विंडोज एज़्योर सिक्योरिटी ओवरव्यू, भाग 2

पहले भाग की निरंतरता:

समीक्षा का दूसरा भाग SQL डेटाबेस, भौतिक सुरक्षा, क्लाइंट-साइड सुरक्षा सुविधाओं, प्लेटफ़ॉर्म प्रमाणन और सुरक्षा सिफारिशों के बारे में जानकारी प्रदान करेगा।


SQL डेटाबेस सुरक्षा

SQL Azure डेटाबेस मानक SQL सर्वर टैबुलर डेटा स्ट्रीम (TDS) प्रोटोकॉल का उपयोग करता है, लेकिन विशेष रूप से एन्क्रिप्टेड संचार की अनुमति है। SQL सर्वर 2008 ने एक नई सुविधा शुरू की: पारदर्शी डेटा एन्क्रिप्शन (TDE), जो आपको न्यूनतम प्रयास के साथ डेटा को पूरी तरह से एन्क्रिप्ट करने की अनुमति देता है। हालाँकि, इस समय, SQL Azure डेटाबेस डेटाबेस-स्तर एन्क्रिप्शन का समर्थन नहीं करता है। यह ध्यान दिया जाना चाहिए कि वर्तमान में, SQL एज़्योर डेटाबेस केवल टीसीपी कनेक्शन और केवल पोर्ट 1433 के माध्यम से उपलब्ध है। इसलिए, ADO.NET एन्क्रिप्शन क्षमताओं और प्रमाणपत्रों को ध्यान में रखना आवश्यक है। और, उदाहरण के लिए, Encrypt = True और TrustServerCertificate = गलत कनेक्शन के गुण संचारित डेटा की रक्षा करेंगे और मानव-मध्य हमलों को रोकने में मदद करेंगे। SQL डेटाबेस Azure के लिए दूसरा सुरक्षा उपकरण, और, सामान्य रूप से, मुख्य एक, SQL Azure डेटाबेस फ़ायरवॉल है, जो शुरू में SQL Azure डेटाबेस सर्वर तक सभी पहुँच को अवरुद्ध करता है। उपयुक्त सेटिंग्स से कनेक्ट करने का प्रयास विफल हो जाएगा। SQL Azure डेटाबेस सर्वर के साथ काम करना शुरू करने के लिए, आपको SQL Azure पोर्टल पर जाने और अपने सर्वर तक पहुँच के लिए फ़ायरवॉल सेटिंग्स निर्धारित करने की आवश्यकता है। Azure SQL फ़ायरवॉल को Azure SQL पोर्टल के माध्यम से या सीधे मुख्य डेटाबेस में संग्रहीत प्रक्रियाओं जैसे कि sp_set_firewall_rule और sp_delete_firewall_rule का उपयोग करके प्रबंधित किया जा सकता है।

किसी भी SQL सर्वर कार्यान्वयन के साथ, उपयोगकर्ता खाता प्रबंधन एक और पहलू है जिसे कसकर नियंत्रित करने की आवश्यकता है। इन उपकरणों के साथ, SQL एज़्योर क्लाउड एप्लिकेशन के लिए एक अत्यधिक सुरक्षित प्रबंधित प्लेटफ़ॉर्म है।

सुरक्षा संदर्भ में SQL सर्वर और SQL Azure डेटाबेस के बीच अंतर की एक सूची है:

