Microsoft Azure, güvenlik ve güvenilirlik için ISO/IEC 27001:2005 gibi sektör standartlarıyla uyumlu olan, coğrafi olarak dağıtılmış bir halde bulunan veri merkezlerinde çalışmaktadır. Dünyanın en büyük çevrimiçi hizmetlerini 7×24 süreklilikle sağlama konusunda yılların deneyimine sahip Microsoft operasyon personeli tarafından yönetilir ve izlenirler.
Veri merkezi, ağ ve personel güvenlik uygulamalarına ek olarak, Azure platformu, uygulama geliştiriciler ve hizmet yöneticileri için güvenliği artırmak amacıyla uygulama ve platform katmanları düzeyinde de güvenlik uygulamaları kullanmaktadır.
Sızma Testleri
Microsoft, Azure güvenlik denetimlerini ve süreçlerini iyileştirmek için düzenli olarak sızma testleri yapmaktadır. Güvenlik değerlendirmesinin de müşterilerin uygulama geliştirme ve dağıtma çalışmalarının önemli bir parçası olduğunu bilinmektedir. Bu nedenle, müşterilerin Azure’da barındırılan uygulamaları üzerinde yetkili sızma testleri gerçekleştirmeleri için bir ilke belirlenmiştir. Bu tür bir test gerçek bir saldırıdan farksız olabileceğinden, müşterilerin sızma testini önceden Microsoft Azure Müşteri Desteği’nden onay aldıktan sonra yapmaları önemlidir. Sızma testi Microsoft’a kayıt ve koşullarına uygun olarak yapılmalıdır. Sızma testi talepleri en az 7 gün önceden bildirimde bulunularak gönderilmelidir.
Barındırma Ortamının Güvenliği
Azure platform ortamı bilgisayarlar, işletim sistemleri, uygulamalar ve hizmetler, ağlar, işlemler ve izleme ekipmanları ve özel donanımlardan ve bunların yanı sıra hizmetleri işletmek için gereken yönetim ve operasyon personelinden oluşmaktadır. Bu ortam ayrıca, hizmetleri barındıran fiziksel operasyon merkezlerini de içermektedir ve bunlar da, kötü amaçlı yazılım ve kaza sonucu oluşan hasarlara karşı korunmalıdır.
Azure platformu, herhangi bir güvenlik mekanizmasında çıkan bir sorunun tüm ortamın güvenliğini tehlikeye atması riskini azaltan “Derinlemesine Savunma” sağlamak için tasarlanmıştır. Derinlemesine Savunma katmanları aşağıdakileri içermektedir:
- Filtreleme Yönlendiricileri: Filtreleme yönlendiricileri, adresler ve portlar arasında izin verildiği şekilde yapılandırılmamış iletişim kurma denemelerini reddeder. Bu, güvenlik açığı bulunan sunucuları arayan, “drones” veya “zombies” kullanan genel saldırıları önlemeye yardımcı olur. Bu tür saldırıların engellenmesi daha kolay olsada, güvenlik açığı arayan kötü amaçlı kişilerin en sık kullandığı yöntemdir. Filtreleme yönlendiricileri ayrıca arka uç hizmetlerini sadece ilgili ön uçlardan erişilebilir olacak şekilde yapılandırmayı da desteklemektedir.
- Güvenlik Duvarları (Firewall): Güvenlik duvarları, bilinen ve yetkilendirilen portlar, protokoller ve hedef (ve kaynak) IP adresleriyle veri iletişimini kısıtlar.
- Yazılım Güvenlik Düzeltme Eki Yönetimi (Security Patches): Güvenlik düzeltme eki yönetimi, sistemleri bilinmeyen güvenlik açıklarına karşı korumaya yardımcı olma işleminin ayrılmaz bir parçasıdır. Azure platformu, Microsoft yazılımları için güvenlik düzeltme eklerinin dağıtımını ve kurulumunu yönetmek için tümleşik dağıtım sistemleri kullanmaktadır.
