Azure Defense in Depth（纵深防御）是一个安全策略概念，它指的是在信息安全中，部署多层次的防御机制，以防止攻击者单靠突破某一道防线就能成功入侵系统。即使某一层防御被攻破，后续的防御层也能继续发挥作用，延缓、阻止或检测攻击。
这个概念并非 Azure 独有，它是网络安全领域的一个基本原则，但 Azure 将其整合到其云平台的设计和运营中，并提供了一系列服务和功能来帮助用户实现纵深防御。
核心思想：
- 没有单一的“银弹”解决方案： 没有任何一种安全措施能够百分之百地阻止所有攻击。
- 多层级、冗余的防御： 将安全控制措施从外到内，从底层基础设施到应用层面，分层部署。
- 增加攻击者的成本和时间： 每多一道防线，攻击者就需要投入更多的时间、资源和技能去克服，从而提高被发现的几率。
- 假设突破： 即使认为某一层是安全的，也要假设它可能会被突破，并为下一层做好准备。
Azure 纵深防御的各个层次：
Azure 将纵深防御模型分为以下几个主要层面（从外到内，或从下到上）：
-
物理安全 (Physical Security)：
- 概念： 保护 Azure 数据中心的基础设施、硬件和物理资产免受未经授权的访问和损坏。
- Azure 提供的： 这是 Azure 自己的责任。Azure 在全球范围内建设和运营高度安全的物理数据中心，包括严格的访问控制、视频监控、生物识别扫描、24/7 现场安保、环境控制（温度、湿度、消防）等。用户无法直接管理。
-
身份和访问管理 (Identity & Access Management - IAM)：
- 概念： 确保只有经过身份验证和授权的用户才能访问资源。这是云安全的第一道防线。
- Azure 提供的：
- Azure Active Directory (Azure AD)： 提供身份验证、授权、单点登录 (SSO)。
- 多重身份验证 (MFA)： 强制用户通过两种或更多方法验证身份。
- 条件访问 (Conditional Access)： 根据用户、设备、位置等条件控制访问。
- 特权身份管理 (Privileged Identity Management - PIM)： 仅在需要时提供临时、限时、按需的特权访问。
- Azure RBAC (Role-Based Access Control)： 精细控制对 Azure 资源的权限。
-
网络安全 (Network Security)：
- 概念： 保护网络连接、隔离网络资源，并控制网络流量。
- Azure 提供的：
- Azure Virtual Network (VNet)： 逻辑隔离你的云资源网络。
- 网络安全组 (NSG)： 在子网或 NIC 级别过滤网络流量。
- Azure Firewall： 集中式的网络防火墙服务，提供高级威胁防护。
- Web 应用程序防火墙 (WAF)： 保护 Web 应用程序免受常见 Web 攻击。
- Azure DDoS Protection： 抵御分布式拒绝服务攻击。
- 专用链路 (Private Link) / 服务终结点 (Service Endpoints)： 允许通过 Azure 骨干网络安全访问 Azure 服务，而非公共互联网。
- VPN Gateway / ExpressRoute： 安全地连接本地网络和 Azure。
-
计算安全 (Compute Security)：
- 概念： 保护虚拟机、容器、无服务器功能等计算资源。
- Azure 提供的：
- 操作系统安全： 及时打补丁、配置强化。
- Azure Security Center/Defender for Cloud： 持续评估虚拟机安全状态，提供安全建议。
- Just-in-Time (JIT) VM 访问： 仅在需要时打开特定端口，减少攻击面。
- Azure Disk Encryption： 加密 VM 磁盘。
- Azure Key Vault： 安全存储密钥、密码和证书。
- 容器注册表安全扫描： 扫描容器镜像中的漏洞。
-
数据安全 (Data Security)：
- 概念： 保护存储中的数据、传输中的数据和使用中的数据。
- Azure 提供的：
- 静态数据加密 (Encryption at Rest)： 默认对 Azure 存储、SQL 数据库、Cosmos DB 等服务中的数据进行加密。
- 传输中数据加密 (Encryption in Transit)： 强制使用 TLS/SSL 协议传输数据。
- 数据分类： 识别和分类敏感数据。
- Azure Information Protection (AIP)： 发现、分类、保护和监控敏感信息。
- 数据丢失防护 (DLP)： 阻止敏感数据外泄。
-
应用安全 (Application Security)：
- 概念： 确保应用程序本身是安全的，没有漏洞，并且能够处理异常输入。
- Azure 提供的：
- 安全开发生命周期 (SDL)： 鼓励开发者在开发阶段就考虑安全。
- API 管理： 保护和管理 API 访问。
- OWASP Top 10 防护： WAF 可以抵御常见的 Web 应用程序漏洞。
- 代码分析工具： 扫描应用程序代码中的漏洞。
- 安全审计和日志记录： 记录应用程序操作，以便进行安全审查。
如何使用 Azure Defense in Depth：
- 评估风险： 了解你的应用程序和数据的敏感性，识别潜在的威胁。
- 分层设计： 在规划你的 Azure 架构时，有意识地在每个层面都考虑安全控制。
- 例如，不要只依赖 NSG 来保护 VM，还要确保 VM 上的操作系统是打过补丁的，并且用户通过 MFA 登录。
- 利用 Azure 服务： 充分利用 Azure 提供的各种安全服务来构建你的防御层。
- 持续监控和改进：
- 使用 Azure Monitor 和 Azure Sentinel（云原生 SIEM）收集日志、检测威胁和响应事件。
- Azure Security Center/Defender for Cloud 提供持续的安全态势管理、威胁防护和安全建议。
- 定期审查和更新安全策略。
通过在 Azure 中采用纵深防御策略，你可以显著提高云环境的安全性，有效应对不断演变的网络威胁。它是一个持续的过程，需要规划、实施、监控和优化。