Як ми захищаємо ваші дані в Azure AD

Вітаю!

За останні роки хмарні служби неодноразово ставали мішенню для зловмисників. У нас часто питають, як саме ми захищаємо особисті дані клієнтів. Тому в сьогоднішньому блозі я детально розповім, як ми слідкуємо за безпекою клієнтської інформації в Azure AD.

Захист служби та центру обробки даних

Почнімо з наших центрів обробки даних. По-перше, ми ретельно перевіряємо біографії всіх, хто працює в центрі обробки даних Microsoft. Доступ до приміщень чітко регламентовано, а кожний вхід і вихід персоналу контролюється. У цих центрах стоять стійки з критично важливими серверами Azure AD, де зберігаються дані клієнтів. Фізичний доступ до них суворо обмежений, а в приміщеннях ведеться цілодобове відеоспостереження. Крім того, коли сервер виводиться з експлуатації, усі його диски логічно й фізично знищуються, щоб уникнути витоку даних.

Доступ до служб Azure AD має обмежене коло працівників – і навіть вони повинні щодня отримувати спеціальні права на підключення до системи. Щоб підтвердити особу та відправити запит, їм потрібно пройти багатофакторну автентифікацію за допомогою смарт-карти. Щойно запит схвалено, користувач отримує потрібні права на обмежений час. Коли час сплине, права автоматично скасовуються, а щоб продовжити роботу, потрібно пройти всю процедуру спочатку.

Отримавши права, користувач підключається до системи з керованої робочої станції адміністратора (відповідно до інструкцій щодо привілейованого доступу з робочої станції). Ця процедура вимагаються політикою, і її дотримання ретельно відстежується. На робочих станціях використовується фіксований образ, а все програмне забезпечення повністю кероване. Щоб звести до мінімуму можливі ризики, на станції доступний лише обмежений набір дій. Користувач не зможе випадково обійти обмеження робочої станції адміністратора, оскільки не має адміністративних прав. Для додаткового захисту доступ до робочих станцій можна отримати лише за смарт-картами, які видаються обмеженому колу користувачів.

Нарешті, у нас є кілька (менше п’яти) “аварійних” облікових записів. Вони використовуються лише в надзвичайних ситуаціях і захищені багатоетапними “аварійними” процедурами. Робота з цими обліковими записами суворо відстежується, а після кожного входу в них система генерує оповіщення.

Виявлення загроз

Ми регулярно – кожні кілька хвилин – проводимо ряд автоматичних перевірок, щоб переконатися, що все працює як слід, навіть коли додаємо нові функції для клієнтів.

• Виявлення порушень безпеки. Ми перевіряємо систему на наявність сценаріїв, які можуть свідчити про порушення безпеки. Набір сценаріїв регулярно поповнюється. У нас навіть є автоматизовані тести, які запускають ці сценарії, щоб перевірити, чи правильно працює логіка виявлення порушень.
  
• Тестові атаки. Їх ми проводимо постійно. Під час тестових атак робиться все можливе, щоб порушити конфіденційність служби. Якщо якась з атак завершиться вдало, ми зможемо миттєво визначити вразливість у захисті та виправити її.
  
• Аудит. Усі адміністративні операції реєструються в журналі. Усі незвичні дії (наприклад, коли адміністратор створює обліковий запис із правами) генерують оповіщення, які ми ретельно вивчаємо.
  

Ми казали, що шифруємо всі ваші дані в Azure AD? Так і є. Усі ідентифікаційні дані, що зберігаються в Azure AD, шифруються за допомогою BitLocker. А як щодо операцій? Вони теж шифруються! Усі API в Azure AD працюють на базі веб-ресурсів і використовують SSL через HTTPS для шифрування даних. На всіх серверах Azure AD налаштовано TLS 1.2. Для підтримки зовнішніх клієнтів ми дозволяємо вхідні з’єднання через TLS 1.1 і 1.0. Будь-які з’єднання через застарілі версії SSL, зокрема SSL 3.0 і 2.0, блокуються. Доступ до інформації обмежений авторизацією на основі маркерів, а дані кожного клієнта доступні тільки для дозволених у ньому облікових записів. Крім того, на наших внутрішніх API додано вимогу використовувати SSL-автентифікацію клієнт-сервер на базі довірених сертифікатів і ланцюжків видавання.

Прикінцеве слово

Azure AD можна отримати двома способами. Описані тут методи захисту та шифрування стосуються загальнодоступної версії служби, яка надається та керується корпорацією Майкрософт. Якщо вас цікавить захист в National Cloud копій служби, якими керують наші довірені партнери, звертайтеся до команд, що обслуговують ваші облікові записи.

Примітка. Запам’ятайте просте правило: якщо URL-адреса сторінки, на якій ви працюєте з онлайн-службами Microsoft, закінчуються на .com, дізнатися, як захищаються та шифруються ваші дані, можна у цьому дописі.

Безпека ваших даних – наш головний пріоритет, і ми ставимося до неї ДУЖЕ серйозно. Сподіваюся, що цей огляд був корисним, а ви, знаючи, як шифруються та захищаються ваші дані, будете спокійні за свою інформацію.

З повагою,

Aлекс Сімонс (Twitter: @Alex_A_Simons),

начальник відділу керування програмами,

відділення технологій ідентифікації, корпорація Майкрософт

[Остання редакція від 03.10.17: додано інформацію про використання різних версій протоколів TLS і SSL.]