- İzleme (Monitoring): Güvenlik, ortamdaki cihazların ürettiği büyük miktarda bilgiyi yöneten ve anlamlı ve zamanında izleme ve uyarı sağlayan merkezi izleme, bağıntı ve analiz sistemlerinin yardımıyla izlenir.
- Ağın Segmentlere Ayrılması: Microsoft, veri merkezleri içinde ve veri merkezleriyle temel birleşim noktalarında izinsiz trafiğe karşı engeller oluşturmak amacıyla, güvenlik duvarları, Ağ Adresi Çevirisi kutuları (yük dengeleyiciler) ve filtreleme yönlendiricileri gibi birçok farklı teknoloji kullanmaktadır. Arka uç ağ, web ve uygulama sunucuları, veri depolama ve merkezi yönetim için bölümlenmiş Yerel Alan Ağlarından oluşmaktadır. Bu sunucular filtreleme yönlendiricileri tarafından korunan özel adres segmentleri halinde gruplanır.
Fiziksel Güvenlik
Fiziksel güvenlik, yazılım tabanlı güvenlik önlemleriyle birlikte uygulanır ve her ikisi için de benzer risk değerlendirme ve risk hafifletme prosedürleri geçerlidir.
Microsoft Azure platformu hizmetleri, her biri 7 x 24 çalışmak üzere tasarlanmış olan ve güç kesintisi, fiziksel yetkisiz giriş ve ağ kesintilerine karşı işlemleri korumak amacıyla farklı önlemler uygulayan bir global veri merkezleri ağı üzerinden müşterilere sağlanır. Bu veri merkezleri, fiziksel güvenlik ve güvenilirlik için yürürlükteki sektör standartlarıyla uyumludur, Microsoft operasyon personeli tarafından yönetilir ve izlenir ve coğrafi olarak dağınıktır.
Microsoft, yönetici erişim şifrelerini düzenli olarak değiştirmesi zorunlu olan az sayıda operasyon personeli ile sınırlanmış yüksek düzeyde güvenli erişim mekanizmaları kullanmaktadır. Veri merkezi erişimi ve veri merkezi erişim anahtarı açma yetkisi yerel veri merkezi güvenliği uygulamalarıyla birlikte ağ operasyon yöneticisi tarafından kontrol edilir.
Operasyon ve Personel Güvenliği
Azure platformu, Microsoft personeli müşteri verilerine günlük olarak erişmeyecek şekilde çalışmak üzere tasarlanmıştır. Sınırlı sayıda Microsoft çalışanı Azure Platformu Gizlilik Bildirimi belgesinde açıklandığı gibi müşteri bilgilerine erişebilir.
Azure platformu hizmetleri, 7 x 24 çalışan operasyon personeline sahiptir. Olay güvenlikle ilgiliyse, bu tür bir güvenlik olayında uygulanması gereken belgeli prosedürler Operasyon personeli tarafından uygulanmaktadır. Ayrıca, tam bir iletişim planı bulunmaktadır ve bu tür bir güvenlik olayında uygulanacaktır.
Uygulama Düzeyinde Güvenlik
Veri merkezi, ağ ve personel güvenlik uygulamalarına ek olarak Azure platformu, tüm müşteriler için güvenlik açısından gelişmiş bir deneyim sağlamak amacıyla uygulama düzeyinde de farklı güvenlik uygulamaları kullanmaktadır. Bu, hem uygulamanın geliştirilme yöntemi, hem de hizmet yöneticilerinin kullanabildiği uygulama özelliklerini içermektedir.
