volkan demirci Azure, Security

Cybersecurity Reference Architecture

NGFW: Next Generation Firewall

TLS denetimi: Azure Güvenlik Duvarı Premium, giden ve doğu-batı aktarım katmanı güvenliği (TLS) bağlantılarını sonlandırır. Gelen TLS incelemesi, uçtan uca şifrelemeye izin veren Azure Application Gateway ile birlikte desteklenir. Azure Güvenlik Duvarı, gerekli katma değerli güvenlik işlevlerini gerçekleştirir ve orijinal hedefe gönderilen trafiği yeniden şifreler.

IDPS: Azure Güvenlik Duvarı Premium, ağ trafiğindeki bayt dizileri veya kötü amaçlı yazılımlar tarafından kullanılan bilinen kötü amaçlı talimat dizileri gibi belirli kalıpları arayarak saldırıların hızlı bir şekilde algılanmasını sağlamak için imza tabanlı izinsiz giriş algılama ve önleme sistemi (IDPS) sağlar.

Web kategorileri: Yöneticilerin, kategorilere (örneğin, sosyal ağlar, arama motorları, kumar vb.) dayalı olarak internete giden kullanıcı erişimini filtrelemesine izin vererek, bireysel tam alan adlarını (FQDN’ler) ve URL’leri yönetmek için harcanan zamanı azaltır. Bu yetenek, yalnızca FQDN’lere dayalı Azure Güvenlik Duvarı Standardı için de kullanılabilir.

URL filtreleme: Yöneticilerin yalnızca FQDN’lere değil, belirli URL’lere giden erişimi filtrelemesine izin verin. Bu yetenek, TLS denetimi etkinleştirilmişse hem düz metin hem de şifreli trafik için çalışır.

Microsoft Endpoint Manager

Endpoint Manager, mobil cihazları, masaüstü bilgisayarları, sanal makineleri, gömülü cihazları ve sunucuları yönetmek ve izlemek için kullandığınız hizmetleri ve araçları içerir.

Endpoint Manager, Microsoft Intune, Configuration Manager, Desktop Analytics, ortak yönetim ve Windows Autopilot dahil olmak üzere bildiğiniz ve halihazırda kullanmakta olduğunuz hizmetleri birleştirir. Bu hizmetler, güvenli erişime, verilerin korunmasına ve yanıt verilmesine ve risklerin yönetilmesine yardımcı olmak için Microsoft 365 yığınının bir parçasıdır.

Azure AD PIM

Privileged Identity Management (PIM), Azure Active Directory’de (Azure AD) kuruluşunuzdaki önemli kaynaklara erişimi yönetmenize, denetlemenize ve izlemenize olanak tanıyan bir hizmettir. Bu kaynaklar, Azure AD, Azure ve Microsoft 365 veya Microsoft Intune gibi diğer Microsoft Çevrimiçi Hizmetlerindeki kaynakları içerir.

Identity Governance

Azure Active Directory (Azure AD) Identity Governance, kuruluşunuzun güvenlik ihtiyacını ve çalışan üretkenliğini doğru süreçler ve görünürlükle dengelemenize olanak tanır. Doğru kişilerin doğru kaynaklara doğru erişime sahip olmasını sağlamak için size yetenekler sağlar. Bu ve ilgili Azure AD ve Enterprise Mobility + Security özellikleri, kritik varlıklara erişimi koruyarak, izleyerek ve denetleyerek erişim riskini azaltmanıza olanak tanırken çalışan ve iş ortağı üretkenliğini sağlar.

Azure AD B2B

Uygulamalarınızı ve kaynaklarınızı harici kullanıcılarla paylaşın (B2B işbirliği) . Harici kullanıcıları, izinleri atayabileceğiniz (yetkilendirme için) “misafir” kullanıcılar olarak kendi kiracınıza davet ederken, mevcut kimlik bilgilerini kullanmalarına (kimlik doğrulama için) izin verin. Kullanıcılar, iş, okul veya diğer e-posta hesaplarıyla basit bir davet ve ödeme sürecini kullanarak paylaşılan kaynaklarda oturum açar. 