• Microsoft SQL सर्वर सक्रिय निर्देशिका से पहुँच सेटिंग्स का उपयोग करके Windows एकीकृत प्रमाणीकरण का समर्थन करता है; SQL Azure डेटाबेस केवल SQL सर्वर प्रमाणीकरण का समर्थन करता है।
• Microsoft SQL सर्वर और SQL Azure डेटाबेस प्रत्येक डेटाबेस में बनाए गए उपयोगकर्ताओं और भूमिकाओं के आधार पर एक ही प्राधिकरण मॉडल का उपयोग करते हैं और उपयोगकर्ता लॉगिन के साथ जुड़े होते हैं।
• Microsoft SQL सर्वर में serveradmin, Securityadmin और dbcreator जैसी मानक सर्वर-स्तरीय भूमिकाएँ होती हैं। SQL Azure डेटाबेस में ये भूमिकाएँ नहीं हैं। इसके बजाय, SQL Azure डेटाबेस में loginmanager (लॉगिन बनाने) और dbmanager (डेटाबेस बनाने और प्रबंधित करने) की भूमिकाएँ हैं। ये रोल मास्टर डेटाबेस में उपयोगकर्ताओं के साथ जुड़े हो सकते हैं।
• SQL सर्वर और SQL Azure डेटाबेस तक पहुँच Tabular Data Stream (TDS) एप्लिकेशन लेयर प्रोटोकॉल के माध्यम से होती है, जो SSL प्रोटोकॉल द्वारा, TCP / 1433 पोर्ट के माध्यम से सुरक्षित रहती है। SSL का उपयोग Microsoft SQL सर्वर के लिए वैकल्पिक है और SQL Azure डेटाबेस के लिए आवश्यक है।
• SQL सर्वर में, फ़ायरवॉल का उपयोग करके होस्ट या नेटवर्क स्तर पर आईपी-आधारित अभिगम नियंत्रण किया जाना चाहिए। SQL Azure डेटाबेस में एक अंतर्निहित फ़ायरवॉल है जो SQL Azure डेटाबेस सर्वर तक सभी पहुँच को यह निर्धारित करने के लिए प्रतिबंधित करता है कि कौन से क्लाइंट कंप्यूटर अधिकृत हैं। फ़ायरवॉल प्रत्येक अनुरोध के आईपी पते के आधार पर पहुंच जारी करता है।
• SQL सर्वर ट्रांसपेरेंट डेटा एनक्रिप्शन (TDE) कार्यक्षमता का उपयोग करके पेज स्तर पर सभी संग्रहीत डेटा का वास्तविक समय एन्क्रिप्शन प्रदान करता है। SQL एन्क्रिप्शन डेटाबेस में ऐसे एन्क्रिप्शन का समर्थन नहीं किया जाता है।

डेटा एन्क्रिप्ट करने के लिए आप Windows Azure Trust Services का भी उपयोग कर सकते हैं।





शारीरिक सुरक्षा

विंडोज एज़्योर सेवाओं को घड़ी के चारों ओर काम करने की आवश्यकता के साथ डिज़ाइन किए गए डेटा केंद्रों के वैश्विक नेटवर्क के माध्यम से उपयोगकर्ताओं को प्रदान किया जाता है, जिनमें से प्रत्येक सिस्टम को बिजली की विफलता, शारीरिक घुसपैठ और नेटवर्क कनेक्शन टूटने से बचाने के लिए विभिन्न साधनों का उपयोग करता है। ये भौगोलिक रूप से वितरित डेटा केंद्र भौतिक सुरक्षा और विश्वसनीयता के लिए उद्योग मानकों को पूरा करते हैं। Microsoft अपने स्वयं के डेटा केंद्रों को अन्य कंपनियों को सेवा देने के कार्य को नहीं सौंपता है, और Microsoft कर्मचारी निगम के डेटा केंद्रों का पूरी तरह से प्रबंधन, निगरानी और प्रशासन करते हैं।

Microsoft अत्यधिक सुरक्षित पहुंच तंत्र का उपयोग करता है जो केवल सीमित संख्या में कर्मचारियों के लिए उपलब्ध हैं जो नियमित रूप से व्यवस्थापक एक्सेस पासवर्ड बदलते हैं। डेटा केंद्रों तक पहुँच और प्राधिकरण डेटा केंद्रों के लिए एक्सेस टिकट खोलने का अधिकार नेटवर्क संचालन निदेशक द्वारा डेटा सेंटर सुरक्षा के लिए स्थानीय सिफारिशों के अनुसार नियंत्रित किया जाता है।

सुरक्षा विकास जीवनचक्र

Windows Azure पूरी तरह से Microsoft के सुरक्षा विकास जीवनचक्र (SDL) के अनुरूप है, जिसे एक उच्च स्तर के सॉफ़्टवेयर सुरक्षा मॉडल के रूप में मान्यता दी गई है।

ग्राहक सुरक्षा

बेशक, ग्राहक डेटा सुरक्षा और अपने स्वयं के डेटा केंद्रों के सभी पहलुओं को सुनिश्चित करने के लिए Microsoft Corporation के सभी विशाल प्रयासों के बावजूद, ग्राहक को इस प्रक्रिया में सीधे शामिल होना चाहिए। फिलहाल, क्लाइंट-साइड सुरक्षा सुनिश्चित करने के लिए कई तरीके, उपकरण और उपकरण हैं, जिनमें Microsoft प्रमाणित सॉफ़्टवेयर टूल शामिल हैं। यह खंड Microsoft प्रमाणित उपकरण की एक छोटी सूची प्रदान करता है जिसे आप सुरक्षा के लिए उपयोग कर सकते हैं।

