Inleiding tot Azure beveiliging

Beveiliging is essentieel in de cloudomgeving van vandaag. Cyberbedreigingen ontwikkelen zich voortdurend en beschermen van uw gegevens, toepassingen en infrastructuur vereist een uitgebreide, meerlaagse benadering. Beveiliging is cruciaal in de cloud, en je hebt accurate en tijdige informatie nodig over Azure-beveiliging.

Dit artikel bevat een uitgebreid overzicht van de beveiliging die beschikbaar is met Azure. Zie Beveiliging in Azure voor een end-to-end weergave van Azure beveiliging die is georganiseerd op basis van beveiligings-, detectie- en responsmogelijkheden.

diepgaande beveiligingsbenadering van Azure

Azure maakt gebruik van een diepgaande verdedigingsstrategie, die meerdere beveiligingslagen biedt voor de hele stack, van fysieke datacenters tot berekening, opslag, netwerken, toepassingen en identiteit. Deze meerlaagse aanpak zorgt ervoor dat als één laag wordt gecompromitteerd, extra lagen je middelen blijven beschermen.

De infrastructuur van Azure is vanaf de basis ontworpen, met alles van fysieke faciliteiten tot applicaties, om miljoenen klanten veilig tegelijk te hosten. Deze sterke basis helpt bedrijven om aan hun beveiligingseisen te voldoen. Zie Azure infrastructuurbeveiliging voor informatie over hoe Microsoft het Azure platform zelf beveiligt. Zie Azure fysieke beveiliging voor meer informatie over de beveiliging van fysieke datacenters.

Azure is een platform voor openbare cloudservices dat ondersteuning biedt voor een brede selectie van besturingssystemen, programmeertalen, frameworks, hulpprogramma's, databases en apparaten. Het kan Linux-containers uitvoeren met Docker-integratie; apps bouwen met JavaScript, Python, .NET, PHP, Java en Node.js; en back-ends bouwen voor iOS-, Android- en Windows-apparaten. Azure openbare cloudservices bieden ondersteuning voor dezelfde technologieën als miljoenen ontwikkelaars en IT-professionals vertrouwen al op en vertrouwen.

Ingebouwde platformbeveiliging

Azure biedt standaard beveiligingsmaatregelen die zijn ingebouwd in het platform waarmee u uw resources kunt beschermen vanaf het moment dat ze worden geïmplementeerd. Zie Azure platformbeveiligingsoverzicht voor uitgebreide informatie over de platformbeveiligingsmogelijkheden van Azure.

• Network Protection: Azure DDoS Protection beschermt uw resources automatisch tegen gedistribueerde denial-of-service-aanvallen.
• Versleuteling standaard: Data encryption at rest is standaard ingeschakeld voor Azure Storage, SQL Database en vele andere services.
• Identity Security: Microsoft Entra ID biedt veilige verificatie en autorisatie voor alle Azure services.
• Detectie van bedreigingen: ingebouwde detectie van bedreigingen monitort verdachte activiteiten in uw Azure-resources.
• Compliance: Azure onderhoudt het grootste complianceportfolio in de branche, zodat u aan wettelijke vereisten kunt voldoen.

Deze fundamentele beveiligingscontroles werken continu op de achtergrond om uw cloudinfrastructuur te beveiligen, zonder dat er extra configuratie is vereist voor basisbeveiliging.

Gedeelde verantwoordelijkheid in de cloud

Hoewel Azure sterke platformbeveiliging biedt, is beveiliging in de cloud een gedeelde verantwoordelijkheid tussen Microsoft en jou. De verdeling van verantwoordelijkheden is afhankelijk van uw implementatiemodel (IaaS, PaaS of SaaS):

• Microsoft's verantwoordelijkheid: Azure beveiligt de onderliggende infrastructuur, waaronder fysieke datacenters, hardware, netwerkinfrastructuur en het hostbesturingssysteem.
• Uw verantwoordelijkheid: u bent verantwoordelijk voor het beveiligen van uw gegevens, toepassingen, identiteiten en toegangsbeheer.

Elke workload en toepassing verschillen, met unieke beveiligingsvereisten op basis van branchevoorschriften, gegevensgevoeligheid en bedrijfsbehoeften. De geavanceerde beveiligingsdiensten van Azure voldoen aan deze eisen. Zie Gedeelde verantwoordelijkheid in de cloud voor meer informatie over het model voor gedeelde verantwoordelijkheid.

Geavanceerde beveiligingsservices voor elke workload

Om te voldoen aan uw unieke beveiligingsvereisten, biedt Azure een uitgebreide suite geavanceerde beveiligingsservices die u kunt configureren en aanpassen voor uw specifieke behoeften. Deze services zijn ingedeeld in zes functionele gebieden: Bewerkingen, Toepassingen, Opslag, Netwerken, Compute en Identiteit. Zie Azure beveiligingsservices en -technologieën voor een uitgebreide catalogus met beveiligingsservices en -technologieën.

Bovendien biedt Azure u een breed scala aan configureerbare beveiligingsopties en de mogelijkheid om deze te beheren, zodat u de beveiliging kunt aanpassen om te voldoen aan de unieke vereisten van de implementaties van uw organisatie. Dit document helpt u te begrijpen hoe Azure beveiligingsmogelijkheden u kunnen helpen aan deze vereisten te voldoen.

Zie de Microsoft-cloudbeveiligingsbenchmark voor een gestructureerde weergave van Azure beveiligingscontroles en basislijnen. Dit biedt uitgebreide beveiligingsrichtlijnen voor Azure-services.

Compute-beveiliging

Het beveiligen van uw virtuele machines en rekenresources is essentieel voor het beveiligen van uw workloads in Azure. Azure biedt meerdere lagen rekenbeveiliging, van hardwarebeveiliging tot op software gebaseerde bedreigingsdetectie. Zie Azure Virtuele Machines beveiligingsoverzicht voor gedetailleerde beveiligingsinformatie voor virtuele machines.

Vertrouwde start

Trusted launch is de standaardinstelling voor nieuw gemaakte generatie 2 Azure-VM's en Virtual Machine Scale Sets. Vertrouwde lancering beschermt tegen geavanceerde en permanente aanvalstechnieken, waaronder opstartkits, rootkits en malware op kernelniveau.

Vertrouwde start biedt:

• Secure Boot: Beschermt tegen installatie van malware-gebaseerde rootkits en bootkits door ervoor te zorgen dat alleen ondertekende besturingssystemen en drivers kunnen opstarten.
• vTPM (virtual Trusted Platform Module): Een speciale veilige kluis voor sleutels en metingen die attestatie en verificatie van opstartintegriteit mogelijk maakt.
• Boot Integrity Monitoring: Gebruikt attestation via Microsoft Defender voor Cloud om de integriteit van de bootchain te verifiëren en te waarschuwen bij storingen.

U kunt vertrouwde lancering inschakelen op bestaande VM's en Virtual Machine Scale Sets.

Azure Confidential Computing

Azure confidential computing biedt het laatste, ontbrekende stukje gegevensbescherming. Deze mogelijkheid stelt je in staat je gegevens versleuteld te houden terwijl je in rust, tijdens transport en in gebruik bent in het geheugen. Door Remote Attestation mogelijk te maken, kunt u ook cryptografisch controleren of de VIRTUELE machine die u hebt geïmplementeerd, veilig is opgestart en correct is geconfigureerd, voordat u uw gegevens ontgrendelt.

