Azure中的端到端安全性

Azure跨云部署的所有层提供全面的安全功能。 Azure提供客户数据的保密性、完整性和可用性，同时实现透明责任。 本文介绍由保护、检测和响应功能组织的Azure安全体系结构。

有关按功能区域组织的Azure安全功能的全面介绍，请参阅引入Azure安全性。 有关详细的实施指南和最佳做法，请参阅本文档中链接的特定于域的安全概述文章。

Microsoft安全体系结构

Azure安全服务分为三个基本类别：

• 安全保护：在身份、基础设施、网络和数据领域实施纵深防御策略。
• 侦测威胁：识别可疑活动和潜在的安全事件。
• 调查与响应：分析安全事件并采取纠正措施。

下图说明了Azure安全服务如何与这些类别及其保护的资源保持一致：

安全控制和基线

Microsoft云安全基准为 Azure 服务提供全面的安全指南：

• 安全控制：适用于您所有 Azure 租户和服务的高层级建议。
• 服务基线：针对单个 Azure 服务实施控制，并提供具体配置建议。

使用这些控件和基线可以：

• 建立云部署的安全标准。
• 通过使用 Microsoft Defender for Cloud 监管合规仪表盘，大规模评估合规情况。
• 映射至行业框架，包括 CIS、NIST 和 PCI-DSS。
• 用 Azure Policy 实现安全配置。

有关治理和合规性功能，请参阅Azure安全管理和监视概述。

安全与保护

Azure跨标识、基础结构、网络和数据提供分层安全控制。 有关详细的实施指南，请参阅特定于域的概述文章。

威胁防护

Microsoft Defender for Cloud通过持续评估和高级威胁防护提供统一的安全管理。 若想了解全面保护，请参阅 Azure 威胁防护。

身份和访问

• Microsoft Entra ID - 云身份与访问管理。
• Privileged Identity Management - 即时特权访问。

有关详细信息，请参阅 Azure 标识管理安全概述。

网络安全

• Azure 防火墙 - 带IDPS的云原生网络防火墙。
• Azure DDoS 防护 - 始终启用的 DDoS 缓解措施。
• Azure VPN 网关 - 加密的跨地连接。
• Azure Front Door - 集成WAF的全局负载均衡器。
• Azure 专用链接 - 与 Azure 服务的专用连接。

有关详细信息，请参阅 Azure 网络安全概述。

数据保护

• Azure 密钥保管库 - 安全密钥和秘密存储，采用FIPS 140-2 Level 1（标准级）和FIPS 140-3 Level 3（高级级）验证的HSM。
• 密钥保管库 托管 HSM - 单租户 FIPS 140-3 三级 HSM。
• Azure 存储 Service Encryption - 静止自动加密。
• Azure 备份 - 独立且隔离的备份。

有关详细信息，请参阅Azure 加密概述和Azure 中的密钥管理。

治理

• Azure Policy - 执行标准并评估合规性。

有关详细信息，请参阅 Azure 安全管理和监视概述。

检测威胁

Azure威胁检测服务可识别环境中可疑的活动和安全事件。

• Microsoft Defender for Cloud——高级威胁防护，支持工作负载专用计划。
• Microsoft Sentinel - 云原生SIEM和SOAR解决方案。
• Microsoft Defender XDR——统一的终端、身份、电子邮件和应用保护。
• Azure 网络观察程序 - 网络监控与诊断。

有关全面的威胁检测功能，请参阅 Azure 威胁防护。

调查和响应

Azure提供了分析安全事件和响应事件的工具。

• Microsoft Sentinel——利用搜索和查询工具进行威胁狩猎。
• Azure Monitor - 包含Log Analytics工作区的全面遥测采集和分析。
• 什么是Microsoft Entra监控和健康状态？ - 活动日志和审计历史。

有关监视和操作指南，请参阅 Azure安全管理和监视概述。

后续步骤

• 查看《Azure安全导论》，以获得按功能领域组织的全面概述。
• 请查看Azure安全服务和技术，获取全面的安全能力列表。
• 了解云中的共同责任。
• 探索 Azure 安全最佳做法和模式。
• 了解Microsoft云安全基准。