Microsoft Azure 安全基礎知識包括記錄對安全事件的響應、使用標識訪問管理工具、對用戶進行身份驗證、利用自動化工具、加密數據以及使用防火墻。

規劃和制定安全事件的策略

組織應記錄他們在安全事件發生之前如何響應這些事件，以及之后將如何恢復。這應該在組織訂閱任何云安全服務之前完成。Microsoft Azure 建議組織采用業務連續性和災難恢復 （BCDR） 策略。Microsoft Azure 提供了可確保云環境安全的服務和建議的做法，并在恢復過程中提供幫助。

密碼策略實施是要求密碼具有一定復雜性和特定生命周期的做法。借助 Microsoft Azure 的 SQL Server，組織可以強制要求用戶的密碼符合這些預設要求。這使得黑客更難獲得或使用憑據。

Azure 備份是一項服務，允許組織備份整個虛擬機 （VM）、Azure 文件共享、SQL Server 數據庫和 SAP HANA 數據庫。如果由于環境因素或攻擊而從一個數據中心丟失數據，數據仍存在于其他地方以進行恢復。

Azure Site Recovery 是 BCDR 策略的主要貢獻者。當由于 DDoS 攻擊或數據中心內的問題而發生中斷時，Site Recovery 會使應用和工作負載在未受影響的輔助位置運行。這是分布式云基礎架構的一個示例。主位置再次開始運行后，它將再次接收工作負載。發生攻擊時，將站點恢復作為選項意味著組織的客戶不會看到服務中斷。

使用身份訪問管理和身份驗證工具

組織可以使用身份訪問管理 （IAM） 工具以及身份驗證和授權工具來確保用戶是他們聲稱的身份，并授予他們某些權限。用于此目的的 Microsoft Azure 服務包括 Azure 應用服務、基于角色的訪問控制 （RBAC） 和通過 Microsoft 身份驗證器進行的多重身份驗證 （MFA）。

Azure 應用服務具有內置的身份驗證和授權支持，使用戶能夠從 Web 應用、RESTful API、移動后端或 Azure 函數登錄和訪問數據，幾乎不需要代碼。此外，它還提供安全的身份驗證和授權實用程序，可用于聯合身份驗證、加密、JSON Web 令牌管理和授權類型。

RBAC 是根據最小特權原則執行的常見做法。這個想法是向用戶（在本例中為員工）授予最低級別的訪問權限，以便他們有效地執行其工作。RBAC 以可自定義的方式將角色分配給用戶。這些角色確定用戶的訪問級別，并作為策略強制執行。

Azure Active Directory 是一種基于云的 IAM 和單點登錄 （SSO） 服務，適用于 Office 365 等 Microsoft 應用程序。Azure Active Directory 中針對標識和安全性提供的功能包括身份驗證、條件訪問、標識治理、標識保護、托管標識、特權標識管理以及報表和監視。這有助于 Microsoft Azure 云安全，因為如果憑據被盜，對數據和云資源的訪問量將受到限制，并且風險會降低。

監控云環境

當組織在其云環境中存在盲點時，它就缺乏正確保護自己的能力。一種良好的安全方法是使用能夠查看整個環境并報告其檢測到的內容的服務。Microsoft Azure 的一些監視服務是 Azure 安全中心和 Azure 應用服務。

Azure 安全中心為云資源提供可見性和控制力，使組織能夠檢測和響應威脅。此服務監視云資源，并提供報告，建議管理部門可以采取哪些措施來解決任何異常情況。

Azure Monitor 提供對 Azure 基礎結構和單個 Azure 資源中數據的可見性。

利用自動化實現安全的 Azure

組織應該利用自動化工具來接管數據分析等困難且耗時的工作。

Microsoft Azure的許多安全服務都是自動化的，特別是那些專門用于監控云環境和實施策略的服務。這方面的一個例子是應用程序見解。

應用程序見解是一項應用程序性能管理服務。它可幫助開發人員監視生產中的應用程序，并立即報告彈出的性能異常。

使用加密和防火墻

網絡安全最基本的方面之一是使用加密和防火墻。借助 Microsoft Azure，組織有機會使用 Web 應用程序防火墻、靜態和傳輸中加密以及 Azure 密鑰保管庫以及其他安全功能。

Microsoft Azure 的 Web 應用程序防火墻 （WAF） 是其 Azure Application Gateway 的一部分。WAF 使用網關保護 Web 應用程序，以實現應用程序交付控制功能。由于 WAF 是基于云的，因此它是保護 Web 應用程序的集中式方法。WAF 基于開放 Web 應用程序安全項目 （OWASP） 制定的規則，并在新漏洞明顯時自動更新。

Azure 存儲能夠在數據處于靜態或傳輸過程中使用加密來保護數據。靜態數據是位于存儲中的數據，而傳輸中的數據是通過網絡連接發送的數據。這對組織很有幫助，因為它可以滿足始終加密數據的基本需求。

Azure 密鑰保管庫是一個硬件安全模塊 （HSM），用于存儲加密密鑰和關鍵機密。在這種情況下，秘密是組織想要嚴格控制訪問的任何數據。例如，密鑰可以是 API 密鑰、密碼或證書。Azure 密鑰保管庫使用的硬件已通過 FIPS 140-2 級別 2 設備標準的認證。加密密鑰加密和解密數據，尤其是在發送或接收數據之后。通過擁有保留組織機密和密鑰的安全硬件，密鑰本身將受到保護。如果沒有受保護的密鑰，加密和身份驗證功能將變得無效，因為擁有加密密鑰的攻擊者可以輕松解密數據。

Azure 安全關鍵要點總結：

• 組織應該有一個計劃來保護他們的云實例，并在受到攻擊時做出響應。
• IAM 是緩解有意或無意操縱數據和云資源的關鍵。
• 可見性意味著減少安全系統中薄弱環節的一切。
• 自動化對于節省時間和提高安全實踐效率至關重要。
• 防火墻可防止黑客訪問數據存儲位置，而加密可防止黑客訪問數據本身。