Het spectrum van opties varieert van het inschakelen van 'lift-and-shift'-scenario's van bestaande toepassingen tot volledige controle van beveiligingsfuncties. Voor IaaS (Infrastructure as a Service) kunt u het volgende gebruiken:

• Vertrouwelijke virtuele machines aangedreven door AMD SEV-SNP: Hardware-gebaseerde geheugenversleuteling met maximaal 256 GB versleuteld geheugen.
• Vertrouwelijke VM's met Intel TDX: Intel Trust Domain Extensions bieden verbeterde prestaties en beveiliging.
• Vertrouwelijke VM's met NVIDIA H100 GPU's: GPU-versnelde vertrouwelijke computing voor AI/ML-workloads.
• Vertrouwelijke applicatie-enclaves met Intel SGX: Applicatieniveau isolatie voor gevoelige code en data.

Voor PaaS (Platform as a Service) biedt Azure meerdere containergebaseerde opties voor vertrouwelijke computing, waaronder integraties met Azure Kubernetes Service (AKS).

Antimalware en antivirus

Met Azure IaaS kunt u antimalwaresoftware gebruiken van beveiligingsleveranciers zoals Microsoft, Symantec, Trend Micro, McAfee en Kaspersky om uw virtuele machines te beschermen tegen schadelijke bestanden, adware en andere bedreigingen. Microsoft Antimalware voor Azure Virtuele Machines is een beveiligingsmogelijkheid waarmee virussen, spyware en andere schadelijke software kunnen worden geïdentificeerd en verwijderd. Microsoft Antimalware biedt configureerbare waarschuwingen wanneer bekende schadelijke of ongewenste software probeert zichzelf te installeren of uit te voeren op uw Azure systemen. U kunt Microsoft Antimalware ook implementeren met behulp van Microsoft Defender voor Cloud.

Hardwarebeveiligingsmodule

Versleuteling en verificatie verbeteren de beveiliging niet, tenzij de sleutels zelf zijn beveiligd. U kunt het beheer en de beveiliging van uw kritieke geheimen en sleutels vereenvoudigen door ze op te slaan in Azure Key Vault. Key Vault biedt de mogelijkheid om uw sleutels op te slaan in HSM's (Hardware Security Modules) die zijn gecertificeerd voor FIPS 140-3 Niveau 3 standaarden. U kunt uw SQL Server versleutelingssleutels opslaan voor back-up of gebruiken met transparent gegevensversleuteling in Key Vault samen met sleutels of geheimen uit uw toepassingen. Microsoft Entra ID beheert machtigingen en toegang tot deze beveiligde items.

Zie Sleutelbeheer in Azure voor uitgebreide informatie over belangrijke beheeropties, waaronder Azure Key Vault, Beheerde HSM en Payment HSM.

Back-up van virtuele machine

Azure Backup is een oplossing waarmee uw toepassingsgegevens worden beschermd met nul kapitaalinvesteringen en minimale operationele kosten. Toepassingsfouten kunnen uw gegevens beschadigen en menselijke fouten kunnen fouten veroorzaken in uw toepassingen die kunnen leiden tot beveiligingsproblemen. Met Azure Backup worden uw virtuele machines waarop Windows en Linux worden uitgevoerd, beveiligd.

Azure Site Recovery

Een belangrijk onderdeel van de BCDR-strategie (Business Continuity/Disaster Recovery) van uw organisatie is het bepalen hoe zakelijke workloads en apps actief blijven wanneer geplande en ongeplande storingen optreden. Azure Site Recovery helpt bij het organiseren van replicatie, failover en herstel van workloads en apps, zodat deze beschikbaar zijn vanaf een secundaire locatie als uw primaire locatie uitvalt.

SQL VM TDE

Transparent Data Encryption (TDE) en versleuteling op kolomniveau (CLE) zijn SQL Server-versleutelingsfuncties. Voor deze vorm van versleuteling moet u de cryptografische sleutels beheren en opslaan die worden gebruikt voor versleuteling.

De Azure Key Vault (AKV)-service is ontworpen om de beveiliging en het beheer van deze sleutels op een veilige en maximaal beschikbare locatie te verbeteren. Met de SQL Server Connector kunnen SQL Server deze sleutels uit Azure Key Vault gebruiken.

Als u SQL Server uitvoert met on-premises machines, kunt u de stappen volgen om toegang te krijgen tot Azure Key Vault vanaf uw on-premises SQL Server exemplaar. Voor SQL Server in Azure VM's kunt u tijd besparen met behulp van de functie Azure Key Vault Integratie. Door enkele Azure PowerShell cmdlets te gebruiken om deze functie in te schakelen, kunt u de configuratie automatiseren die nodig is voor een SQL-VM om toegang te krijgen tot uw sleutelkluis.

Zie Azure controlelijst voor databasebeveiliging voor een uitgebreide lijst met aanbevolen procedures voor databasebeveiliging.

VM-schijfversleuteling

Voor moderne versleuteling van virtuele machines biedt Azure het volgende:

• Versleuteling op host: biedt end-to-end-versleuteling voor VM-gegevens, waaronder tijdelijke schijven en caches van besturingssysteem/gegevensschijven.
• Vertrouwelijke schijfversleuteling: beschikbaar met vertrouwelijke VM's voor hardwaregebaseerde versleuteling.
• Versleuteling aan de serverzijde met door de klant beheerde sleutels: Beheer uw eigen versleutelingssleutels via Azure Key Vault of Azure Key Vault Beheerde HSM.

Zie Overview van opties voor versleuteling van beheerde schijven voor meer informatie.

Virtueel netwerk

Virtuele machines hebben netwerkconnectiviteit nodig. Om deze vereiste te ondersteunen, moeten Azure virtuele machines zijn verbonden met een Azure Virtual Network. Een Azure Virtual Network is een logische constructie die is gebouwd op de fysieke Azure netwerkinfrastructuur. Elke logische Azure Virtual Network is geïsoleerd van alle andere Azure Virtuele netwerken. Deze isolatie zorgt ervoor dat netwerkverkeer in uw implementaties niet toegankelijk is voor andere Microsoft Azure klanten.

Patchupdates

Patchupdates bieden de basis voor het vinden en oplossen van potentiële problemen en vereenvoudigen het beheerproces voor software-updates. Ze verminderen het aantal software-updates dat u in uw onderneming moet implementeren en vergroten uw vermogen om naleving te bewaken.

Beheer en rapportage van beveiligingsbeleid

Defender voor Cloud helpt u bedreigingen te voorkomen, te detecteren en erop te reageren. Het biedt u meer inzicht in en controle over de beveiliging van uw Azure resources. Het biedt geïntegreerde beveiligingsbewaking en beleidsbeheer voor uw Azure abonnementen. Het helpt bedreigingen te detecteren die anders onopgemerkt kunnen worden en werkt met een breed ecosysteem van beveiligingsoplossingen.

Toepassingsbeveiliging

Toepassingsbeveiliging is gericht op het beveiligen van uw toepassingen tegen bedreigingen gedurende hun levenscyclus, van ontwikkeling tot implementatie en runtime. Azure biedt uitgebreide hulpprogramma's voor het veilig ontwikkelen, testen en beveiligen van toepassingen. Zie Ontwikkeling van beveiligde toepassingen op Azure voor richtlijnen voor het ontwikkelen van beveiligde toepassingen. Zie PaaS-implementaties beveiligen voor specifieke beveiligingsprocedures. Zie Beveiligingsprocedures voor IaaS-workloads in Azure voor beveiliging van IaaS-implementaties.

Penetratietests

Microsoft voert geen penetratietests van uw toepassing uit, maar begrijpt dat u wilt en moet testen op uw eigen toepassingen. U hoeft Microsoft niet langer op de hoogte te stellen van penetratietestactiviteiten, maar u (of een geautoriseerde derde partij die namens u tests uitvoert) moet zich nog steeds houden aan de Microsoft Cloud Unified Penetration Testing Rules of Engagement.