विंडोज एज़्योर वर्चुअल नेटवर्क

विंडोज एज़्योर वर्चुअल नेटवर्क आपको विंडोज़ एज़्योर में वर्चुअल प्राइवेट नेटवर्क (वीपीएन) को कॉन्फ़िगर करने और प्रबंधित करने की अनुमति देता है, साथ ही साथ उन्हें आपके स्थानीय बुनियादी ढांचे के साथ सुरक्षित रूप से एकीकृत करता है। एक वर्चुअल नेटवर्क का उपयोग करते हुए, आप नेटवर्क टोपोलॉजी का प्रबंधन करते हुए क्लाउड पर अपने ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर का विस्तार कर सकते हैं, जिसमें आईपी एड्रेस, राउटिंग टेबल और सुरक्षा नीतियां शामिल हैं। विंडोज एज़्योर वर्चुअल नेटवर्क का उपयोग करने के लिए विशिष्ट परिदृश्यों में डेटा सेंटर का क्लाउड (पारंपरिक वीपीएन से डेटा सेंटर को सुरक्षित रूप से जोड़ने के लिए) का सुरक्षित विस्तार शामिल है। वर्चुअल नेटवर्क कॉर्पोरेट वीपीएन गेटवे और विंडोज एज़्योर के बीच सुरक्षित कनेक्शन स्थापित करने के लिए आईपीएसईसी का उपयोग करता है। आप वीपीएन गेटवे को बाहर कर सकते हैं। किसी भी संख्या में कंप्यूटर) और हाइब्रिड परिदृश्यों का विकास (यूनिक्स प्रणालियों सहित किसी भी प्रकार के स्थानीय बुनियादी ढांचे के साथ क्लाउड एप्लिकेशन का एकीकरण)।

विंडोज एज़्योर कनेक्ट

Windows Azure Connect डेटाबेस सर्वर और डोमेन नियंत्रकों सहित Azure कनेक्ट एजेंटों के आधार पर Windows Azure और स्थानीय संसाधनों का एकीकरण प्रदान करता है। विंडोज एज़्योर वर्चुअल नेटवर्क बनाने और क्लाउड में आईपी एड्रेस सेट करने के लिए पूर्ण नियंत्रण प्रदान करता है।



Windows Azure कनेक्ट का उपयोग करने के लिए सामान्य परिदृश्यों में शामिल हैं: वितरित एप्लिकेशन बनाना (सुरक्षित रूप से अनावश्यक कोड के बिना स्थानीय बुनियादी ढांचे से कनेक्ट करना, उदाहरण के लिए, क्लाउड एप्लिकेशन स्थानीय SQL सर्वर या सक्रिय निर्देशिका डेटाबेस सर्वर तक पहुंच सकता है), डिबगिंग एप्लिकेशन (दूरस्थ रूप से, के बीच एक सीधा कनेक्शन का उपयोग करके) डेवलपर के स्थानीय कंप्यूटर और विंडोज़ एज़्योर प्लेटफ़ॉर्म पर होस्ट किए गए एप्लिकेशन, जो स्थानीय अनुप्रयोगों के लिए उपयोग किए जाने वाले टूल का उपयोग करके समस्या निवारण और डीबगिंग की अनुमति देता है)।

सेवा बस

सर्विस बस डेटा को सुरक्षित रूप से स्थानांतरित करने और रिले प्रदान करने की क्षमता प्रदान करता है, जो आपको क्लाउड में वितरित और शिथिल युग्मित अनुप्रयोगों के निर्माण की अनुमति देता है। सर्विस बस का उपयोग करके, आप आसानी से स्थानीय ग्राहकों से क्लाउड पर, या क्लाउड के अंदर संचार चैनलों को सुरक्षित कर सकते हैं।

प्रमाणपत्र

सक्रिय रूप से उपयोग किए जाने वाले किसी भी प्लेटफ़ॉर्म की सुरक्षा समीक्षा में, विभिन्न संगठनों द्वारा प्लेटफ़ॉर्म के प्रमाणन के मुद्दे की अनदेखी नहीं की जा सकती है। Windows Azure के पास उद्योग की अग्रणी प्रमाणन कंपनियों के प्रमाणपत्रों का एक समूह है।

