セキュリティ フレーム: 通信セキュリティ |緩和 策

SSL/TLS を使用して Event Hub への通信をセキュリティで保護する

サービス アカウントの権限を確認し、カスタム サービスまたは ASP.NET ページが CRM のセキュリティを尊重していることを確認します

オンプレミスの SQL Server を Azure Data Factory に接続するときにデータ管理ゲートウェイを使用する

Identity Server へのすべてのトラフィックが HTTPS 接続経由であることを確認する

SSL、TLS、および DTLS 接続の認証に使用される X.509 証明書を確認する

Azure App Service でカスタム ドメインの TLS/SSL 証明書を構成する

HTTPS 接続経由で Azure App Service へのすべてのトラフィックを強制する

例

次の例には、すべての受信トラフィックに HTTPS の使用を強制する基本的な URL 書き換えルールが含まれています

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Force HTTPS" enabled="true">
          <match url="(.*)" ignoreCase="false" />
          <conditions>
            <add input="{HTTPS}" pattern="off" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

このルールは、ユーザーが HTTP を使用してページを要求したときに、HTTP 状態コード 301 (永続的なリダイレクト) を返すことによって機能します。 301 は、要求をビジターが要求したのと同じ URL にリダイレクトしますが、要求の HTTP 部分を HTTPS に置き換えます。 たとえば、 HTTP://contoso.com は HTTPS://contoso.comにリダイレクトされます。

HTTP Strict Transport Security (HSTS) を有効にする

SQL Server 接続の暗号化と証明書の検証を確認する

SQL Server への暗号化された通信を強制する

Azure Storage への通信が HTTPS 経由であることを確認する

HTTPS を有効にできない場合は、BLOB のダウンロード後に MD5 ハッシュを検証する

SMB 3.x 互換クライアントを使用して、Azure ファイル共有への転送中データの暗号化を確保する

証明書のピン留めを実装する

例

using System;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography;

namespace CertificatePinningExample
{
    class CertificatePinningExample
    {
        /* Note: In this example, we're hardcoding the certificate's public key and algorithm for 
           demonstration purposes. In a real-world application, this should be stored in a secure
           configuration area that can be updated as needed. */

        private static readonly string PINNED_ALGORITHM = "RSA";

        private static readonly string PINNED_PUBLIC_KEY = "3082010A0282010100B0E75B7CBE56D31658EF79B3A1" +
            "294D506A88DFCDD603F6EF15E7F5BCBDF32291EC50B2B82BA158E905FE6A83EE044A48258B07FAC3D6356AF09B2" +
            "3EDAB15D00507B70DB08DB9A20C7D1201417B3071A346D663A241061C151B6EC5B5B4ECCCDCDBEA24F051962809" +
            "FEC499BF2D093C06E3BDA7D0BB83CDC1C2C6660B8ECB2EA30A685ADE2DC83C88314010FFC7F4F0F895EDDBE5C02" +
            "ABF78E50B708E0A0EB984A9AA536BCE61A0C31DB95425C6FEE5A564B158EE7C4F0693C439AE010EF83CA8155750" +
            "09B17537C29F86071E5DD8CA50EBD8A409494F479B07574D83EDCE6F68A8F7D40447471D05BC3F5EAD7862FA748" +
            "EA3C92A60A128344B1CEF7A0B0D94E50203010001";


        public static void Main(string[] args)
        {
            HttpWebRequest request = (HttpWebRequest)WebRequest.Create("https://azure.microsoft.com");
            request.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
            {
                if (certificate == null || sslPolicyErrors != SslPolicyErrors.None)
                {
                    // Error getting certificate or the certificate failed basic validation
                    return false;
                }

                var targetKeyAlgorithm = new Oid(certificate.GetKeyAlgorithm()).FriendlyName;
                var targetPublicKey = certificate.GetPublicKeyString();
                
                if (targetKeyAlgorithm == PINNED_ALGORITHM &&
                    targetPublicKey == PINNED_PUBLIC_KEY)
                {
                    // Success, the certificate matches the pinned value.
                    return true;
                }
                // Reject, either the key or the algorithm does not match the expected value.
                return false;
            };

            try
            {
                var response = (HttpWebResponse)request.GetResponse();
                Console.WriteLine($"Success, HTTP status code: {response.StatusCode}");
            }
            catch(Exception ex)
            {
                Console.WriteLine($"Failure, {ex.Message}");
            }
            Console.WriteLine("Press any key to end.");
            Console.ReadKey();
        }
    }
}

HTTPS を有効にする - セキュリティで保護されたトランスポート チャネル

WCF: メッセージ セキュリティ保護レベルを EncryptAndSign に設定する

例

次の例では、メッセージにのみ署名するようにサービスと操作を構成します。 ProtectionLevel.Signのサービス コントラクトの例: サービス コントラクト レベルでの ProtectionLevel.Sign の使用例を次に示します。

[ServiceContract(Protection Level=ProtectionLevel.Sign] 
public interface IService 
  { 
  string GetData(int value); 
  } 

例

ProtectionLevel.Signの操作コントラクトの例 (詳細制御の場合): OperationContract レベルでProtectionLevel.Signを使用する例を次に示します。

[OperationContract(ProtectionLevel=ProtectionLevel.Sign] 
string GetData(int value);

WCF: 最小特権アカウントを使用して WCF サービスを実行する

HTTPS 接続経由で Web API へのすべてのトラフィックを強制する

例

次のコードは、TLS をチェックする Web API 認証フィルターを示しています。

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }
}

TLS を必要とする Web API アクションにこのフィルターを追加します。

public class ValuesController : ApiController
{
    [RequireHttps]
    public HttpResponseMessage Get() { ... }
}

Azure Cache for Redis への通信が TLS 経由であることを確認する

Redis は、信頼された環境内の信頼されたクライアントによってアクセスされるように設計されていることに注意してください。 つまり、通常、Redis インスタンスをインターネットに直接公開したり、一般に、信頼されていないクライアントが Redis TCP ポートまたは UNIX ソケットに直接アクセスできる環境に公開することはお勧めしません。

デバイスからフィールド ゲートウェイへの通信をセキュリティで保護する

SSL/TLS を使用してデバイスからクラウド ゲートウェイへの通信をセキュリティで保護する