Web Application Firewall

De Web Application Firewall (WAF) in Azure Application Gateway beschermt webtoepassingen tegen veelvoorkomende webaanvallen, zoals SQL-injectie, cross-site scripting en sessiekaaping. Het is vooraf geconfigureerd om bescherming te bieden tegen de tien belangrijkste kwetsbaarheden die worden geïdentificeerd door het Open Web Application Security Project (OWASP).

Verificatie en autorisatie in Azure App Service

App Service Authentication of Authorization is een functie die je applicatie een manier biedt om gebruikers in te loggen, zodat je de code in de backend van de app niet hoeft te wijzigen. Het biedt een eenvoudige manier om uw toepassing te beveiligen en te werken met gegevens per gebruiker.

Gelaagde beveiligingsarchitectuur

Aangezien App Service Environments een geïsoleerde runtime-omgeving bieden die is geïmplementeerd in een Azure Virtual Network, kunnen ontwikkelaars een gelaagde beveiligingsarchitectuur maken die verschillende netwerktoegangsniveaus biedt voor elke toepassingslaag. Het is gebruikelijk om API-backends te verbergen voor algemene toegang vanaf het internet en alleen toe te staan dat API's worden aangeroepen door bovenliggende webapps. U kunt Network Security Groups (NSG's) gebruiken op Azure Virtual Network subnetten met App Service Environments om de openbare toegang tot API-toepassingen te beperken.

App Service-webapps bieden sterke diagnostische mogelijkheden voor het vastleggen van logs van zowel de webserver als de webapplicatie. Deze diagnostische gegevens zijn onderverdeeld in webserverdiagnose en toepassingsdiagnose. Webserverdiagnose omvat aanzienlijke vooruitgang voor het diagnosticeren en oplossen van problemen met sites en toepassingen.

De eerste nieuwe functie is realtime statusinformatie over toepassingsgroepen, werkprocessen, sites, toepassingsdomeinen en actieve aanvragen. De tweede nieuwe functie is de gedetailleerde traceringsgebeurtenissen waarmee een aanvraag wordt bijgehouden tijdens het volledige proces voor aanvragen en antwoorden.

Als u de verzameling van deze traceringsevenementen wilt inschakelen, kunt u IIS 7 configureren om automatisch uitgebreide traceringslogboeken in XML-indeling vast te leggen voor specifieke aanvragen. De verzameling kan afhangen van verstreken tijd of foutresponscodes.

Opslagbeveiliging

Opslagbeveiliging is essentieel voor het beveiligen van uw gegevens in rust en tijdens overdracht. Azure biedt meerdere lagen versleuteling, toegangsbeheer en bewakingsmogelijkheden om ervoor te zorgen dat uw gegevens veilig blijven. Zie Azure versleutelingsoverzicht voor gedetailleerde informatie over gegevensversleuteling. Zie Sleutelbeheer in Azure voor opties voor sleutelbeheer. Zie Azure best practices voor gegevensbeveiliging en -versleuteling voor versleutelingsrichtlijnen.

Azure op rollen gebaseerd toegangsbeheer (Azure RBAC)

U kunt uw opslagaccount beveiligen met behulp van Azure op rollen gebaseerd toegangsbeheer (Azure RBAC). Als u beveiligingsbeleid voor gegevenstoegang wilt afdwingen, beperkt u de toegang op basis van de noodzaak om beveiligingsprincipes met minimale bevoegdhedente kennen. Verdeel deze toegangsrechten door de juiste Azure rol toe te wijzen aan groepen en toepassingen binnen een bepaald bereik. Gebruik Azure ingebouwde rollen, zoals Inzender voor opslagaccounts, om bevoegdheden toe te wijzen aan gebruikers. U kunt de toegang tot de opslagsleutels voor een opslagaccount beheren met behulp van het model Azure Resource Manager via Azure RBAC.

Gedeelde Toegangssignatuur

Een SAS (Shared Access Signature; handtekening voor gedeelde toegang) biedt gedelegeerde toegang tot bronnen in uw opslagaccount. Met behulp van de SAS kunt u een client beperkte machtigingen verlenen aan objecten in uw opslagaccount voor een opgegeven periode en met een opgegeven set machtigingen. Verdeel deze beperkte machtigingen zonder dat u de toegangssleutels van uw account hoeft te delen.

Versleuteling tijdens het transport

Versleuteling tijdens overdracht is een mechanisme voor het beveiligen van gegevens wanneer deze via netwerken worden verzonden. Met Azure Storage kunt u gegevens beveiligen met behulp van:

• Versleuteling op transportniveau, zoals HTTPS wanneer u gegevens overdraagt naar of uit Azure Storage.

• Wire encryption, zoals SMB 3.0-versleuteling voor Azure-bestandsshares.

• Versleuteling aan de clientzijde om de gegevens te versleutelen voordat ze worden overgebracht naar de opslag en om de gegevens te ontsleutelen nadat deze buiten de opslag zijn overgebracht.

Versleuteling van gegevens in rusttoestand

Voor veel organisaties is data-encryptie in rust een verplichte stap richting gegevensprivacy, naleving en datasoevereiniteit. Drie Azure opslagbeveiligingsfuncties versleutelen data in rust:

• Storage service-encryptie versleutelt data automatisch wanneer deze naar Azure Storage wordt geschreven.

• Client-sideversleuteling voor blobs biedt ook versleuteling van opgeslagen gegevens.

Opslaganalyse

Azure Opslaganalyse voert logboekregistratie uit en levert metrische gegevens voor een opslagaccount. U kunt deze gegevens gebruiken om aanvragen te traceren, gebruikstrends te analyseren en problemen met uw opslagaccount vast te stellen. Opslaganalyse registreert gedetailleerde informatie over geslaagde en mislukte aanvragen voor een opslagservice. U kunt deze informatie gebruiken om afzonderlijke aanvragen te bewaken en problemen met een opslagservice vast te stellen. Aanvragen worden vastgelegd op basis van best effort. De volgende typen geverifieerde aanvragen worden geregistreerd:

• Geslaagde aanvragen.
• Mislukte aanvragen, waaronder time-out, beperking, netwerk, autorisatie en andere fouten.
• Aanvragen die gebruikmaken van een Shared Access Signature (SAS), inclusief mislukte en geslaagde aanvragen.
• Aanvragen voor analysegegevens.

Schakel browsergebaseerde clients in met CORS

Cross-Origin Resource Sharing (CORS) is een mechanisme waarmee domeinen elkaar toestemming kunnen geven voor toegang tot elkaars resources. De gebruikersagent verzendt extra headers om ervoor te zorgen dat de JavaScript-code die vanuit een bepaald domein is geladen, toegang heeft tot resources die zich in een ander domein bevinden. Het laatstgenoemde domein beantwoordt vervolgens met extra headers die toegang tot zijn resources voor het oorspronkelijke domein toestaan of weigeren.

Azure opslagservices bieden nu ondersteuning voor CORS. Zodra u de CORS-regels voor de service hebt ingesteld, wordt een correct geverifieerde aanvraag voor de service van een ander domein geëvalueerd om te bepalen of deze is toegestaan volgens de regels die u opgeeft.

