Windows Azure安全處理需要採取的其他措施

開發 Windows Azure 應用程式的最佳安全做法一文說明了對於在 Windows Azure 中運行的應用程式而言，什麼樣的威脅應被視為主要威脅。 它還專門說明了 Azure 能夠緩解的威脅以及您需要調用 API 的內容和您需要自己處理的內容。 （它未涉及合規性問題。 ）

您應該處理的內容

我將選擇一些威脅和您應該執行的操作，並提供一些參考，以便您可以瞭解有關如何在代碼中進行實現的更多資訊。 該清單在Windows Azure 安全概述中提供。 但是具體結果將取決於您。

這個清單並不全面。 正如您從本系列文章的以前部分中瞭解的那樣，您根據您自己的應用程式需求來調整您的安全做法。

篡改威脅

篡改/洩漏憑據或其他敏感應用程式資料。 針對 SSL 連線，使用 Windows
Identity Foundation 和 HTTPS 相互身份驗證。

請參見如何管理服務證書，瞭解有關將證書添加到存儲、將證書與服務關聯以及更新證書的資訊。 在這些情況下，我們假設 IT 管理人員和服務開發者是兩個不同的人，但是他們也可能是同一個人。 請參見 Windows Identity Foundation，説明開發者簡化使用者訪問，方法是通過claim將使用者訪問從應用程式外部化，以及使用預先構建好的安全邏輯和集成 .NET 工具減少開發工作量。

否認威脅

審計日誌收集、存儲和分析。 根據需要使用監控和診斷 API，將日誌通過 HTTPS 傳輸到私有 Blob 存儲/表存儲。 請參見：

在 Windows Azure 中控制日誌記錄和跟蹤（來源於 MSDN 雜誌）。 Azure Monitor（可獲得用於即時監控 Azure 託管的應用程式的代碼）。 它包含用於將運行時進程資訊捕獲到雲表存儲的庫，還包含用於即時查看捕獲的資訊的桌面應用程式。 使用 Windows Azure Diagnostics（大約從該網頁頁面的三分之一開始）。 Windows Azure 提供集成的功能，用於在部署的環境中進行監控、記錄和跟蹤，這通常稱為診斷。 雖然這些功能也可以用於調試目的，但是它們最適合於監控應用程式性能隨時間的變化。

資訊洩漏威脅

洩漏 Blob/表/佇列存儲中的任意機密。 在上傳之前預加密機密資料。 不要在 Windows Azure 存儲中存儲解密金鑰。

洩漏共用訪問簽名。 使用 HTTPS 將共用訪問簽名安全地傳輸給期望的接收方並針對容器設置適當的許可權。 請參見管理 Blob 和容器的存取權限瞭解如何使用共用訪問簽名。

拒絕服務威脅

客戶代碼/應用程式級別的超大量請求。 如有必要，實施應用程式級別請求限制。 請參見自動調整和 Windows Azure。

許可權提升

服務/應用程式設定配置錯誤。 必須將所有 Cookie 和 document.domain 屬性的範圍設置為服務子域（例如 HTTP://contoso.cloudapp.net），而不是 *.cloudapp.net

針對 Web role 的跨網站請求偽造攻擊。 使用 ASP.NET 防禦。 請參見利用 ASP.NET 的內置功能抵禦 Web 攻擊。

針對 Web role 的跨網站腳本攻擊。 使用 Anti-XSS 庫。

針對 Web role 所暴露的介面進行 API 模糊攻擊。 對暴露給 Web（或任何其他服務）的、對於代碼唯一的所有介面和端點進行模糊測試

使用安全測試控管，包括模糊測試工具。 「模糊」給軟體應用程式開發介面 (API) 和網路介面提供結構化但不正確輸入，從而最大程度地提高檢測可能導致軟體漏洞的錯誤的可能性。

針對應用程式提供的自訂檔解析器進行檔模糊攻擊。 對所有專有網路通訊協定或檔案格式解析器進行模糊測試。

在 Web Role/客戶代碼級修補安全性漏洞。 制定安全回應和更新計畫。

可以從 Microsoft 安全開發生命週期 (SDL) 網站獲取用於協助進行模糊測試的工具。 SDL 包括各種免費工具和流程。 例如，您可以使用：

MiniFuzz 基本檔模糊測試工具是一款用於簡化模糊測試部署的簡單模糊測試工具。 正則運算式檔模糊測試工具是一款用於測試潛在拒絕服務漏洞的工具。

SQL Azure

我增加了這一節有關 SQL Azure 的內容，因為該平臺提供您應該知道的用於緩解威脅的其他方法。

SQL Azure 安全管理。 SQL Azure 資料庫中的安全管理與 SQL Server 的內部部署實例的安全管理類似。 管理資料庫級別的安全性基本相同，唯一不同的是可用的參數。 由於 SQL Azure 資料庫可以擴展到一個或多個物理電腦，因此 SQL Azure 資料庫對伺服器級別管理使用不同的策略。

SQL Azure 防火牆。 您可以鎖定資料庫以僅向獲得授權的使用者或電腦提供存取權限。 為了説明保護您的資料，在您指定哪些電腦具有許可權之前，SQL Azure 防火牆會阻止對您的 SQL Azure 伺服器的所有訪問。 防火牆會基於每個請求的起源 IP 位址授予存取權限。