Azure AD B2C

Tüketici ve müşteriye yönelik uygulamalar (Azure AD B2C) için beyaz etiketli bir kimlik yönetimi çözümüyle kullanıcı yolculukları oluşturun . Müşteriye yönelik uygulamalar oluşturan bir işletme veya geliştiriciyseniz Azure AD B2C’yi kullanarak milyonlarca tüketiciye, müşteriye veya vatandaşa ölçeklendirebilirsiniz. Geliştiriciler, uygulamaları için tam özellikli Müşteri Kimliği ve Erişim Yönetimi (CIAM) sistemi olarak Azure AD’yi kullanabilir. Müşteriler, önceden oluşturdukları bir kimlikle (Facebook veya Gmail gibi) oturum açabilir

Azure Firewall

Azure Güvenlik Duvarı, Azure Sanal Ağ kaynaklarınızı koruyan, yönetilen, bulut tabanlı bir ağ güvenlik hizmetidir.Yerleşik yüksek kullanılabilirliğe ve sınırsız bulut ölçeklenebilirliğine sahip, tamamen durum bilgisi olan bir hizmet olarak güvenlik duvarıdır.Uygulama ve ağ bağlantısı ilkelerini merkezi olarak oluşturabilir, uygulayabilir ve günlüğe kaydedebilirsiniz…

Azure WAF (Web Application Firewall)

Azure Application Gateway üzerindeki Azure Web Uygulaması Güvenlik Duvarı (WAF), web uygulamalarınızın yaygın açıklardan ve güvenlik açıklarından merkezi olarak korunmasını sağlar. Web uygulamaları, yaygın olarak bilinen güvenlik açıklarından yararlanan kötü amaçlı saldırılar tarafından giderek daha fazla hedef alınmaktadır. SQL enjeksiyonu ve siteler arası komut dosyası çalıştırma en yaygın saldırılar arasındadır.

Application Gateway üzerinde WAF , Open Web Application Security Project’ten (OWASP) Core Rule Set (CRS) 3.1, 3.0 veya 2.2.9’u temel alır.

Azure DDoS

DDoS saldırıları, uygulamalarını buluta taşıyan müşterilerin karşılaştığı en büyük kullanılabilirlik ve güvenlik endişelerinden bazılarıdır. Bir DDoS saldırısı, bir uygulamanın kaynaklarını tüketmeye çalışır ve uygulamayı meşru kullanıcılar için kullanılamaz hale getirir. DDoS saldırıları, internet üzerinden herkese açık olan herhangi bir uç noktada hedeflenebilir. Azure’daki her özellik, Azure’un altyapı DDoS (Temel) Koruması tarafından ek ücret olmadan korunur. Küresel olarak dağıtılan Azure ağının ölçeği ve kapasitesi, her zaman açık trafik izleme ve gerçek zamanlı azaltma yoluyla yaygın ağ katmanı saldırılarına karşı savunma sağlar. DDoS Protection Basic, kullanıcı yapılandırması veya uygulama değişikliği gerektirmez. DDoS Protection Basic, Azure DNS gibi PaaS hizmetleri de dahil olmak üzere tüm Azure hizmetlerinin korunmasına yardımcı olur. Azure DDoS Koruma Standardı, uygulama tasarımı en iyi uygulamalarıyla birlikte, DDoS saldırılarına karşı savunmak için gelişmiş DDoS azaltma özellikleri sağlar. Bir sanal ağda belirli Azure kaynaklarınızı korumaya yardımcı olmak için otomatik olarak ayarlanır. Korumayı herhangi bir yeni veya mevcut sanal ağda etkinleştirmek kolaydır ve herhangi bir uygulama veya kaynak değişikliği gerektirmez. Günlük kaydı, uyarı ve telemetri dahil olmak üzere temel hizmete göre çeşitli avantajları vardır.

