos de càrrega de treball.
Si es realitzen com a proves rutinàries, els exercicis de jocs de guerra poden proporcionar una visibilitat constant i la seguretat que les vostres defenses funcionen tal com estan dissenyades. Els exercicis de jocs de guerra poden provar-se a diferents nivells de les vostres càrregues de treball.
Una opció popular per simular escenaris d'atac realistes és el Microsoft Defender per Office 365 Entrenament de simulació d'atac.
Per a més informació, vegeu Estadístiques i informes per a l'entrenament de simulació d'atac.
Per obtenir informació sobre la configuració de l'equip vermell i l'equip blau, vegeu Microsoft Cloud Red Teaming.
Power Platform facilitació
Microsoft La solució Sentinel permet Microsoft Power Platform als clients detectar diverses activitats sospitoses, com ara:
- Power Apps Execució des de geografies no autoritzades
- Destrucció de dades sospitoses per part Power Apps
- Eliminació massiva de Power Apps
- Atacs de phishing realitzats a través de Power Apps
- Power Automate Activitat de fluxos per part dels empleats que surten
- Microsoft Power Platform connectors afegits a un entorn
- Actualització o supressió de polítiques de prevenció de pèrdua de Microsoft Power Platform dades
Per obtenir més informació, vegeu Microsoft Solució Sentinel per a una Microsoft Power Platform visió general.
Per obtenir documentació del producte, vegeu Capacitats de caça a Microsoft Sentinel.
Microsoft Defender for Cloud ofereix exploració de vulnerabilitats per a diverses àrees tecnològiques. Per obtenir més informació, vegeu Habilitar l'exploració de vulnerabilitats amb Microsoft Administració de vulnerabilitats del Defender.
La pràctica de DevSecOps integra les proves de seguretat com a part d'una mentalitat de millora contínua i contínua. Els exercicis de joc de guerra són una pràctica habitual que s'integra en el ritme dels negocis a Microsoft. Per obtenir més informació, vegeu Seguretat a DevOps (DevSecOps).
Azure DevOps admet eines de tercers que es poden automatitzar com a part dels pipelines d'integració/desplegament continu (CI/CD). Per obtenir més informació, vegeu Habilitar DevSecOps amb Azure i GitHub.
Informació relacionada
Es poden trobar les darreres proves de proveïment i valoracions de seguretat al Portal de confiança de servei de Microsoft.
Microsoft realitza proves exhaustives del Serveis al núvol de Microsoft. Aquestes proves inclouen proves de penetració, amb resultats publicats al portal de confiança de serveis de la vostra organització. La vostra organització pot realitzar la vostra pròpia prova de penetració en Microsoft Power Platform serveis Microsoft Dynamics 365. Totes les proves de penetració han de seguir les regles de participació de les proves de penetració al núvol Microsoft. És important recordar que en molts casos, el Microsoft Cloud utilitza una infraestructura compartida per allotjar els teus actius i actius pertanyents a altres clients. Heu de limitar totes les proves de penetració als vostres actius i evitar conseqüències no desitjades per a altres clients que us envolten.
Seguiu les regles d'interacció per assegurar-vos que l'accés no s'utilitzi indegudament. Per obtenir orientació sobre la planificació i l'execució d'atacs simulats, vegeu:
Podeu simular atacs de denegació de servei (DoS) a Azure. Assegureu-vos de seguir les polítiques establertes a Azure Proves de simulació de protecció DDoS.
Llista de comprovació de seguretat
Consulteu el conjunt complet de recomanacions.