प्रमाणन की सामान्य जानकारी तालिका में दी गई है। 1।

तालिका 1. विंडोज एज़्योर फ़ंक्शनलिटी प्रमाणन

विंडोज एज़्योर फ़ंक्शनलिटी	आईएसओ 27001	SSAE 16 ISAE 3402	यूरोपीय संघ के मॉडल क्लॉस	HIPAA बीएए
वेब साइट्स
वर्चुअल मशीनें	एक्स	एक्स	एक्स	एक्स
क्लाउड सेवाएं	एक्स	एक्स	एक्स	एक्स
भंडारण (तालिकाएँ, बूँदें, कतारें)	एक्स	एक्स	एक्स	एक्स
SQL डेटाबेस
कैशिंग
सामग्री वितरण नेटवर्क (CDN)
नेटवर्किंग	एक्स	एक्स	एक्स	एक्स
Windows नीला सक्रिय निर्देशिका
सेवा बस
मीडिया सेवाएं

आईएसओ 27001

विंडोज एज़्योर प्लेटफ़ॉर्म को आईएसओ 27001 ब्रिटिश स्टैंडर्ड इंस्टीट्यूट (बीएसआई) के साथ प्रमाणित किया गया है। लेखन के समय, आईएसओ ने निम्नलिखित प्लेटफॉर्म घटकों को प्रमाणित किया है:

• संगणना (वेब ​​और वर्कर भूमिकाओं सहित)

• भंडारण (बूँद भंडारण सेवाओं, कतारों और तालिकाओं सहित)

• वर्चुअल मशीन (वीएम भूमिका सहित)

• वर्चुअल नेटवर्क (ट्रैफिक मैनेजर और कनेक्ट सहित)

उसी समय, Microsoft ग्लोबल फाउंडेशन सर्विसेज के पास उन डेटा केंद्रों के लिए आईएसओ 27001 के अनुसार एक अलग प्रमाणीकरण है जो विंडोज एज़्योर प्लेटफ़ॉर्म की मेजबानी करते हैं।

FISMA

Windows Azure प्लेटफ़ॉर्म संघीय सूचना सुरक्षा प्रबंधन अधिनियम (FISMA) के तहत संघीय सरकारों के लिए परिचालन आवश्यकताओं को पूरा करने के लिए प्रमाणित किया गया है।

सुरक्षा सिफारिशें

नवीनतम सुरक्षा अपडेट का उपयोग करें

ServiceConfiguration.cscfg में osFamily और osVersion संपत्तियों का उपयोग करने का यह अच्छा अभ्यास है - नवीनतम उपलब्ध OS संस्करण को निर्दिष्ट करके, आप सुरक्षा सहित नवीनतम स्वचालित रूप से इंस्टॉल किए गए अपडेट की गारंटी देते हैं।

संग्रहीत की अधिकतम मात्रा को सीमित करें और उनकी सामग्री की निगरानी करें

एक प्रकार का हमला DoS है, जब लॉग स्टोरेज बड़े आकार में बढ़ सकता है, जिससे किसी भी सेवा की विफलता हो सकती है। संग्रहीत लॉग की अधिकतम मात्रा को सीमित करें। इसके अलावा, उनकी सामग्री की सावधानीपूर्वक निगरानी करें और किसी भी स्थिति में महत्वपूर्ण और महत्वपूर्ण डेटा लॉग न करें। प्राप्त लॉग का नियमित रूप से विश्लेषण करें, क्योंकि सभी हमले जल्दी नहीं हो सकते हैं - उनमें से कई लंबे समय तक खींच सकते हैं, और इस मामले में मुख्य कार्य उन्हें समय पर ढंग से पता लगाना है। नियमित रूप से बैकअप बनाएं ताकि एक सफल हैक के साथ एक हमलावर भी, उसकी गतिविधियों के निशान को मिटा न सके।

संवेदनशील डेटा के क्लाइंट साइड चेक से बचें

सर्वर पर गंभीर व्यावसायिक तर्क को स्थानांतरित करके क्लाइंट-साइड सत्यापन तंत्र को लागू न करें।

मजबूत पासवर्ड का उपयोग करें

सबसे अच्छा सुरक्षा अभ्यास जटिल पासवर्ड का उपयोग करना और एक निश्चित अवधि के बाद उन्हें बदलना है। एक सरल पासवर्ड को विभिन्न हमलों जैसे कि क्रूर बल या शब्दकोश हमलों का उपयोग करके क्रैक किया जा सकता है।