Azure Key Vault

Azure Key Vault, gizli dizileri güvenli bir şekilde depolamak ve bunlara erişmek için bir bulut hizmetidir. Gizli anahtar, API anahtarları, parolalar, sertifikalar veya şifreleme anahtarları gibi erişimi sıkı bir şekilde kontrol etmek istediğiniz her şeydir. Key Vault hizmeti iki tür kapsayıcıyı destekler: kasalar ve yönetilen donanım güvenlik modülü (HSM) havuzları. Kasalar, yazılımları ve HSM destekli anahtarları, gizli dizileri ve sertifikaları depolamayı destekler. Yönetilen HSM havuzları yalnızca HSM destekli anahtarları destekler.

Azure Bastion

Azure Bastion, tarayıcınızı ve Azure portalını kullanarak sanal bir makineye bağlanmanıza olanak tanıyan bir hizmettir. Azure Bastion hizmeti, sanal ağınız içinde sağladığınız, tamamen platform tarafından yönetilen bir PaaS hizmetidir. TLS üzerinden doğrudan Azure portalından sanal makinelerinize güvenli ve sorunsuz RDP/SSH bağlantısı sağlar. Azure Bastion aracılığıyla bağlandığınızda, sanal makinelerinizin genel bir IP adresine, aracıya veya özel istemci yazılımına ihtiyacı yoktur.

Bastion, sağlandığı sanal ağdaki tüm VM’lere güvenli RDP ve SSH bağlantısı sağlar. Azure Bastion kullanmak, sanal makinelerinizi RDP/SSH bağlantı noktalarını dış dünyaya maruz bırakmaktan korurken, RDP/SSH kullanarak güvenli erişim sağlamaya devam eder.

Azure Lighthouse

Azure Lighthouse, kaynaklar arasında ölçeklenebilirlik, daha yüksek otomasyon ve gelişmiş yönetişim ile çok kiracılı yönetim sağlar.

Azure Lighthouse ile hizmet sağlayıcılar , Azure platformunda yerleşik olarak bulunan kapsamlı ve sağlam araçları kullanarak yönetilen hizmetler sunabilir . Müşteriler, kiracılarına kimlerin erişebileceği, hangi kaynaklara erişebilecekleri ve hangi eylemlerin gerçekleştirilebileceği konusunda denetimi elinde tutar.

Azure Backup

Azure Defender

Azure ve hibrit bulut iş yüklerini korumak ve güvenliğini sağlamak için Azure Güvenlik Merkezi ile tümleşik Azure Defender’ı kullanılır. Genişletilmiş algılama ve yanıt (XDR) özellikleri sayesinde uzak masaüstü protokolü (RDP) deneme yanılma saldırıları ve SQL eklemeleri gibi tehditlere karşı mücadele eder. Yapay zeka ve otomasyon sayesinde güvenliği artırır.

Condational Access

Koşullu Erişim ilkeleri en basit şekliyle if-then ifadeleridir, bir kullanıcı bir kaynağa erişmek istiyorsa bir eylemi tamamlamalıdır. Örnek: Bir bordro yöneticisi, bordro uygulamasına erişmek istiyor ve ona erişmek için çok faktörlü kimlik doğrulaması yapması gerekiyor.

Yöneticiler iki ana hedefle karşı karşıyadır:

  •  Kullanıcıları her yerde ve her zaman üretken olmaya teşvik eder.
  • Kuruluşun varlıklarını korur.

Koşullu Erişim ilkelerini kullanarak, kuruluşunuzu güvende tutmak ve gerekmediğinde kullanıcılarınızın yolunun dışında kalmak için gerektiğinde doğru erişim denetimlerini uygulayabilirsiniz.

Azure Sentinal

Microsoft Azure Sentinel, ölçeklenebilir, bulutta yerel, güvenlik bilgileri olay yönetimi (SIEM) ve güvenlik düzenlemesi otomatik yanıt (SOAR) çözümüdür. Azure Sentinel, uyarı algılama, tehdit görünürlüğü, proaktif avcılık ve tehdit yanıtı için tek bir çözüm sağlayarak kuruluş genelinde akıllı güvenlik analitiği ve tehdit zekası sunar.

