Come proteggere i dati in Azure AD

Salve,

dopo tutte le violazioni dei servizi di identità cloud avvenute negli ultimi anni, riceviamo molte domande su come proteggere i dati dei clienti. Il blog di oggi quindi approfondirà i dettagli relativi alla protezione dei dati dei clienti in Azure AD.

Sicurezza di data center e servizi

Iniziamo dai nostri data center. Innanzitutto, tutto il personale che lavora nei data center Microsoft deve superare un controllo dei precedenti personali. L’accesso ai nostri data center è rigidamente regolamentato e tutti gli accessi e tutte le uscite sono monitorati. All’interno dei data center, i servizi Azure AD critici in cui sono archiviati i dati dei clienti si trovano in sezioni speciali chiuse a chiave: l’accesso fisico è severamente limitato ed è presente una videocamera attiva 24 ore su 24. Inoltre, se uno di questi server viene dismesso, tutti i dischi vengono distrutti fisicamente e logicamente per evitare la fuoriuscita di dati.

Limitiamo, inoltre, il numero di persone che possono accedere ai servizi Azure AD e anche coloro che hanno autorizzazioni di accesso operano senza questi privilegi ogni giorno al momento dell’accesso. Quando hanno bisogno di questi privilegi per accedere al servizio, devono superare l’autenticazione a più fattori usando una smart card per confermare la propria identità e inviare una richiesta. Una volta che la richiesta viene approvata, i privilegi degli utenti gli vengono concessi just-in-time. Questi privilegi vengono inoltre automaticamente rimossi dopo un determinato periodo di tempo e, chiunque abbia bisogno di più tempo, deve ripetere la richiesta e superare di nuovo la procedura.

Una volta che i privilegi vengono concessi, l’accesso viene eseguito usando una postazione di lavoro di amministrazione gestita (in conformità alle istruzioni sulle postazioni di lavoro con accesso con privilegi pubblicata). Ciò è obbligatorio per criterio e la conformità è attentamente monitorata. Le postazioni di lavoro usano un’immagine fissa e tutto il software nel computer è completamente gestito. Per ridurre l’area superficiale di rischi, solo le attività selezionate sono consentite e gli utenti non possono aggirare per sbaglio il design della postazione di lavoro di amministrazione, poiché non possiedono privilegi di amministratore. Per proteggere ulteriormente le postazioni di lavoro, ogni accesso deve essere eseguito con una smart card e l’accesso a ogni postazione di lavoro è limitato a un set specifico di utenti.

Infine, gestiamo un piccolo numero (inferiore a cinque) di account “break glass”. Questi account sono limitati esclusivamente alle situazioni di emergenza e sono protetti con procedure “break glass” in più passaggi. L’uso di questi account è monitorato e si attivano avvisi.

Rilevamento delle minacce

Esistono diversi controlli automatici che eseguiamo regolarmente, ogni pochi minuti per garantire che le cose vadano nel modo previsto, anche se stiamo aggiungendo nuove funzionalità richieste dai nostri clienti:

• Rilevamento della violazione: cerchiamo schemi che indichino una violazione. Continuiamo ad aggiungere questo set di rilevamenti regolarmente. Usiamo anche test automatici che attivano questi schemi, così controlliamo anche se la nostra logica di rilevamento delle violazioni funziona correttamente.
  
• Test di penetrazione: questi test vengono eseguiti di continuo. Provano a fare ogni sorta di cose per compromettere il nostro servizio e ci aspettiamo che tali test abbiano sempre esito negativo. Se riescono, sappiamo che qualcosa non va e possiamo risolvere immediatamente il problema.
  
• Controllo: tutta l’attività amministrativa è registrata. Ogni attività non prevista (ad esempio un amministratore che crea account con privilegi) comporta l’attivazione di avvisi che ci porta a indagare ulteriormente per verificare non ci sia nulla di anomalo.
  

Abbiamo detto che tutti i dati in Azure AD sono crittografati? Sì, è così. Usiamo BitLocker per crittografare tutti i dati inattivi sull’identità di Azure AD. Cosa succede su Internet? Facciamo lo stesso. Tutte le API di Azure AD sono basate sul Web con SSL tramite HTTPS per crittografare i dati. Tutti i server Azure AD sono configurati per l’utilizzo di TLS 1.2. Consentiamo le connessioni in entrata tramite TLS 1.1 e 1.0 per supportare i client esterni. Neghiamo esplicitamente ogni connessione tramite le versioni legacy di SSL, tra cui SSL 3.0 e 2.0. L’accesso alle informazioni è limitato attraverso l’autorizzazione basata su token e i dati di ogni token sono accessibili solo ad account consentiti in tale token. Inoltre, le nostre API interne prevedono il requisito aggiunto di usare l’autenticazione client/server SSL su certificati attendibili e catene di emissione.

Nota finale

Azure AD viene distribuito in due modi e in questo post vengono descritte la sicurezza e la crittografia del servizio pubblico offerto e gestito da Microsoft. Per domande simili sulle istanze nazionali del cloud gestite da partner attendibili, ti invitiamo a contattare i team del tuo account.

Nota: in linea generale, se gestisci o accedi ai tuoi servizi Microsoft Online tramite URL che finiscono .com, questo post descrive il modo in cui proteggiamo e crittografiamo i tuoi dati.

La sicurezza dei tuoi dati è una priorità assoluta per noi e la prendiamo MOLTO sul serio. Spero che questa panoramica sulla crittografia dei dati e sul protocollo di sicurezza sia rassicurante e utile.

Distinti saluti,

Alex Simons (Twitter: @Alex_A_Simons)

Director of Program Management

Microsoft Identity Division

[aggiornato il 10/3/2017 per aggiungere specifiche informazioni sulla versione sull’uso di TLS e SSL]