Əsas fikir
Şəbəkə axınını, resurs sahibini və tətbiqə kimin hansı cihazdan çıxış etdiyini birlikdə yoxlayın. “Özəl alt şəbəkə” etiketini təhlükəsizlik sübutu saymayın; marşrutları və nəzarətləri sınaqdan keçirin.
VPC nəyi təmin edir
VPC ictimai buludda məntiqi olaraq təcrid edilmiş şəbəkə sahəsidir. Siz ünvan diapazonlarını və alt şəbəkələri seçir, marşrut cədvəllərini və şəbəkə filtrlərini qurursunuz. Provayderin texniki təcridi tətbiqləriniz üçün şəbəkə layihəsini əvəz etmir: konkret provayderin şəbəkə və şəbəkələrarası ekran qaydaları ilə trafikə icazə verilməli və məhdudlaşdırılmalıdır.
Ünvanlar və alt şəbəkələr
IP diapazonlarını əvvəlcədən planlaşdırın; tətbiq, məlumat və idarəetmə qatlarını ehtiyac olduqda ayrı alt şəbəkələrə bölün. Hibrid əlaqələr üçün mövcud ünvanlarla üst-üstə düşməni yoxlayın.
Marşrutlar və əlaqə
Hər alt şəbəkənin marşrut cədvəlini, internet şlüzü və NAT kimi çıxış yollarını, həmçinin VPN və ya ayrılmış özəl əlaqələri yoxlayın. Xarici IP ünvanının olmaması bütün mümkün çıxış yollarının bağlı olması demək deyil.
Trafik qaydaları və jurnallar
Giriş və çıxış qaydalarını yalnız tələb olunan mənbə, təyinat, port və protokollara verin. Qaydaları dəyişiklik prosesi ilə nəzərdən keçirin, axın və təhlükəsizlik jurnallarını cavabdeh komandaya yönləndirin.
İctimai və özəl bulud seçimi
İctimai və özəl bulud “təhlükəsiz” və “təhlükəsiz deyil” seçimi deyil. Qərarı iş yükünün tələbləri, nəzarət imkanları, komandanın təcrübəsi, ümumi istismar xərcləri və əlaqə ehtiyacları əsasında verin. Özəl yerləşdirmədə daha çox nəzarət daha çox əməliyyat məsuliyyəti də yaradır.
| Meyar | İctimai bulud | Özəl bulud |
|---|---|---|
| İnfrastruktur | Provayderin ortaq fiziki resursları; müştərilər məntiqi olaraq ayrılır. | Bir təşkilat üçün ayrılmış resurslar; daxildə və ya provayderdə yerləşə bilər. |
| İdarəetmə | Provayder əsas infrastrukturu idarə edir; müştəri xidmətlərini və konfiqurasiyanı idarə edir. | İdarəetmə vəzifələri yerləşdirmədən asılıdır; təşkilatın daxilindəki özəl bulud daha çox daxili işçi resursu tələb edə bilər. |
| Yoxlanacaq məqam | Məlumat yeri, identifikasiya, xidmət parametrləri və provayderin resurslara giriş imkanları. | Tam sahiblik xərci, dayanıqlıq, texniki xidmət, yenilənmə və bərpa qabiliyyəti. |
VPC üçün nümunəvi üçqat quruluş
Tipik tətbiqdə ictimai trafik yük balanslaşdırıcısına daxil olur, tətbiq serverlərinə məhdud qaydalarla ötürülür, verilənlər bazası isə yalnız tətbiq qatından əlaqə qəbul edir. Bu, nümunəvi dizayndır; konkret buludda ictimai və özəl alt şəbəkə anlayışını marşrut və ünvan davranışına görə müəyyənləşdirin.
Giriş qatını yaradın
Yalnız zəruri internet girişini qəbul edən yük balanslaşdırıcısı və ya şlüz yerləşdirin; idarəetmə portlarını ümumi internetə açmayın.
Tətbiq qatını məhdudlaşdırın
Tətbiq instanslarına yalnız giriş qatından tələb olunan portları açın. Yeniləmələr və idarəetmə üçün ayrıca, nəzarətli yol müəyyən edin.
Məlumat qatını təcrid edin
Verilənlər bazasına ictimai ünvan verməyin. Şəbəkə bağlantılarını icazəli tətbiq qatı ilə məhdudlaşdırın və bazaya giriş zamanı tətbiqin giriş məlumatlarını yoxlayın. Ehtiyat nüsxə və bərpa planını ayrıca yoxlayın.
Bütün yolu sınaqdan keçirin
İcazə verilən və rədd edilən axınları yoxlayın, real marşrutları və jurnal hadisələrini təsdiqləyin, dəyişikliklərdən sonra yenidən sınaq aparın.
CASB ilə bulud tətbiqlərinə nəzarət
Cloud Access Security Broker (CASB) istifadəçilərlə bulud tətbiqləri arasında siyasət nəzarəti yaradan təhlükəsizlik yanaşması və məhsul kateqoriyasıdır. Tətbiqdən asılı olaraq CASB trafikə vasitəçi/proksi kimi baxa, API inteqrasiyası ilə saxlanmış məlumatı yoxlaya və ya hər iki üsulu birləşdirə bilər. Bütün məhsullar bütün üsulları və nəzarətləri dəstəkləmir; satınalmadan əvvəl tətbiq əhatəsini və texniki məhdudiyyətləri yoxlayın.
Görünürlük və tətbiq inventarı
İş üçün istifadə edilən təsdiqli və təsdiqsiz SaaS tətbiqlərini, hesab növlərini və paylaşımı müəyyən edin. Aşkarlama nəticələrini biznes sahibləri ilə dəqiqləşdirin; hər naməlum tətbiq zərərli fəaliyyət demək deyil.
Məlumat siyasətləri
Həssas faylların paylaşımı, yüklənməsi və saxlanması üçün qaydaları tətbiqin API və ya trafik imkanlarına uyğun qurun. DLP, karantin və bloklama kimi tədbirlərin hansı tətbiqlərdə həqiqətən işlədiyini sınaqdan keçirin.
İstifadəçi və kontekst
İstifadəçi, cihazın idarə olunması, məkan, riskli əməliyyat və paylaşım kontekstini qərarlara daxil edin. Siyasətləri istisnalar, qeydlər və biznes təsdiqi ilə idarə edin.
Nəzarətlərin sərhədini bilin
CASB bütün bulud resurslarını və ya bütün istifadəçi fəaliyyətini avtomatik görmür. Qoruma seçilmiş tətbiqlərin, qoşulmuş hesabların, API icazələrinin, şifrələnmiş trafikin və istifadə olunan inteqrasiya üsulunun əhatəsindən asılıdır. Şəbəkə, identifikasiya, son cihaz və bulud konfiqurasiyası nəzarətləri ilə birlikdə işlədin.