कनेक्शन पूल मॉडल का सावधानी से उपयोग करें

कनेक्शन पूल का उपयोग करके प्रदान किए गए प्रदर्शन अनुकूलन के लाभ के बावजूद, यह एक संभावित खतरा हो सकता है - एक स्थिति उत्पन्न हो सकती है जब कम विशेषाधिकार वाला उपयोगकर्ता व्यवस्थापक-उपयोगकर्ता कनेक्शन का उपयोग करता है।

एक असुरक्षित जगह में क्रेडेंशियल और सिर्फ डेटा स्टोर न करें

अपने क्रेडेंशियल को एन्क्रिप्ट करना याद रखें, और प्रमाणीकरण और प्राधिकरण तंत्र का उपयोग करें जो सादे पाठ में क्रेडेंशियल्स को प्रसारित करता है। यदि आप दावे-आधारित प्रमाणीकरण का उपयोग करते हैं, तो सुरक्षा टोकन को स्थानांतरित करने के लिए एन्क्रिप्टेड चैनल का उपयोग करें। एक एन्क्रिप्ट किया गया चैनल विभिन्न हमलों के खिलाफ भी मदद कर सकता है, उदाहरण के लिए, सत्र फिर से खेलना, जब एक हमलावर संदेशों को स्वीकार करता है और सिस्टम को गुमराह करने के लिए उन्हें दोहराता है। HTTP GET अनुरोधों में डेटा ट्रांसफर न करें, क्योंकि इससे एक ऐसी स्थिति पैदा हो सकती है जहां महत्वपूर्ण डेटा को केवल अनुरोध लाइन की प्रतिलिपि बनाकर कॉपी किया जा सकता है, इसके अलावा, HTTP GET अनुरोध लाइनें ब्राउज़र इतिहास में, प्रॉक्सी सर्वर पर और वेब सर्वर लॉग में संग्रहीत की जाती हैं।

एक रोल मॉडल के आधार पर एक प्राधिकरण प्रणाली डिज़ाइन करें

एक ऐसी प्रणाली डिज़ाइन करें जिसमें कई प्रकार की भूमिकाएँ होंगी - उदाहरण के लिए, कम से कम विशेषाधिकारों और एक व्यवस्थापक के साथ एक भूमिका या खाता, साथ ही साथ आपकी सेवा के विभिन्न क्षेत्रों में पहुंच को प्रतिबंधित करने के लिए सिद्धांत। बहुत से लोगों को प्रशासक अधिकार नहीं देते हैं। सुपरवाइजर को प्रशासक न बनाएं।

पहले से अपने प्रमाणीकरण प्रकार की योजना बनाएं

अपने कार्यों के आधार पर, आप विभिन्न डेटा स्रोतों के साथ विभिन्न प्रकार के प्रमाणीकरण का उपयोग कर सकते हैं। उदाहरण के लिए, यदि आपके पास एक तैयार-निर्मित ASP.NET अनुप्रयोग है जो सदस्यता का उपयोग करता है और आपके कार्यों में आवश्यक रूप से जटिल प्राधिकरण का उपयोग शामिल नहीं है, अर्थात, सरल लॉगिन, पासवर्ड और रोल मॉडल से अधिक कुछ नहीं का उपयोग करना, प्रमाणीकरण का उपयोग करना एक अच्छा समाधान हो सकता है। Windows Azure संग्रहण सेवाओं में डेटा स्रोत वाले प्रपत्रों के आधार पर। यदि आपको अधिक जटिल व्यावसायिक तर्क की आवश्यकता है, तो आप एज़्योर डेटाबेस को SQL डेटा स्रोत के रूप में उपयोग कर सकते हैं, या यदि आपके परिदृश्य में क्लाउड एप्लिकेशन से स्थानीय सक्रिय निर्देशिका का उपयोग करके जटिल एकीकरण कार्य शामिल हैं, तो आपकी पसंद दावों के प्रमाणीकरण और AD FS 2.0 का उपयोग कर सकती है। । यदि आपको फेडरेटेड प्रमाणीकरण का उपयोग करने की आवश्यकता है, तो एक बढ़िया विकल्प विंडोज एज़्योर एक्टिव डायरेक्ट्री (एक्सेस कंट्रोल सर्विस) है, जिसके पीछे आप सार्वजनिक (फेसबुक, लाइव आईडी, ...) और निजी (एक्टिव डायरेक्ट्री) पहचान प्रदाताओं दोनों का एक सेट जोड़ सकते हैं।

