Použití principů nulová důvěra (Zero Trust) na Microsoft Security Copilot
Shrnutí: Pokud chcete použít zásady nulová důvěra (Zero Trust) pro vaše prostředí pro Microsoft Security Copilot, musíte použít pět vrstev ochrany:
- Chraňte uživatelské účty správců a zaměstnanců SecOps pomocí zásad identit a přístupu.
- U uživatelských účtů správců a zaměstnanců secOps použijte přístup s nejnižšími oprávněními, včetně přiřazení minimálních rolí uživatelských účtů.
- Správa a ochrana zařízení pro správce a zaměstnance SecOps
- Nasaďte nebo ověřte ochranu před hrozbami.
- Zabezpečený přístup k bezpečnostním produktům třetích stran, které integrujete se službou Security Copilot.
Úvod
Společnost Microsoft doporučuje, abyste jako součást zavádění zkopírovaného softwaru Microsoft Security Copilot do vašeho prostředí vytvořili silné základy zabezpečení pro uživatelské účty a zařízení pro správce a secOps. Microsoft také doporučuje zajistit, abyste nakonfigurovali nástroje ochrany před hrozbami. Pokud integrujete bezpečnostní produkty třetích stran se službou Security Copilot, ujistěte se také, že máte chráněný přístup k těmto produktům a souvisejícím datům.
Pokyny pro silné základy zabezpečení naštěstí existují ve formě nulová důvěra (Zero Trust). Strategie zabezpečení nulová důvěra (Zero Trust) zachází s každým připojením a požadavkem na prostředky, jako by pocházela z nekontrolovatelné sítě a špatného aktéra. Bez ohledu na to, odkud žádost pochází nebo k jakému prostředku přistupuje, nulová důvěra (Zero Trust) nás naučí, že "nikdy nedůvěřujete, vždy ověřte".
Z portálů zabezpečení poskytuje funkce Security Copilot přirozený jazyk, prostředí pro usnadnění kopírování, které pomáhá podporovat:
Odborníci na zabezpečení v komplexních scénářích, jako jsou reakce na incidenty, proaktivní vyhledávání hrozeb, shromažďování inteligentních informací a správa stavu.
It specialisté na vyhodnocení a konfiguraci zásad, řešení potíží s přístupem k zařízením a uživatelům a monitorování výkonu.
Služba Security Copilot používá data z protokolů událostí, výstrah, incidentů a zásad pro vaše předplatná Microsoftu a produkty zabezpečení třetích stran. Pokud útočník naruší uživatelský účet správce nebo pracovníka zabezpečení, který má přiřazenou roli Kopírování zabezpečení, může použít funkci Security Copilot a jeho výsledky, aby pochopili, jak váš tým SecOps řeší probíhající útoky. Útočník pak může tyto informace použít k tomu, aby se pokusil reagovat na incident, případně takový, který inicioval.
Proto je důležité zajistit, abyste ve svém prostředí použili vhodná omezení rizik.
Logická architektura
Prvním řádkem obrany při zavádění funkce Security Copilot je použití principů nulová důvěra (Zero Trust) na účty a zařízení správců a zaměstnanců SecOps. Je také důležité zajistit, aby vaše organizace použila zásadu nejnižších oprávnění. Kroměrolích
Je snadné pochopit, proč jsou tato omezení rizik důležitá, když se podíváte na logickou architekturu funkce Security Copilot, jak je znázorněno tady.
V diagramu:
Členové týmu SecOps můžou zobrazit výzvu pomocí prostředí copilotu, jako jsou například možnosti kopírování zabezpečení, XDR v programu Microsoft Defender a Microsoft Intune.
Mezi komponenty Copilotu zabezpečení patří:
Služba Security Copilot, která orchestruje odpovědi na výzvy na základě dovedností a uživatelů.
Sada velkých jazykových modelů (LLM) pro kopírování zabezpečení.
Moduly plug-in pro konkrétní produkty. K dispozici jsou předinstalované moduly plug-in pro produkty Microsoftu. Tyto moduly plug-in jsou předzpracované a následné výzvy.
Data vašeho předplatného. Data SecOps pro protokoly událostí, výstrahy, incidenty a zásady uložené v předplatných. Další informace najdete v tomto článku o Microsoft Sentinelu pro nejběžnější zdroje dat pro produkty zabezpečení.
Soubory, které nahrajete. Do souboru Security Copilot můžete nahrát konkrétní soubory a zahrnout je do rozsahu výzev.
Každý produkt zabezpečení Microsoftu s prostředím copilotu poskytuje přístup pouze k datové sadě přidružené k danému produktu, jako jsou protokoly událostí, výstrahy, incidenty a zásady. Security Copilot poskytuje přístup ke všem datovým sadám, ke kterým má uživatel přístup.
Další informace naleznete v tématu Začínáme se službou Microsoft Security Copilot.
Jak ověřování jménem uživatele funguje se službou Security Copilot?