Netwerkbeveiliging

Netwerkbeveiliging bepaalt hoe verkeer van en naar uw Azure resources stroomt. Azure biedt een uitgebreide set netwerkbeveiligingsservices, van basisfirewalling tot geavanceerde bedreigingsbeveiliging en wereldwijde taakverdeling. Zie Azure netwerkbeveiligingsoverzicht voor uitgebreide informatie over netwerkbeveiliging. Raadpleeg Azure best practices voor netwerkbeveiliging voor richtlijnen op het gebied van netwerkbeveiliging.

Besturingselementen voor netwerklagen

Netwerktoegangsbeheer is het beperken van de connectiviteit van en naar specifieke apparaten of subnetten en vertegenwoordigt de kern van netwerkbeveiliging. Het doel van netwerktoegangsbeheer is ervoor te zorgen dat uw virtuele machines en services alleen toegankelijk zijn voor gebruikers en apparaten die u autoriseert.

Netwerkbeveiligingsgroepen

Een netwerkbeveiligingsgroep (NSG) is een eenvoudige stateful pakketfilterfirewall. Hiermee kunt u de toegang beheren door middel van een vijfvoudige combinatie. NSG's bieden geen inspectie van toepassingslagen of geverifieerde toegangsbeheer. Je kunt ze gebruiken om verkeer te controleren dat beweegt tussen subnetten binnen een Azure Virtual Network en verkeer tussen een Azure Virtual Network en het internet.

Azure Firewall

Azure Firewall is een cloudeigen en intelligente netwerkfirewallbeveiligingsservice die beveiliging tegen bedreigingen biedt voor uw cloudworkloads die worden uitgevoerd in Azure. Het is een volledige stateful firewall als een service met ingebouwde hoge beschikbaarheid en onbeperkte cloudschaalbaarheid. Het biedt zowel oost-west- als noord-zuid verkeersinspectie.

Azure Firewall wordt aangeboden in drie SKU's: Basic, Standard en Premium:

• Azure Firewall Basic - Ontworpen voor kleine en middelgrote bedrijven, die essentiële bescherming bieden tegen een betaalbare prijs.
• Azure Firewall Standard - Biedt L3-L7 filtering, dreigingsinformatiefeeds van Microsoft en kan schalen tot 30 Gbps.
• Azure Firewall Premium - Advanced Threat Protection voor zeer gevoelige en gereglementeerde omgevingen met:
  • TLS-inspectie: ontsleutelt uitgaand verkeer, verwerkt het voor bedreigingen en versleutelt vervolgens opnieuw voordat het naar de bestemming wordt verzonden.
  • IDPS (Inbraakdetectie en preventiesysteem): op handtekeningen gebaseerde IDPS met meer dan 67.000 handtekeningen in meer dan 50 categorieën, dagelijks bijgewerkt met 20-40+ nieuwe regels.
  • URL-filtering: breidt FQDN-filtering uit om rekening te houden met het hele URL-pad.
  • Geavanceerde webcategorieën: verbeterde categorisatie op basis van volledige URL's voor zowel HTTP- als HTTPS-verkeer.
  • Verbeterde prestaties: Schaalt tot 100 Gbps met ondersteuning voor 10 Gbps "fat flow".
  • PCI DSS-naleving: voldoet aan de vereisten voor data security standard voor de betaalkaartindustrie.

Azure Firewall Premium is essentieel voor de bescherming tegen ransomware, omdat het in staat is om Command and Control (C&C) connectiviteit te detecteren en te blokkeren die door ransomware wordt gebruikt om versleutelingssleutels op te halen. Meer informatie over ransomware-beveiliging met Azure Firewall.

DDoS-beveiliging Azure

Azure DDoS Protection, gecombineerd met best practices voor het ontwerpen van toepassingen, biedt verbeterde functies ter bescherming tegen DDoS-aanvallen. Azure DDoS Protection stemt automatisch de bescherming af voor je specifieke Azure-bronnen in een virtueel netwerk. Het inschakelen van beveiliging is eenvoudig op elk nieuw of bestaand virtueel netwerk en vereist geen wijzigingen in uw toepassingen of resources.

Azure DDoS Protection biedt twee lagen: DDoS-netwerkbeveiliging en DDoS IP-beveiliging.

• DDoS-netwerkbeveiliging : biedt verbeterde functies voor bescherming tegen DDoS-aanvallen (Distributed Denial of Service). Het werkt op netwerklagen 3 en 4 en omvat geavanceerde functies zoals DDoS rapid response support, cost protection en kortingen op Web Application Firewall (WAF).

• DDoS IP-bescherming - Gebruikt een betaal-per-beschermd-IP-model. Het bevat dezelfde kerntechnische functies als DDoS Network Protection, maar biedt niet de extra diensten zoals DDoS rapid response support, kostenbescherming en WAF-kortingen.

Routebeheer en geforceerde tunneling

De mogelijkheid om routeringsgedrag op uw Azure Virtuele netwerken te beheren, is een essentiële mogelijkheid voor netwerkbeveiliging en toegangsbeheer. Als u er bijvoorbeeld voor wilt zorgen dat al het verkeer van en naar uw Azure Virtual Network via dat virtuele beveiligingsapparaat gaat, moet u het routeringsgedrag kunnen beheren en aanpassen. U kunt deze controle en aanpassing uitvoeren door User-Defined Routes in Azure te configureren.

User-Defined Routes kunt u binnenkomende en uitgaande paden aanpassen voor verkeer dat wordt verplaatst naar en van afzonderlijke virtuele machines of subnetten om de veiligste route mogelijk te maken. Gedwongen tunnelen is een mechanisme dat je kunt gebruiken om ervoor te zorgen dat je diensten geen verbinding mogen maken met apparaten op het internet.

Deze beperking verschilt van het accepteren van binnenkomende verbindingen en het beantwoorden ervan. Front-end webservers moeten reageren op verzoeken van internethosts. Dus internetverkeer mag binnenkomen naar deze webservers en de webservers kunnen reageren.

Vaak wordt geforceerd tunnelen gebruikt om uitgaand verkeer naar het internet via on-premises beveiligingsproxies en firewalls te laten gaan.

Virtuele netwerkbeveiligingsapparaten

Hoewel netwerkbeveiligingsgroepen, User-Defined routes en geforceerde tunneling u een beveiligingsniveau bieden op de netwerk- en transportlagen van het OSI-model, kan het voorkomen dat u beveiliging op hogere niveaus van de stack wilt inschakelen. U hebt toegang tot deze verbeterde netwerkbeveiligingsfuncties met behulp van een Azure partneroplossing voor netwerkbeveiligingsapparaten. U vindt de meest recente Azure netwerkbeveiligingsoplossingen van partners door naar de Azure Marketplace te gaan en te zoeken naar security en network security.

Azure Virtueel Netwerk

Een Azure virtueel netwerk (VNet) is een weergave van uw eigen netwerk in de cloud. Het is een logische isolatie van de Azure netwerkinfrastructuur die is toegewezen aan uw abonnement. U kunt de IP-adresblokken, DNS-instellingen, beveiligingsbeleidsregels en routetabellen binnen dit netwerk volledig beheren. U kunt uw VNet segmenteren in subnetten en Azure virtuele IaaS-machines (VM's) op Azure virtuele netwerken plaatsen.

Daarnaast kunt u het virtuele netwerk verbinden met uw on-premises netwerk met behulp van een van de connectiviteitsopties beschikbaar in Azure. In wezen kunt u uw netwerk uitbreiden naar Azure, met volledige controle over IP-adresblokken met het voordeel van enterprise scale Azure biedt.