समूह एप्लिकेशन भागों

एक डेटा सेंटर या क्षेत्र के भीतर अपनी सेवा के अधिकतम घटकों को रखने से इसकी उत्पादकता और गति दोनों को बढ़ाने में मदद मिलेगी, और डेटा सेंटर के बाहर प्रेषित यातायात को कम करके सुरक्षा की डिग्री प्राप्त होगी।

सही ढंग से अपवादों को संभालें

संभावित कमजोरियाँ, कभी-कभी बहुत गंभीर, फेंके गए अपवाद के अतिरेक पाठ के कारण भी हो सकती हैं। अपवाद जानकारी के पाठ में शामिल न करें जो आपको आपके सिस्टम के बारे में बता सकता है जिसे आप जानना नहीं चाहते।

जाँचें कि उपयोगकर्ता आपको क्या देता है

इस बात का कभी भरोसा न करें कि ग्राहक इस बात की पुष्टि के कई परतों के बिना क्या दर्ज करेगा। सब कुछ जांचें, अन्यथा विभिन्न हमलों का उपयोग करके सिस्टम को हैक करना संभव है, उदाहरण के लिए, SQL इंजेक्शन। एक समर्पित पुस्तकालय विकसित करके सत्यापन तंत्र को केंद्रीकृत करें। उपयोगकर्ता द्वारा प्रदान की गई जानकारी का उपयोग करके विंडोज एज़्योर स्टोरेज में कभी भी कंटेनर या अन्य एंटिटीज न बनाएं - पहले इसे चेक करें या इसे कन्वर्ट करें।

आंशिक भरोसा

डिफ़ॉल्ट रूप से, विंडोज एज़्योर प्लेटफ़ॉर्म पर तैनात भूमिकाएं पूर्ण विश्वास का उपयोग करके संचालित होती हैं, जो आपको गैर-नेट कोड को कॉल करने या उन उपयुक्त पुस्तकालयों का उपयोग करने की अनुमति देती हैं जिनके लिए व्यवस्थापक अधिकारों की आवश्यकता होती है, जो सुरक्षा उल्लंघन की एक निश्चित संभावना पैदा कर सकता है। आंशिक ट्रस्ट का उपयोग करने से आप कम से कम इस संभावना को सीमित कर सकते हैं कि पटाखा सिस्टम की पूर्ण पहुंच होगी - उदाहरण के लिए, आंशिक विश्वास के साथ, पटाखा फ़ाइलों को संशोधित करने में सक्षम नहीं होगा। आंशिक विश्वास को सेवा परिभाषा फ़ाइल (ServiceDefinition.cscfg) में स्पष्ट रूप से परिभाषित किया जा सकता है, जो EnableNativeCodeExecution विशेषता का उपयोग करके, इसके मान को असत्य पर सेट करता है।

बुद्धिमानी से अपनी चाबी प्रबंधित करें

सिद्धांत सरल है - आप डेटा को एन्क्रिप्ट करने की कुंजी के रूप में विंडोज एज़्योर द्वारा प्रदान की गई कुंजियों का उपयोग नहीं कर सकते। इसके अलावा, कुंजी प्रबंधन के संबंध में, एक उत्कृष्ट समाधान एक निश्चित समय अवधि में चाबियाँ बदलने के लिए होगा। उदाहरण के लिए, चूंकि प्रत्येक भंडारण खाते के लिए दो 256-बिट कुंजी आवंटित की जाती हैं, एक का उपयोग एक समय में किया जा सकता है, दूसरे पर दूसरे का उपयोग किया जा सकता है, और कुछ समय बाद, एक नई प्राथमिक कुंजी उत्पन्न की जा सकती है और इसके उपयोग को हस्तांतरित किया जा सकता है।

सक्रिय रूप से साझा पहुँच हस्ताक्षर और अनुमतियाँ का उपयोग करें

सक्रिय रूप से साझा किए गए प्रवेश हस्ताक्षरों और भंडारण खाते तक पहुंच को प्रतिबंधित करने के लिए विभिन्न अनुमतियों का उपयोग करें। 7 जून 2012 के बाद, साझा प्रवेश हस्ताक्षर सभी भंडारण सेवाओं के लिए उपलब्ध हो गए (7 जून तक, वे केवल ब्लॉब्स के लिए उपलब्ध थे)।