Služba Security Copilot používá ověřování jménem uživatele (OBO), které poskytuje OAuth 2.0. Toto je tok ověřování poskytovaný delegováním v OAuth. Když uživatel SecOps vydá výzvu, funkce Security Copilot předá identitu a oprávnění uživatele prostřednictvím řetězu žádostí. Tím zabráníte uživateli získat oprávnění k prostředkům, ke kterým by neměl mít přístup.
Další informace o ověřování OBO naleznete v tématu Microsoft Identity Platform a OAuth2.0 On-Behalf-Of tok.
Zobrazení výzvy v rámci produktu zabezpečení Microsoftu: Vložený příklad pro Microsoft Intune
Při použití některého z vložených prostředí funkce Security Copilot je rozsah dat určen kontextem používaného produktu. Pokud například vydáte výzvu v Microsoft Intune, vytvoří se výsledky z dat a kontextu, které poskytuje jenom Microsoft Intune.
Tady je logická architektura při vydávání výzev z integrovaného prostředí Microsoft Intune.
V diagramu:
Správci Intune používají microsoft Copilot v prostředí Intune k odesílání výzev.
Komponenta Security Copilot orchestruje odpovědi na výzvy pomocí:
The LLMs for Security Copilot.
Předinstalovaný modul plug-in Microsoft Intune.
Data Intune pro zařízení, zásady a stav zabezpečení uložená ve vašem předplatném Microsoft 365
Integrace s produkty zabezpečení třetích stran
Security Copilot poskytuje možnost hostovat moduly plug-in pro produkty třetích stran. Tyto moduly plug-in třetích stran poskytují přístup k přidruženým datům. Tyto moduly plug-in a související data se nacházejí mimo hranice důvěryhodnosti zabezpečení Microsoftu. Proto je důležité zajistit, abyste zajistili zabezpečený přístup k těmto aplikacím a jejich přidruženým datům.
Tady je logická architektura služby Security Copilot s produkty zabezpečení třetích stran.
V diagramu:
- Funkce Security Copilot se integruje s produkty zabezpečení třetích stran prostřednictvím modulů plug-in.
- Tyto moduly plug-in poskytují přístup k datům přidruženým k produktu, jako jsou protokoly a výstrahy.
- Tyto komponenty třetích stran se nacházejí mimo hranici důvěryhodnosti zabezpečení Microsoftu.
Použití zmírnění rizik zabezpečení ve vašem prostředí pro službu Security Copilot
Zbytek tohoto článku vás provede postupem použití principů nulová důvěra (Zero Trust) k přípravě prostředí pro kopírování zabezpečení.
| Krok | Úloha | nulová důvěra (Zero Trust) použité principy |
|---|---|---|
| 0 | Nasaďte nebo ověřte zásady identit a přístupu pro správce a pracovníky secOps. | Explicitní ověření |
| 2 | Použijte nejnižší oprávnění pro uživatelské účty správce a SecOps. | Použití nejméně privilegovaného přístupu |
| 3 | Zabezpečte zařízení pro privilegovaný přístup. | Explicitní ověření |
| 4 | Nasaďte nebo ověřte služby ochrany před hrozbami. | Předpokládat porušení zabezpečení |
| 5 | Zabezpečený přístup k bezpečnostním produktům a datům třetích stran. | Explicitní ověření Použití nejméně privilegovaného přístupu Předpokládat porušení zabezpečení |
Existuje několik přístupů, které můžete při konfiguraci ochrany pro vaše prostředí provést při onboardingu správců a pracovníků secOps ke kopírování zabezpečení.
Onboarding jednotlivých uživatelů do kopírovacíholotu zabezpečení
Než přiřadíte roli pro security Copilot, projděte si kontrolní seznam pro správce a pracovníky secOps. To funguje dobře pro malé týmy a organizace, které chtějí začít s testovací nebo pilotní skupinou.
Fázované nasazení funkce Security Copilot
U rozsáhlých prostředí funguje dobře standardní nasazení. V tomto modelu budete řešit skupiny uživatelů současně, abyste nakonfigurovali ochranu a přiřaďte role.
Tady je příklad modelu.
Na obrázku:
- Ve fázi Vyhodnocení vyberete malou sadu uživatelů s oprávněními správce a SecOps, ke kterým chcete mít přístup ke službě Security Copilot, a použijete identitu a přístup a ochranu zařízení.
- Ve fázi pilotního nasazení vyberete další sadu uživatelů správce a SecOps a použijete identitu a přístup a ochranu zařízení.
- Ve fázi úplného nasazení použijete identitu a přístup a ochranu zařízení pro ostatní uživatele správce a secOps.
- Na konci každé fáze přiřadíte k uživatelským účtům příslušnou roli v Security Copilotu.
Vzhledem k tomu, že různé organizace můžou být v různých fázích nasazení ochrany nulová důvěra (Zero Trust) pro své prostředí, v každém z těchto kroků:
- Pokud nepoužíváte žádnou ochranu popsanou v tomto kroku, před přiřazením rolí, které zahrnují funkci Security Copilot, proveďte pilotní nasazení a nasaďte je správci a pracovníkům secOps.