Azure Sentinel, giderek karmaşıklaşan saldırıların stresini, artan uyarı hacimlerini ve uzun çözümleme zaman dilimlerini ortadan kaldıran, kuruluş genelindeki kuş bakışı görünümünüzdür.

  • Hem şirket içinde hem de birden çok bulutta tüm kullanıcılar, cihazlar, uygulamalar ve altyapı genelinde bulut ölçeğinde veri toplayın .
  • Microsoft’un analizlerini ve benzersiz tehdit istihbaratını kullanarak daha önce tespit edilmemiş tehditleri tespit edin ve yanlış pozitifleri en aza indirin .
  • Tehditleri yapay zeka ile araştırın ve Microsoft’ta yıllarca süren siber güvenlik çalışmalarından yararlanarak geniş ölçekte şüpheli etkinlikleri avlayın.
  • Yerleşik düzenleme ve ortak görevlerin otomasyonu ile olaylara hızla yanıt verin .

Securing Privilege Access

 Bir kuruluştaki iş varlıklarının çoğunun veya tamamının güvenliği, BT sistemlerini yöneten ve yöneten ayrıcalıklı hesapların bütünlüğüne bağlıdır. Siber saldırganlar, Pass-the-Hash ve Pass-the-Ticket gibi kimlik bilgisi hırsızlığı saldırılarını kullanarak hedeflenen verilere ve sistemlere hızla erişmek için bu hesapları ve ayrıcalıklı erişimin diğer öğelerini hedefliyor. Yönetim erişimini kararlı düşmanlara karşı korumak, bu sistemleri risklerden izole etmek için eksiksiz ve düşünceli bir yaklaşım benimsemenizi gerektirir.

Microsoft Cloud App Security

Buluta geçiş, hem çalışanlar hem de BT için esnekliği artırır. Ancak, kuruluşunuzu güvende tutmak için yeni zorluklar ve karmaşıklıklar da getirir. Bulut uygulamalarından ve hizmetlerinden tam olarak yararlanmak için bir BT ekibi, kritik verileri korumak için kontrolü sürdürürken erişim desteği arasında doğru dengeyi bulmalıdır.

Microsoft Cloud App Security, günlük toplama, API bağlayıcıları ve ters proxy dahil olmak üzere çeşitli dağıtım modlarını destekleyen bir Bulut Erişimi Güvenlik Aracısıdır (CASB). Tüm Microsoft ve üçüncü taraf bulut hizmetlerinizde siber tehditleri belirlemek ve bunlarla mücadele etmek için zengin görünürlük, veri yolculuğu üzerinde kontrol ve gelişmiş analitik sağlar.

Microsoft Cloud App Security, önde gelen Microsoft çözümleriyle yerel olarak bütünleşir ve güvenlik uzmanları düşünülerek tasarlanmıştır. Basit dağıtım, merkezi yönetim ve yenilikçi otomasyon yetenekleri sağlar.

Azure Purview

Azure Purview, şirket içi, çoklu bulut ve hizmet olarak yazılım (SaaS) verilerinizi yönetmenize ve yönetmenize yardımcı olan birleşik bir veri yönetimi hizmetidir. Otomatik veri keşfi, hassas veri sınıflandırması ve uçtan uca veri kökeni ile veri ortamınızın bütünsel, güncel bir haritasını kolayca oluşturur. Veri tüketicilerini değerli, güvenilir veriler bulma konusunda güçlendirir.

Azure Purview Veri Haritası, veri keşfi ve etkili veri yönetimi için temel sağlar. Purview Data Map, şirket içi ve bulutta analitik ve işletim sistemlerinde bulunan kurumsal verilerle ilgili meta verileri yakalayan, bulutta yerel bir PaaS hizmetidir. Purview Veri Haritası, yerleşik otomatik tarama ve sınıflandırma sistemi ile otomatik olarak güncel tutulur. İş kullanıcıları, sezgisel bir kullanıcı arabirimi aracılığıyla Purview Veri Haritasını yapılandırabilir ve kullanabilir ve geliştiriciler, açık kaynaklı Apache Atlas 2.0 API’lerini kullanarak Veri Haritası ile programlı olarak etkileşim kurabilir.