सक्रिय रूप से एन्क्रिप्शन सेवाओं का उपयोग करें

क्रिप्टोग्राफ़िक मानकों (क्रिप्टोग्राफ़िक सेवा प्रदाता), एल्गोरिदम, आदि के विभिन्न कार्यान्वयन के अस्तित्व के बारे में मत भूलना।

Microsoft बेस क्रिप्टोग्राफ़िक प्रदाता

Microsoft मजबूत क्रिप्टोग्राफ़िक प्रदाता

Microsoft एन्हांस्ड क्रिप्टोग्राफ़िक प्रदाता

Microsoft AES क्रिप्टोग्राफ़िक प्रदाता

Microsoft DSS क्रिप्टोग्राफ़िक प्रदाता

Microsoft बेस DSS और डिफी-हेलमैन क्रिप्टोग्राफ़िक प्रदाता

Microsoft ने DSS और डिफी-हेलमैन क्रिप्टोग्राफ़िक प्रदाता को बढ़ाया

Microsoft DSS और डिफी-हेलमैन / स्कैनेल क्रिप्टोग्राफ़िक प्रदाता

Microsoft RSA / Schannel क्रिप्टोग्राफ़िक प्रदाता

Microsoft RSA हस्ताक्षर क्रिप्टोग्राफ़िक प्रदाता

अपने स्वयं के एन्क्रिप्शन तंत्र को विकसित करने से बचें - सबसे अधिक संभावना है, वे स्वीकृत मानक तंत्रों की तुलना में कम परिपूर्ण होंगे।

Windows Azure Storage में संस्थाओं के लिए Partition Keys को एन्क्रिप्ट या हैश न करें।

यूनिडायरेक्शनल हैश फ़ंक्शन का उपयोग करते समय, एसएचए का उपयोग 256 बिट की न्यूनतम लंबाई के साथ करें, सममित एन्क्रिप्शन का उपयोग करते समय, एईएस का उपयोग 256 बिट की न्यूनतम लंबाई के साथ करें, असममित एन्क्रिप्शन का उपयोग करते समय, 2048 बिट्स की न्यूनतम कुंजी लंबाई के साथ आरएसए का उपयोग करें।

निष्कर्ष

संक्षेप में, आप एक छोटी सूची में सुरक्षा से संबंधित मुख्य बिंदुओं को जोड़ सकते हैं:

• सभी आंतरिक यातायात के लिए एसएसएल प्रमाणीकरण - मंच के भीतर सभी संचार एसएसएल द्वारा संरक्षित हैं।

• सर्टिफिकेट और प्राइवेट कीज़ को इस्तेमाल करने वाले कोड से अलग करके इंस्टॉल किया जाता है।

• सॉफ्टवेयर के लिए कम से कम विशेषाधिकारों का सिद्धांत - उपयोगकर्ताओं के पास वर्चुअल मशीन पर प्रशासक के विशेषाधिकार नहीं हैं, जबकि प्लेटफ़ॉर्म पर तैनात सॉफ़्टवेयर अप्रकाशित खाते के अंतर्गत चलता है।

• डेटा कीज - सभी स्टोरेज अकाउंट्स में डेटा तक पहुंच को नियंत्रित करने के लिए उपयोग की जाने वाली दो गुप्त कुंजी होती हैं।

• हाइपरविजर, रूट ओएस, गेस्ट ओएस और फैब्रिक कंट्रोलर का अलगाव - रूट ओएस को गेस्ट से अलग किया जाता है, गेस्ट ओएस को एक दूसरे से अलग किया जाता है, सब कुछ हाइपरवाइजर और रूट ओएस द्वारा नियंत्रित किया जाता है। फैब्रिक कंट्रोलर तक पहुंच गंभीर रूप से प्रतिबंधित है।

• पैकेट फिल्टर । हाइपरविजर और रूट OS, अविश्वसनीय वर्चुअल मशीनों से ट्रैफ़िक को बिगाड़ने की क्षमता को सीमित करने के लिए पैकेट फ़िल्टर का उपयोग करता है। प्रसारण यातायात भी सीमित है।

• VLAN – VLAN-.

• , .

, , Windows Azure , – , .



Windows Azure Trust Center — www.windowsazure.com/en-us/support/trust-center