web-dev-qa-db-ja.com

データセンターからAzureへの移行-私は正しい道を進んでいますか？

いくつかの簡単な背景。私たちは小さな会社です（13人の従業員、そのうち6人またはIT /開発者）。誰もがリモートで作業し、セントラルオフィスはありません。当社のデータセンターは、開発環境と本番環境でのみ使用されます。社内の機能には使用しません（たとえば、現在ITのみがVPNにアクセスでき、ネットワーク上のファイルサーバーではなくOffice365/OneDriveなどを使用しています）SaaSソリューション。私たちは医療データ（HIPAAやPHIなど）を少し扱っ​​ているため、HIPAAおよびNISTの認定を取得するプロセスを経ており、これはお客様にとって非常に重要です。

現在のインフラストラクチャ

クラスター化されたHyper-V環境（ニンブルSANに接続された3台の物理サーバー）を備えたデータセンターにハーフラックがあります。私たちの環境は次のもので構成されています。

  1. pfSense境界ファイアウォール（OpenVPNが構成され、Snort for IDS/IPS）
  2. SSLターミネーションでkeepalivedを使用する冗長HAProxy
  3. メインアプリケーション用にIISを実行している2つのWindows2008R2 VM（注：現在、WAFを備えたCloudflare Businessを使用しています）
  4. アクティブ/パッシブフェールオーバークラスターでSQL2014を実行している2つのWindows2012R2VM。
  5. また、個別のDev VM、2つのAD VM、およびバックアップ用のDPM VMもありますが、この投稿のそれらについてはあまり心配していません。それらが存在することを伝えたかっただけです。

クライアントドキュメントとオフサイトバックアップを格納するために、すでにAzureストレージを使用しています。また、Azureで構成されたコールドDRサイトは、3つのVM（AD、Web、およびDB）で構成されており、最小限ではありますが、Azure上のメインインフラストラクチャを数時間以内に起動できます。

今後の計画

私たちの目標（理想的には2019年末まで）は、データセンターからAzureに移行することです。現在のハードウェアは老朽化しており、障害の兆候（ノックオンウッド）は見られませんが、Microsoft（またはAmazon/Googleなど）のような企業がはるかに多い場合、物理的な機器について心配する必要があるというデータセンターの領域から抜け出したいですそうすることができます。私はこれを機能させる方法について頭の中でまともな考えを持っており、オプションに慣れるために先月Azureで遊んでいました。

高レベルの観点から、私はこの展開と同じくらい単純なものを見ています（ https://docs.Microsoft.com/en-us/Azure/architecture/reference-architectures/app-service-web-app/basic-web-app ）このアプリケーションの場合。 Azureで既存のVMを直接再作成するリフトアンドシフトアプローチを検討しましたが、PaaSへの移行はメンテナンスの観点からはるかに魅力的です。主な違いは、SQLデータベースの代わりにSQLマネージドインスタンスをデータベースに使用することです。このアーキテクチャは、本番環境専用です。開発/ QA環境では、同じまたは類似のアーキテクチャを別のリソースグループとvNetに展開する可能性があります。

私の最大の質問は、ファイアウォールがここにどのように適合するか、または適合するかどうかに関するものです。私たちはITアンケートを受け取り、ほとんどのクライアントとの完全なITセキュリティ監査を通過する必要があります。これが私たちが得る質問のサンプルです：

  • すべての内部接続にファイアウォールが使用されていますか？
  • すべての外部接続にファイアウォールが使用されていますか？
  • 内部ネットワークをセグメント化するためにファイアウォールが使用されていますか？
  • 組織は侵入検知（IDS）または侵入防止（IPS）システムを採用していますか？

基本的にこれまでに見つけたすべての例で、推奨されるAzureの展開には、ファイアウォールやIDS/IPSに関連するものは含まれていません。これはかなり標準ですか？ Azure Firewallが存在することは知っていますが、月額900ドルでは、NSGに加えて提供される限定的な保護には価値がありません。私はNVAのオプション（特に私はpfSenseに精通しているのでNetgate pfSenseのもの）を検討し始めましたが、それがやり過ぎになるかどうかわかりませんか？

ですから、もしあなたが長い間計画を立てた後もまだ読んでいるのなら、私が求めているのは：

  1. 少なくとも私は正しい道を進んでいるように見えますか？それとも私は基地から離れていますか？
  2. 上記のような展開を進める場合、ファイアウォールとIDS/IPSに関するクライアントからの質問にどのように対処しますか？
windowsazuremigrationpfsensedatacenter
4
KevinN

保護された個人情報（PII）のセキュリティとコンプライアンスの要件は、規制の少ない業界とは異なります。 （特に、セキュリティ設計が最小限の初心者向けチュートリアルと比較して。）非常に個人的な情報で患者の信頼を裏切る違反に加えて、一部の法域では罰則が課せられます。米国では、1996年の医療保険の相互運用性と説明責任に関する法律（HIPAA）とその保護された医療情報に関する規則（PHI）を引用する傾向があります。ペナルティは、影響を受けるレコードごとに評価でき、怠慢によって引き起こされた場合はさらに悪化します。

ファイアウォールの質問は、セキュリティ制御についての会話を開始できます。しかし、それらは完全なセキュリティプログラムではありません。

もちろん、IP（ AzureではApplication Security Group ）とポートで制御するには、レイヤー4ファイアウォールを配置する必要があります。ネットワークのセグメント化も検討してください。 PHIを含むデータベースへのアクセスは許可されている必要があり、テストを本番環境から分離する必要があります。ゼロトラストの概念は、インスピレーションとして役立つ場合があります。ファイアウォールルールが意図を実装していることを証明する方法があります。

また、違反を防止および検出する方法も必要です。スロットルされておらず、監査されていないAPIがあるとします。ネットワークレベルのファイアウォールは、許可された使用のために設計によって開かれているポート443からデータが吸い出される場合には役立ちません。

これに適用できるコントロールには、アプリケーションの強力な監査機能や、場合によってはIDS/IPSが不正な動作を検査することが含まれます。問題は、Azureファイアウォールがあなたに適しているかどうかだけではなく、不正アクセスの証拠をどれだけ迅速に表示できるか、どのくらいのデータが盗み出されたか、誰がそれを行ったかです。アプリケーションもAzureもこれを行わない場合は、サードパーティ製品を検討してください。

ああ、そしてメール。ユーザーが患者IDを電子メールで送信できないようにするにはどうすればよいですか？

データセンターの物理的なセキュリティはAzureによって処理されます。しかし、従業員のラップトップにディスク暗号化を適用していますか？それらはPHIで迷子になる可能性があります。

これ以上のことは、包括的なリスク管理計画、基本を忘れない強力なプロセス、およびリーダーシップの関与を伴うセキュリティプログラムを必要とします。この多層防御アプローチの例として、 SecurityMetricのHIPAAコンプライアンスガイド をご覧ください。

クライアントと監査人に正直になりましょう。ギャップを認め、代替のコントロールを提供することは、すべてを行うと主張するよりも信頼できます。

2
John Mahowald