- Güvenlik Tabanlı Uygulama Tasarımı
Müşteri tarafından sağlanan uygulamaların güvenliği, müşterinin sorumluluğundadır; ancak Azure bilgi işlem, müşteri tarafından yazılan uygulamalardaki hatalardan kaynaklanabilecek zararı kısıtlamak için opsiyonel korumalı alan teknolojisi (müşteri uygulamalarını sunucu üzerinde yönetici dışındaki bir hesapta çalıştırarak ve yönetilen kodda yazılmış uygulamaları kısmi güvende çalıştırarak) ve bu tür hatalar nedeniyle altyapı ve diğer müşterilere gelebilecek zararı kısıtlamak için zorunlu korumalı alan teknolojisi (hiper yönetici tarafından uygulanan bir korumalı alan içinde bir sanal makinede uygulamaları çalıştırarak) sağlamaktadır
Ayrıca Microsoft Azure, müşterilere sanal makineler sağlayarak, Windows Server’da bulunan güvenlik seçeneklerinin birçoğuna erişim olanağı vermektedir. Müşteriler yazılımlar ve yapılandırmalarındaki güncellemeleri kontrol etmek için SSL istemci sertifikaları kullanmaktadır.
Hataya Dayanıklılık ve Artıklılık (Fault Tolerance ve Redundancy)
Azure platformu birçok yönden hataya dayanıklı ve artıklı olacak şekilde tasarlanmıştır. Bu, müşterilere hataya dayanıklı uygulamalar oluşturma ve dağıtma olanağı verir. Bu önlemlere rağmen Azure platformu tamamıyla hataya dayanıklılık garantisi vermemektedir ve Azure platformunu kullanan geliştiriciler uygun durumlarda ek koruma kullanmalıdır.
- Hizmet Artıklığı (Redundancy Service)
Azure platform altyapısının her bir katmanı, arıza durumunda çalışmaya devam edecek şekilde tasarlanmıştır ve her bir katmanda artıklı ağ cihazları ve her bir veri merkezinde ikili Internet hizmet sağlayıcıları içermektedir. Yük devretme çoğu durumda otomatiktir (insan müdahalesi gerektirmez) ve her türlü anormallik veya potansiyel ağ sorunlarını tespit etmek için ağ, Ağ Operasyon Merkezi tarafından 7 x 24 izlenmektedir.
- Veri Merkezi Artıklığı
Azure platformu, dünyanın dört bir yanındaki birden fazla veri merkezinde çalışmaktadır. Müşteriler Azure SQL Veritabanındaki verilerini birçok veritabanına aktarabilir ve aktarmaları tavsiye edilir. Tüm veri merkezini etkileyen bir arıza durumunda müşteriler, yedek konumda uygulamalarını dağıtabilirler.
Gizilik
Microsoft, kişisel bilgileri gizli bilgiler olarak kabul etmektedir ve kişisel bilgileri uygun şekilde yönetmek için makul ve normal önlemleri almaktadır.
Microsoft (bu bağlamda ABD’deki tüm yan kuruluşları dahil) ABD Ticaret Bakanlığı’ndan Safe Harbor sertifikalıdır. Bu, Avrupa Birliği ve uyumlu veri koruma yasalarına sahip ülkelerde işlenmesi amacıyla Microsoft’a verilerin yasal olarak aktarılmasına izin vermektedir. Microsoft veri işlemcisi olarak davranır ve Hizmet özelliklerine göre veri kullanımı hakkındaki kararlar veri denetimcisi tarafından verilir.
Güncellemeler
Microsoft, gelişen güvenlik tehditlerini yanıtlamak, yeni güvenlik teknolojisi ve işlemleri uygulamak amacıyla veya Azure platformundaki güncellemelerin gerektirdiği şekilde burada açıklanan güvenlik önlemlerini değiştirebilmektedir. Microsoft’un hemen önlem almasını gerektiren yasal zorunluluk veya acil güvenlik veya performans sorunları haricinde (böyle bir durumda Microsoft müşterileri mümkün olan en kısa zamanda bilgilendirmektedir) en az 90 gün önce Azure platformu müşterilerine elektronik bir bildirim göndermektedir.
Bu konuyla ilgili sorularınızı alt kısımda bulunan yorumlar alanını kullanarak sorabilirsiniz.
Referanslar