Modelul de responsabilitate partajată

Modelul de responsabilitate partajată este fundamentul securității în cloud, definind clar cine gestionează ce aspecte ale infrastructurii. În Azure, acest model împarte sarcinile între Microsoft (care asigură securitatea a cloud-ului) și tine, clientul (care asigură securitatea în cloud). Înțelegerea acestei delimitări este critică pentru a evita vulnerabilitățile cauzate de configurări greșite, cum ar fi baze de date expuse public sau permisiuni excesive. Fără o aplicare riguroasă a acestui principiu, chiar și cea mai puternică infrastructură devine vulnerabilă la atacuri cibernetice. Practic, tu ești responsabil pentru datele tale, identitățile utilizatorilor și configurațiile de rețea, în timp ce Microsoft se ocupă de fizicul datcentrelor și hipervisor.

Concepte cheie

• Securitatea Cloud-ului: Microsoft protejează hardware-ul, rețeaua globală, hipervisorul și sistemele de operare gazdă ale centrului de date.
• Securitatea În Cloud: Tu ești responsabil pentru gestionarea sistemelor de operare, firewall-uri, patch-uri aplicații, date și accesul utilizatorilor.
• Servicii Gestionate vs. IaaS: Cu cât serviciul este mai gestionat (ex: Azure SQL), cu atât Microsoft preia mai multă responsabilitate de securitate.
• Identitate și Acces (IAM): Tu configurezi cine are acces la resurse, folosind Azure Active Directory și principiul privilegiului minim.
• Conformitate: Deși Azure oferă certificări, tu ești responsabil ca datele procesate să respecte reglementările specifice industriei tale (GDPR, HIPAA etc.).
• Criptarea Datelor: Tu decizi și gestionează cheile de criptare pentru datele în repaus și în tranzit, dacă folosești soluții BYOK (Bring Your Own Key).
• Monitorizare și Logging: Implementarea și monitorizarea jurnalelor de audit pentru a detecta activități suspecte este responsabilitatea ta.

Exemplu practic

Să presupunem că deplasezi o aplicație web pe Azure. Dacă alegi Azure App Service (Platform as a Service), Microsoft se ocupă de patch-urile sistemului de operare și de securitatea serverului web. Tu trebuie doar să te asiguri că codul tău nu are vulnerabilități cunoscute și că setezi corect variabilele de mediu pentru cheile API.

În schimb, dacă alegi o Virtual Machine (IaaS), tu trebuie să intri în VM, să instalezi antivirusul, să configurezi Windows Firewall sau iptables, să aplici patch-urile de securitate ale OS-ului și să te asiguri că porturile nedeplasate sunt închise.

// Exemplu de Politică Azure (Policy) pentru a forța responsabilitatea ta
{
  "mode": "All",
  "policyRule": {
    "if": {
      "field": "type",
      "equals": "Microsoft.Compute/virtualMachines"
    },
    "then": {
      "effect": "audit", // Verificăm dacă VM-urile au agentul de securitate instalat
      "details": {
        "policyType": "BuiltIn",
        "name": "VMs should have the Azure Defender agent installed"
      }
    }
  }
}

Greșeli frecvente

1. Confuzia IaaS cu PaaS: Crezi că ești responsabil de securitatea OS-ului într-un serviciu gestionat unde Microsoft se ocupă deja de el, sau invers, neglijând securitatea OS-ului într-o VM clasică.
2. Acces Root/Administrator: Acordarea drepturilor de administrator complet utilizatorilor obișnuiți, violând principiul privilegiului minim.
3. Ignorarea Configurării Rețelei: Lăsarea grupurilor de siguranță a rețelei (NSG) să permită trafic de la 0.0.0.0/0 (internetul public) pe porturi sensibile (ex: RDP, SSH).
4. Chei de Criptare Neglijate: Stocarea cheilor de criptare în același loc cu datele sau în codul sursă, făcându-le accesibile în caz de breșă.

Întrebări de interviu

1. Cine este responsabil pentru patch-urile de securitate ale sistemului de operare într-o Azure Virtual Machine? Răspuns: Ești tu, ca client. Microsoft asigură securitatea fizică a hardware-ului, dar administrarea OS-ului și aplicarea patch-urilor revin utilizatorului în modelul IaaS.

2. Cum influențează alegerea unui serviciu gestionat (PaaS) modelul de responsabilitate partajată? Răspuns: Cu cât serviciul este mai gestionat, cu atât Microsoft preia mai multă responsabilitate. La PaaS, Microsoft gestionează OS-ul și runtime-ul, lăsându-te doar cu responsabilitatea pentru date și cod.

3. Ce instrument Azure folosești pentru a verifica automat conformitatea resurselor tale cu modelul de responsabilitate partajată? Răspuns: Microsoft Defender for Cloud (fostul Azure Security Center), care oferă recomandări și evaluări de risc în timp real.

Exercițiu

Deschide consola Azure (Cloud Shell) și creează o Resource Group. Apoi, implementează o Azure Policy simplă care să auditeze orice resursă nouă creată în acea grupă dacă nu are eticheta Environment: Production. Simulează crearea unei mașini virtuale fără această etichetă și verifică raportul de conformitate. Acest exercițiu te ajută să vezi vizual cum responsabilitatea de a aplica standardele (etichete) cade asupra ta, nu asupra platformei.