Azure netwerken ondersteunen verschillende scenario's voor veilige externe toegang. Enkele van deze scenario's zijn:

• Afzonderlijke werkstations verbinden met een Azure Virtual Network

• Verbind het on-premises netwerk met een Azure Virtual Network met een VPN

• Verbind het lokale netwerk met een Azure Virtual Network met een speciale WAN-verbinding

• Azure-virtuele netwerken met elkaar verbinden

Azure Virtual Network Manager

Azure Virtual Network Manager biedt een gecentraliseerde oplossing voor het beheren en beveiligen van uw virtuele netwerken op schaal. Er worden beveiligingsbeheerdersregels gebruikt om beveiligingsbeleid centraal te definiëren en af te dwingen binnen uw hele organisatie. Beveiligingsbeheerdersregels hebben voorrang op NSG-regels (network security group) en worden toegepast op het virtuele netwerk. Met deze prioriteit kunnen organisaties kernbeleid afdwingen met beveiligingsbeheerdersregels, terwijl downstreamteams nog steeds NSG's kunnen aanpassen aan hun specifieke behoeften op het subnet- en NIC-niveau.

Afhankelijk van de behoeften van uw organisatie, gebruikt u regelacties toestaan, weigeren of Altijd toestaan om beveiligingsbeleid af te dwingen:

In Azure Virtual Network Manager kunt u met networkgroepen virtuele netwerken groeperen voor gecentraliseerd beheer en afdwingen van beveiligingsbeleid. Netwerkgroepen zijn een logische groepering van virtuele netwerken op basis van uw behoeften vanuit een topologie en beveiligingsperspectief. U kunt het lidmaatschap van het virtuele netwerk van uw netwerkgroepen handmatig bijwerken of u kunt voorwaardelijke instructies definiëren met Azure Policy om netwerkgroepen dynamisch bij te werken en het lidmaatschap van uw netwerkgroep automatisch bij te werken.

Azure Private Link

Azure Private Link stelt u in staat om toegang te krijgen tot Azure PaaS-diensten (bijvoorbeeld Azure Storage en SQL Database) en door Azure gehoste klant- of partnerdiensten privé in uw virtuele netwerk via een privé-endpoint. De opstelling en het gebruik via Azure Private Link zijn consistent tussen Azure PaaS, klantbeheerde en gedeelde partnerservices. Verkeer van uw virtuele netwerk naar de Azure-service blijft altijd op het Microsoft Azure backbone-netwerk.

Door gebruik te maken van private endpoints kun je je kritieke Azure-servicebronnen alleen beveiligen vanuit je virtuele netwerken. Azure Privé-eindpunt maakt gebruik van een privé-IP-adres van uw virtuele netwerk om u privé en veilig te verbinden met een service die wordt mogelijk gemaakt door Azure Private Link, waardoor de service effectief in uw virtuele netwerk wordt gebracht. Het beschikbaar maken van uw virtuele netwerk op het openbare internet is niet meer nodig om services op Azure te gebruiken.

U kunt ook uw eigen Private Link-service maken in uw virtuele netwerk. Azure Private Link-service is de referentie naar je eigen service die Azure Private Link aanstuurt. Je kunt je dienst die achter Azure Standard Load Balancer draait inschakelen voor Private Link toegang, zodat consumenten van je dienst er privé toegang toe kunnen krijgen vanuit hun eigen virtuele netwerken. Uw klanten kunnen een privé-eindpunt maken in hun virtuele netwerk en deze toewijzen aan deze service. Het blootstellen van je dienst aan het publieke internet is niet langer nodig om diensten op Azure te leveren.

VPN-poort

Als u netwerkverkeer tussen uw Azure Virtual Network en uw on-premises site wilt verzenden, moet u een VPN-gateway maken voor uw Azure Virtual Network. Een VPN-gateway is een type virtuele netwerkgateway waarmee versleuteld verkeer via een openbare verbinding wordt verzonden. U kunt vpn-gateways ook gebruiken om verkeer tussen Azure virtuele netwerken via de Azure netwerkinfrastructuur te verzenden.

ExpressRoute

ExpressRoute is een speciale WAN-verbinding die je helpt je on-premises netwerken uit te breiden naar de Microsoft cloud via een speciale privéverbinding die wordt gefaciliteerd door een connectiviteitsprovider.

Met ExpressRoute kunt u verbindingen tot stand brengen met Microsoft-cloudservices, zoals Microsoft Azure en Microsoft 365. Via een connectiviteitsprovider in een colocatiefaciliteit is connectiviteit mogelijk vanuit een any-to-any (IP VPN) netwerk, een point-to-point Ethernet-netwerk of een virtuele overlappende verbinding.

ExpressRoute-verbindingen lopen niet via het openbare internet en zijn veiliger dan VPN-gebaseerde oplossingen. Dit ontwerp maakt het mogelijk dat ExpressRoute-verbindingen meer betrouwbaarheid, hogere snelheden, lagere latenties en hogere beveiliging bieden dan typische verbindingen via het internet.

Applicatie-gateway

Microsoft Azure Application Gateway biedt een Application Delivery Controller (ADC) als dienst, met diverse laag 7 load balancing-mogelijkheden voor uw applicatie.

Application Gateway stelt je in staat de productiviteit van webfarms te optimaliseren door CPU-intensieve TLS-beëindiging over te dragen aan de Application Gateway (ook bekend als TLS-offload of TLS-bridging). Application Gateway biedt ook andere Layer 7-routeringsmogelijkheden, waaronder round-robin distributie van inkomend verkeer, cookie-gebaseerde sessieaffiniteit, URL-padgebaseerde routing en de mogelijkheid om meerdere websites achter één Application Gateway te hosten. Azure Application Gateway is een load balancer van laag 7.

Application Gateway biedt failover en prestatiegerichte routering voor HTTP-verzoeken tussen verschillende servers, of ze nu in de cloud of on-premises zijn.

Application Gateway biedt veel Application Delivery Controller (ADC)-functies, waaronder HTTP-load balancing, cookie-gebaseerde sessieaffiniteit, TLS-offload, aangepaste health probes, ondersteuning voor multi-site en vele andere.

Web Application Firewall

Web Application Firewall is een functie van Azure Application Gateway die webapplicaties beschermt die Application Gateway gebruiken voor standaard Application Delivery Control (ADC)-functies. Web Application Firewall beschermt deze tegen de meeste van de OWASP top 10 veelvoorkomende webproblemen.

• Beveiliging tegen SQL-injecties

• Bescherming tegen veelvoorkomende webaanvallen, zoals opdrachtinjectie, HTTP-aanvraagsmokkel, HTTP-antwoord splitsen en externe bestandsopname

• Beveiliging tegen schendingen van het HTTP-protocol

• Beveiliging tegen afwijkingen in HET HTTP-protocol, zoals ontbrekende host, gebruikersagent en accepteren van headers

• Beveiliging tegen bots, crawlers en scanners

• Detectie van veelvoorkomende onjuiste configuraties van toepassingen (bijvoorbeeld Apache, IIS)

Een gecentraliseerde WAF (Web Application Firewall) vereenvoudigt het beveiligingsbeheer en verbetert de beveiliging tegen webaanvallen. Het biedt betere bescherming tegen inbraakdreigingen en kan sneller reageren op beveiligingsdreigingen door bekende kwetsbaarheden centraal te patchen, in plaats van elke afzonderlijke webapplicatie te beveiligen. Je kunt bestaande applicatiegateways upgraden om een webapplicatiefirewall toe te voegen.