Microsoft Information Protection (MIP)

Verileri hassaslık düzeyine göre sınıflandırma, etiketleme ve korumaya yönelik ilkeler yapılandırır. Azure Information Protection ile sınıflandırma tam otomatik olarak, kullanıcı odaklı veya öneriler temel alınarak gerçekleşir.

Microsoft Secure Score

Microsoft Güvenli Puanı, bir kuruluşun güvenlik durumunun bir ölçümüdür ve daha yüksek bir sayı, daha fazla iyileştirme eyleminin yapıldığını gösterir.Microsoft 365 Defender portalında https://security.microsoft.com/securescore adresinde bulunabilir. Güvenli Puan önerilerini takip etmek, kuruluşunuzu tehditlerden koruyabilir.Kuruluşlar, Microsoft 365 Defender portalındaki merkezi bir panodan Microsoft 365 kimliklerinin, uygulamalarının ve cihazlarının güvenliğini izleyebilir ve bunlar üzerinde çalışabilir. Güvenli Puan, kuruluşlara şu konularda yardımcı olur: Kuruluşun güvenlik duruşunun mevcut durumu hakkında rapor verin. Keşfedilebilirlik, görünürlük, rehberlik ve kontrol sağlayarak güvenlik duruşlarını iyileştirin. Kriterlerle karşılaştırın ve temel performans göstergelerini (KPI’lar) belirleyin.

Microsoft Compliance Score

Microsoft Uyumluluk Yöneticisi, Microsoft 365 uyumluluk merkezinde, kuruluşunuzun uyumluluk gereksinimlerini daha kolay ve rahat bir şekilde yönetmenize yardımcı olan bir özelliktir.Uyumluluk Yöneticisi, veri koruma risklerinizin envanterini çıkarmaktan kontrollerin uygulanmasının karmaşıklıklarını yönetmeye, düzenlemeler ve sertifikalar konusunda güncel kalmaya ve denetçilere raporlamaya kadar uyumluluk yolculuğunuz boyunca size yardımcı olabilir.

People Security

İnsan güvenliği, kuruluşu yanlışlıkla yapılan insan hataları ve içeriden kötü niyetli eylemler riskinden korur. modernizasyon Bu işlevin modernizasyonu şunları içerir: Geleneksel “oltama ve cezalandırma” çözümleri gibi yalnızca olumsuz pekiştirme yaklaşımlarına güvenmek yerine, oyunlaştırma ve olumlu pekiştirme/eğitim kullanarak kullanıcılarla olumlu etkileşimi artırın. Yüksek kaliteli insan katılımı: Güvenlik bilincine sahip iletişim ve eğitim, çalışanların insani yönü ve kuruluşun misyonu ile bağlantı kurmak için empati ve duygusal katılımı teşvik eden yüksek kaliteli prodüksiyonlar olmalıdır. Gerçekçi beklentiler: Kullanıcıların bazen kimlik avı e-postalarını açacağını kabul edin ve bunun yerine başarı ölçütlerini, açılmanın yüzde 100’ünü durdurmayı beklemek yerine oranı düşürmeye odaklayın. Organizasyonel kültür değişikliği: Organizasyonel liderlik, organizasyonun her bir üyesi için güvenliği bir öncelik haline getirmek için kasıtlı bir kültür değişikliğini yönlendirmelidir. Kuruluşların değerli ticari sırları ve diğer verileri son derece kârlı yasa dışı kullanım durumları (müşteri konumları veya iletişim kayıtları gibi) ile korumasına yardımcı olmak için artan içeriden risk odağı. Etkinlik günlüğü, davranış analizi ve makine öğrenimi için bulut özelliklerinden yararlanan iyileştirilmiş içeriden risk algılama.

Kaynak: https://aka.ms/MCRA