Azure Front Door

Azure Front Door is een wereldwijd, schaalbaar toegangspunt dat gebruikmaakt van het wereldwijde edge-netwerk van Microsoft om snelle, veilige en breed schaalbare webtoepassingen te maken. Front Door biedt:

• Globale taakverdeling: Verdeel verkeer over meerdere backends in verschillende regio's.
• Geïntegreerde Web Application Firewall: Bescherm tegen veelvoorkomende webkwetsbaarheden en aanvallen.
• DDoS-bescherming: Ingebouwde bescherming tegen distributed denial-of-service-aanvallen.
• SSL/TLS-offload: Gecentraliseerd certificaatbeheer en verkeersversleuteling.
• URL-gebaseerde routing: Route verkeer naar verschillende backends op basis van URL-patronen.

Front Door combineert levering van inhoud, toepassingsversnelling en beveiliging in één service.

Traffic Manager

Microsoft Azure Traffic Manager kunt u de distributie van gebruikersverkeer voor service-eindpunten in verschillende datacenters beheren. Service-eindpunten die Door Traffic Manager worden ondersteund, zijn onder andere Azure VM's, Web Apps en cloudservices. U kunt Traffic Manager ook gebruiken met externe, niet-Azure eindpunten.

Traffic Manager gebruikt het Domain Name System (DNS) om clientaanvragen naar het meest geschikte eindpunt te leiden op basis van een verkeersrouteringsmethode en de status van de eindpunten. Traffic Manager biedt een reeks verkeersrouteringsmethoden die aansluiten bij verschillende toepassingsbehoeften, eindpuntstatusbewaking en automatische failover. Traffic Manager is bestand tegen fouten, inclusief de fout van een hele Azure regio.

Azure Load Balancer

Azure Load Balancer levert hoge beschikbaarheid en netwerkprestaties aan uw toepassingen. Het is een Layer 4-load balancer (TCP, UDP) die binnenkomend verkeer distribueert tussen gezonde exemplaren van services die zijn gedefinieerd in een set met gelijke taakverdeling. U kunt Azure Load Balancer configureren voor:

• Verdeel het binnenkomend internetverkeer naar virtuele machines. Deze configuratie wordt openbare taakverdeling genoemd.

• Taakverdeling voor verkeer tussen virtuele machines in een virtueel netwerk, tussen virtuele machines in cloudservices of tussen on-premises computers en virtuele machines in een cross-premises virtueel netwerk. Deze configuratie wordt interne taakverdeling genoemd.

• Extern verkeer doorsturen naar een specifieke virtuele machine

Interne DNS

U kunt de lijst met DNS-servers beheren die worden gebruikt in een VNet in de Azure-portal of in het netwerkconfiguratiebestand. U kunt maximaal 12 DNS-servers toevoegen voor elk VNet. Wanneer u DNS-servers opgeeft, controleert u of u uw DNS-servers in de juiste volgorde voor uw omgeving opgeeft. Lijsten met DNS-servers werken niet volgens een round-robin-principe. Ze worden gebruikt in de volgorde die u opgeeft. Als de eerste DNS-server in de lijst bereikbaar is, gebruikt de client die DNS-server, ongeacht of de DNS-server goed functioneert of niet. Als u de DNS-servervolgorde voor uw virtuele netwerk wilt wijzigen, verwijdert u de DNS-servers uit de lijst en voegt u deze weer toe in de gewenste volgorde. DNS ondersteunt het beschikbaarheidsaspect van de beveiligings triad 'CIA'.

Azure DNS

Het Domain Name System of DNS is verantwoordelijk voor het vertalen (of omzetten) van een website of servicenaam naar het IP-adres. Azure DNS is een hostingservice voor DNS-domeinen en biedt naamomzetting met behulp van Microsoft Azure infrastructuur. Door uw domeinen in Azure te hosten, kunt u uw DNS-records beheren met dezelfde referenties, API's, hulpprogramma's en facturering als uw andere Azure-services. DNS ondersteunt het beschikbaarheidsaspect van de beveiligingstrias 'CIA'.

Azure Monitor registreert NSG's

U kunt de volgende categorieën voor diagnostisch logboeken inschakelen voor NSG's:

• Gebeurtenis: Bevat vermeldingen waarvoor NSG-regels worden toegepast op VM's en exemplaarrollen op basis van MAC-adres. De status voor deze regels wordt elke 60 seconden verzameld.

• Regelteller: bevat vermeldingen voor hoe vaak elke NSG-regel wordt toegepast om verkeer te weigeren of toe te staan.

Microsoft Defender voor Cloud

Microsoft Defender voor Cloud analyseert continu de beveiligingsstatus van uw Azure resources voor aanbevolen procedures voor netwerkbeveiliging. Wanneer Defender voor Cloud potentiële beveiligingsproblemen identificeert, worden er aanbevelingen gemaakt die u begeleiden bij het configureren van de benodigde besturingselementen om uw resources te versterken en te beveiligen.

Geavanceerde Containernetwerkdiensten (ACNS)

Advanced Container Networking Services (ACNS) is een uitgebreide suite die is ontworpen om de operationele efficiëntie van uw Azure Kubernetes Service (AKS)-clusters te verhogen. Het biedt geavanceerde beveiligings- en waarneembaarheidsfuncties, waarbij de complexiteit van het beheren van microservices-infrastructuur op schaal wordt aangepakt.

Deze functies zijn onderverdeeld in twee hoofdpijlers:

• Beveiliging: Voor clusters die Azure CNI Powered by Cilium gebruiken, bevatten netwerkbeleid volledig gekwalificeerde domeinnaam (FQDN) filtering om de complexiteit van het onderhouden van configuratie op te lossen.

• Waarneembaarheid: met deze functie van de Advanced Container Networking Services-suite beschikt u over de kracht van het besturingsvlak van Hubble voor zowel Cilium- als niet-Cilium Linux-gegevensvlakken, waardoor u beter inzicht hebt in netwerken en prestaties.

Beveiligingsbewerkingen en -beheer

Het beheren en bewaken van de beveiliging van uw Azure-omgeving is essentieel voor het handhaven van een sterke beveiligingspostuur. Azure biedt uitgebreide hulpprogramma's voor beveiligingsbewerkingen, detectie van bedreigingen en reactie op incidenten. Zie Azure overzicht van beveiligingsbeheer en bewaking voor gedetailleerde dekking van beveiligingsbeheer en bewaking. Zie Azure best practices voor operationele beveiliging voor aanbevolen procedures voor operationele beveiliging. Zie Azure operationeel beveiligingsoverzicht voor een uitgebreid overzicht van operationele beveiliging.

Microsoft Sentinel

Microsoft Sentinel is een schaalbare, cloudeigen SIEM-oplossing (Security Information and Event Management) en SOAR-oplossing (Security Orchestration, Automation and Response). Microsoft Sentinel biedt intelligente beveiligingsanalyses en bedreigingsinformatie in de hele onderneming, waarbij één oplossing wordt geboden voor aanvalsdetectie, zichtbaarheid van bedreigingen, proactieve opsporing en reactie op bedreigingen.

Microsoft Sentinel is nu beschikbaar in de Microsoft Defender-portal voor alle klanten, met een uniforme ervaring voor beveiligingsbewerkingen waarmee werkstromen worden gestroomlijnd en de zichtbaarheid wordt verbeterd. Dankzij de integratie met Security Copilot kunnen analisten communiceren met Microsoft Sentinel gegevens met behulp van natuurlijke taal, opsporingsquery's genereren en onderzoeken automatiseren voor snellere reactie op bedreigingen.

Microsoft Defender voor Cloud

Microsoft Defender voor Cloud helpt u bedreigingen te voorkomen, te detecteren en erop te reageren door u meer inzicht te geven in en controle te krijgen over de beveiliging van uw Azure resources. Microsoft Defender voor Cloud biedt geïntegreerd beveiligingsbewaking en beleidsbeheer voor uw Azure-abonnementen, helpt bedreigingen te detecteren die anders onopgemerkt kunnen worden en werkt met een breed ecosysteem van beveiligingsoplossingen.

Microsoft Defender voor Cloud biedt uitgebreide beveiliging met workloadspecifieke plannen, waaronder:

• Defender voor servers - Geavanceerde dreigingsbescherming voor Windows- en Linux-servers.
• Defender voor containers - Beveiliging voor containerapplicaties en Kubernetes.
• Defender for Storage - Dreigingsdetectie met malware-scanning en het ontdekken van gevoelige gegevens.
• Defender for Databases - Beveiliging voor Azure SQL, Azure Database for MySQL en PostgreSQL.
• Defender voor Foundry Tools - Runtime-bescherming voor Foundry Tools tegen jailbreakpogingen, datablootstelling en verdachte toegangspatronen.
• Defender CSPM - Cloud Security Posture Management met aanvalspadanalyse, beveiligingsgovernance en AI-beveiligingsbeheer.

Bovendien helpt Defender voor Cloud met beveiligingsbewerkingen door u één dashboard te bieden waarmee waarschuwingen en aanbevelingen worden weergegeven waarop u onmiddellijk kunt reageren. Integratie van beveiliging Copilot biedt door AI gegenereerde samenvattingen, herstelscripts en delegatiemogelijkheden om risicoherstel te versnellen.

Zie Azure threat protection voor uitgebreide mogelijkheden voor bedreigingsdetectie in Azure.

VM-schijfversleuteling

Standaard helpt versleuteling op de host u bij het versleutelen van uw schijven van virtuele IaaS-machines. Het biedt server-side encryptie op VM-hostniveau via AES 256-encryptie, die FIPS 140-2-compatibel is. Deze versleuteling vindt plaats zonder CPU-resources van de VM te verbruiken en biedt end-to-end-versleuteling voor tijdelijke schijven, caches van besturingssysteem-/gegevensschijven en gegevensstromen naar Azure Storage. Standaard gebruikt het platformbeheerde sleutels zonder extra configuratie. U kunt de oplossing desgewenst configureren met door de klant beheerde sleutels die zijn opgeslagen in Azure Key Vault of Azure Key Vault Beheerde HSM wanneer u uw eigen schijfversleutelingssleutels moet beheren en beheren. De oplossing zorgt ervoor dat alle data op de virtuele machinedisks in rust wordt versleuteld in je Azure-opslag. Zie Key-beheer in Azure voor meer informatie over opties voor sleutelbeheer.

Azure Resource Manager

Azure Resource Manager kunt u als groep met de resources in uw oplossing werken. U kunt alle resources voor uw oplossing implementeren, bijwerken of verwijderen in een enkele, gecoördineerde bewerking. U gebruikt een Azure Resource Manager-sjabloon voor implementatie en die sjabloon kan werken voor verschillende omgevingen, zoals testen, faseren en productie. Resource Manager biedt functies voor beveiliging, controle en taggen om u te helpen bij het beheren van uw resources na de implementatie.

Azure Resource Manager template-gebaseerde implementaties helpen de beveiliging van oplossingen die in Azure zijn geïmplementeerd te verbeteren, omdat je beveiligingscontrole-instellingen kunt integreren in gestandaardiseerde template-gebaseerde implementaties. Sjablonen verminderen het risico op beveiligingsconfiguratiefouten die kunnen plaatsvinden tijdens handmatige implementaties.

Application Insights

Application Insights is een flexibele APM-service (Application Performance Management) die is ontworpen voor webontwikkelaars. Application Insights stelt u in staat uw live webapplicaties te monitoren en automatisch prestatieproblemen te detecteren. Met behulp van krachtige analysehulpprogramma's kunt u problemen diagnosticeren en inzicht krijgen in gebruikersinteracties met uw apps. Application Insights bewaakt uw toepassing continu, van ontwikkeling tot testen en productie.

Application Insights genereert inzichtelijke grafieken en tabellen die piekmomenten van gebruikersactiviteiten, reactiesnelheid van apps en de prestaties van externe services die hierop afhankelijk zijn, zichtbaar maken.

Als er crashes, storingen of prestatieproblemen optreden, kun je de gegevens uitgebreid doorzoeken om de oorzaak te diagnosticeren. De dienst stuurt je e-mails als er wijzigingen zijn in de beschikbaarheid en prestaties van je app. Application Insight wordt dus een waardevol beveiligingshulpprogramma omdat het helpt bij de beschikbaarheid in de vertrouwelijkheid, integriteit en beschikbaarheidsbeveiliging.

Azure Monitor

Azure Monitor biedt visualisaties, query's, routering, waarschuwingen, automatisch schalen en automatisering voor gegevens uit zowel het Azure-abonnement (Activity Log) als elke afzonderlijke Azure resource (ResourceLogboeken). U kunt Azure Monitor gebruiken om u te waarschuwen over beveiligingsgebeurtenissen die worden gegenereerd in Azure logboeken.

Azure Monitor-logboeken

Azure Monitor logboeken biedt een IT-beheeroplossing voor zowel on-premises als cloudinfrastructuur van derden (zoals Amazon Web Services) naast Azure resources. Data van Azure Monitor kun je direct naar Azure Monitor-logs sturen, zodat je metrics en logs van je hele omgeving op één plek kunt zien.

Azure Monitor-logs kunnen een nuttig hulpmiddel zijn in forensische en andere beveiligingsanalyses, omdat het hulpmiddel je helpt snel door grote hoeveelheden beveiligingsgerelateerde vermeldingen te zoeken met een flexibele query-aanpak. Daarnaast kun je on-premises firewall- en proxylogs exporteren naar Azure en beschikbaar maken voor analyse door gebruik te maken van Azure Monitor-logs.

Azure Advisor

Azure Advisor is een gepersonaliseerde cloudconsultant waarmee u uw Azure implementaties kunt optimaliseren. Hiermee worden uw resourceconfiguratie- en gebruiksgegevens geanalyseerd. Vervolgens worden oplossingen aanbevolen om de performance te verbeteren, security en betrouwbaarheid van uw resources terwijl u op zoek bent naar mogelijkheden om uw totale Azure uitgaven te verlagen. Azure Advisor biedt beveiligingsaanbeveling, waardoor uw algehele beveiligingspostuur aanzienlijk kan worden verbeterd voor oplossingen die u in Azure implementeert. Deze aanbevelingen worden gedaan op basis van een beveiligingsanalyse die wordt uitgevoerd door Microsoft Defender voor Cloud.

Identiteits- en toegangsbeheer

Identiteit is de primaire beveiligingsperimeter in cloudcomputing. Het beveiligen van identiteiten en het beheren van de toegang tot resources is essentieel voor het beveiligen van uw Azure omgeving. Microsoft Entra ID biedt uitgebreide mogelijkheden voor identiteits- en toegangsbeheer. Zie Azure overzicht van identiteitsbeheer voor gedetailleerde informatie. Zie Azure best practices voor identiteitsbeheer en toegangsbeheer voor aanbevolen procedures voor identiteitsbeheer. Zie vijf stappen voor het beveiligen van uw identiteitsinfrastructuur voor hulp bij het beveiligen van uw identiteitsinfrastructuur.

Microsoft Entra ID

Microsoft Entra ID is de cloudservice voor identiteits- en toegangsbeheer van Microsoft. Het biedt:

• Single Sign-On (SSO): Gebruikers in staat stellen toegang te krijgen tot meerdere applicaties met één set inloggegevens.
• Multi-factor Authenticatie (MFA): Vereist meerdere vormen van verificatie om in te loggen.
• Voorwaardelijke toegang: Beheer de toegang tot middelen op basis van gebruiker, apparaat, locatie en risico.
• Identiteitsbescherming: Detecteer en reageer op identiteitsrisico's.
• Privileged Identity Management (PIM): Bied just-in-time bevoorrechte toegang tot Azure-bronnen.
• Identiteitsbeheer: Beheer de identiteitslevenscyclus en toegangsrechten.

Op rollen gebaseerd toegangsbeheer (RBAC)

Azure op rollen gebaseerd toegangsbeheer (RBAC) helpt u bij het beheren van wie toegang heeft tot Azure resources, wat ze met deze resources kunnen doen en tot welke gebieden ze toegang hebben. RBAC biedt gedetailleerd toegangsbeheer voor Azure resources, zodat u gebruikers alleen de rechten kunt verlenen die ze nodig hebben om hun taken uit te voeren.

Microsoft Entra Privileged Identity Management

Microsoft Entra Privileged Identity Management (PIM) stelt u in staat de toegang tot belangrijke resources in uw organisatie te beheren, controleren en bewaken. PIM biedt op tijd gebaseerde en op goedkeuring gebaseerde rolactivering om de risico's van overmatige, onnodige of misbruikte toegangsmachtigingen te beperken.

Beheerde identiteiten voor Azure resources

Beheerde identiteiten voor Azure-resources verschaffen Azure-services een automatisch beheerde identiteit in Microsoft Entra ID. Gebruik deze identiteit om te authenticeren bij elke service die ondersteuning biedt voor Microsoft Entra-authenticatie, zonder dat u referenties in uw code hoeft te hebben.

Patchupdates bieden de basis voor het vinden en oplossen van potentiële problemen en vereenvoudigen het beheerproces voor software-updates. Ze verminderen het aantal software-updates dat u in uw onderneming moet implementeren en vergroten uw vermogen om naleving te bewaken.

Beheer en rapportage van beveiligingsbeleid

Defender voor Cloud helpt u bedreigingen te voorkomen, te detecteren en erop te reageren. Het biedt u meer inzicht in en controle over de beveiliging van uw Azure resources. Het biedt geïntegreerde beveiligingsbewaking en beleidsbeheer voor uw Azure abonnementen. Het helpt bedreigingen te detecteren die anders onopgemerkt kunnen worden en werkt met een breed ecosysteem van beveiligingsoplossingen.

Beveiligde identiteit

Microsoft maakt gebruik van meerdere beveiligingsprocedures en -technologieën in de producten en services om identiteit en toegang te beheren.

• Voor meervoudige verificatie moeten gebruikers meerdere methoden gebruiken voor toegang, on-premises en in de cloud. Het biedt sterke verificatie met een scala aan eenvoudige verificatieopties, terwijl gebruikers worden voorzien van een eenvoudig aanmeldingsproces.

• Microsoft Authenticator biedt een gebruiksvriendelijke meervoudige verificatie-ervaring die werkt met zowel Microsoft Entra ID als Microsoft-accounts. Het bevat ondersteuning voor draagbare apparaten en goedkeuringen op basis van vingerafdrukken.

• Het afdwingen van wachtwoordbeleid verhoogt de beveiliging van traditionele wachtwoorden door lengte- en complexiteitsvereisten, geforceerde periodieke rotatie en accountvergrendeling op te leggen na mislukte verificatiepogingen.

• Tokengebaseerde authenticatie maakt authenticatie mogelijk via Microsoft Entra ID.

• Azure op rollen gebaseerd toegangsbeheer (Azure RBAC) kunt u toegang verlenen op basis van de toegewezen rol van de gebruiker. Het is eenvoudig om gebruikers alleen de hoeveelheid toegang te geven die ze nodig hebben om hun taken uit te voeren. Je kunt Azure RBAC aanpassen aan het bedrijfsmodel en de risicotolerantie van je organisatie.

• Met geïntegreerd identiteitsbeheer (hybride identiteit) kunt u de toegang van gebruikers in interne datacenters en cloudplatforms beheren. Er wordt één gebruikersidentiteit gemaakt voor verificatie en autorisatie voor alle resources.

Apps en gegevens beveiligen

Microsoft Entra ID, een uitgebreide cloudoplossing voor identiteits- en toegangsbeheer, helpt de toegang tot gegevens in toepassingen op locatie en in de cloud te beveiligen en vereenvoudigt het beheer van gebruikers en groepen. Het combineert kerndirectoryservices, geavanceerde identiteitsbeheer, beveiliging en toegangsbeheer voor toepassingen en maakt het voor ontwikkelaars eenvoudig om identiteitsbeheer op basis van beleid in hun apps te bouwen. Als u uw Microsoft Entra ID wilt verbeteren, kunt u betaalde mogelijkheden toevoegen met behulp van de Microsoft Entra Basic-, Premium P1- en Premium P2-edities.

• Cloud-appdetectie is een premium-functie van Microsoft Entra ID waarmee u cloudtoepassingen kunt identificeren die werknemers in uw organisatie gebruiken.

• Microsoft Entra Id-beveiliging is een beveiligingsservice die gebruikmaakt van Microsoft Entra mogelijkheden voor anomaliedetectie om een geconsolideerde weergave te bieden van risicodetecties en mogelijke beveiligingsproblemen die van invloed kunnen zijn op de identiteiten van uw organisatie.

• Microsoft Entra Domeinservices kunt u Azure VM's toevoegen aan een domein zonder dat u domeincontrollers hoeft te implementeren. Gebruikers loggen in bij deze VM's met hun bedrijfsgegevens van Active Directory en kunnen toegang krijgen tot bronnen.

• Microsoft Entra B2C is een maximaal beschikbare, globale identiteitsbeheerservice voor consumentengerichte apps die kunnen worden geschaald tot honderden miljoenen identiteiten en kunnen worden geïntegreerd in mobiele en webplatforms. Uw klanten kunnen zich aanmelden bij al uw apps via aanpasbare ervaringen die gebruikmaken van bestaande sociale media-accounts of u kunt nieuwe zelfstandige referenties maken.

• Microsoft Entra B2B Collaboration is een veilige partnerintegratieoplossing die uw relaties tussen bedrijven ondersteunt door partners in staat te stellen toegang te krijgen tot uw bedrijfstoepassingen en -gegevens selectief met behulp van hun zelfbeheerde identiteiten.

• Microsoft Entra gekoppeld stelt u in staat de cloudmogelijkheden naar Windows 10-apparaten uit te breiden voor gecentraliseerd beheer. Het maakt het mogelijk dat gebruikers via Microsoft Entra ID verbinding maken met de bedrijfs- of organisatiecloud en de toegang tot apps en resources vereenvoudigt.

• Microsoft Entra toepassingsproxy biedt Single Sign-On (SSO) en beveiligde externe toegang voor webtoepassingen die op locatie worden gehost.

Volgende stappen

• Inzicht in uw gedeelde verantwoordelijkheid in de cloud.

• Meer informatie over hoe Microsoft Defender voor Cloud u kan helpen bedreigingen te voorkomen, te detecteren en erop te reageren door meer zichtbaarheid en controle te bieden over de beveiliging van uw Azure resources.

• Ontdek Azure beveiligingsbest practices en -patronen voor meer beveiligingsaanbevelingen.

• Bekijk de Microsoft-cloudbeveiligingsbenchmark voor uitgebreide beveiligingsrichtlijnen.

• Zie End-to-end-beveiliging in Azure voor een beveiligings-, detectie- en responsweergave van Azure beveiligingsarchitectuur.