- Pokud už používáte některé z ochrany popsaných v kroku, použijte informace v tomto kroku jako kontrolní seznam a ověřte, že každá uvedená ochrana byla pilotní a nasazená před přiřazením rolí, které zahrnují funkci Security Copilot.
Krok 1. Nasazení nebo ověření zásad identit a přístupu pro správce a pracovníky secOps
Abyste zabránili špatným hercům v rychlém získání informací o kybernetických útokech pomocí funkce Security Copilot, prvním krokem je zabránit jim v získání přístupu. Musíte zajistit, aby pracovníci s rolí správce a secOps:
- Uživatelské účty se vyžadují k použití vícefaktorového ověřování (MFA), aby jejich přístup nebylo možné ohrozit pouze odhadem uživatelských hesel) a při zjištění vysoce rizikové aktivity je potřeba změnit hesla.
- Zařízení musí splňovat zásady správy Intune a dodržování předpisů zařízením.
Doporučení zásad identit a přístupu najdete v kroku identit a přístupu v nulová důvěra (Zero Trust) pro Microsoft 365 Copilot. Na základě doporučení v tomto článku se ujistěte, že vaše výsledná konfigurace použije následující zásady pro všechny uživatelské účty pedagogů SecOps a jejich zařízení:
- Vždy používat vícefaktorové ověřování pro přihlášení
- Blokování klientů, kteří nepodporují moderní ověřování
- Vyžadování kompatibilních počítačů a mobilních zařízení
- Uživatelé s vysokým rizikem musí změnit heslo (jenom pro Microsoft 365 E5)
- Vyžadování dodržování zásad dodržování předpisů pro zařízení v Intune
Tato doporučení odpovídají úrovni specializované ochrany zabezpečení v zásadách přístupu k nulová důvěra (Zero Trust) identitě a zařízením od Microsoftu. Následující diagram znázorňuje doporučené tři úrovně ochrany: Výchozí bod, Enterprise a Special. Úroveň podnikové ochrany se doporučuje minimálně pro vaše privilegované účty.
V diagramu jsou doporučené zásady pro podmíněný přístup Microsoft Entra, dodržování předpisů zařízením Intune a ochrana aplikací Intune znázorněné pro každou ze tří úrovní:
- Výchozí bod, který nevyžaduje správu zařízení.
- Společnost Enterprise se doporučuje pro nulová důvěra (Zero Trust) a jako minimum pro přístup ke službě Security Copilot a produktům zabezpečení a souvisejícím datům třetích stran.
- Pro přístup ke službě Security Copilot a produktům zabezpečení třetích stran a souvisejícím datům se doporučuje specializované zabezpečení .
Každá z těchto zásad je podrobněji popsaná v běžných zásadách identit nulová důvěra (Zero Trust) a přístupu zařízení pro organizace Microsoftu 365.
Konfigurace samostatné sady zásad pro privilegované uživatele
Při konfiguraci těchto zásad pro správce a zaměstnance secOps vytvořte pro tyto privilegované uživatele samostatnou sadu zásad. Například nepřidávejte správce do stejné sady zásad, které řídí přístup neprivilegovaných uživatelů k aplikacím, jako je Microsoft 365 a Salesforce. Použijte vyhrazenou sadu zásad s ochranou, která je vhodná pro privilegované účty.
Zahrnutí nástrojů zabezpečení do rozsahu zásad podmíněného přístupu
Prozatím neexistuje snadný způsob konfigurace podmíněného přístupu pro kopírovaný objekt zabezpečení. Vzhledem k tomu, že ověřování jménem uživatele se používá pro přístup k datům v rámci nástrojů zabezpečení, ujistěte se, že jste pro tyto nástroje nakonfigurovali podmíněný přístup, což může zahrnovat ID Microsoft Entra a Microsoft Intune.
Krok 2. Použití nejnižších oprávnění pro uživatelské účty správce a SecOps
Tento krok zahrnuje konfiguraci příslušných rolí v rámci Zkopírovaného protokolu zabezpečení. Zahrnuje také kontrolu uživatelských účtů správce a SecOps, abyste měli jistotu, že mají přiřazená nejnižší úroveň oprávnění pro práci, kterou mají udělat.
Přiřazeníuživatelských
Model oprávnění pro nástroj Security Copilot zahrnuje role v Microsoft Entra ID i kopírovaný objekt zabezpečení.
| Produkt | Role | Popis |
|---|---|---|
| Microsoft Entra ID | Správce zabezpečení Globální správce |
Tyto role Microsoft Entra dědí roli vlastníka Copilotu v security Copilot. Tyto privilegované role používejte jenom k onboardingu funkce Security Copilot do vaší organizace. |
| Security Copilot | Vlastník copilotu Přispěvatel zkopírovaného grafu |
Mezi tyto dvě role patří přístup k používání funkce Security Copilot. Většina pracovníků s rolí přispěvatele Copilot a SecOps může používat většinu vašich pracovníků. Role vlastníka Copilotu zahrnuje možnost publikovat vlastní moduly plug-in a spravovat nastavení, která ovlivňují všechny funkce Copilot zabezpečení. |
Je důležité vědět, že ve výchozím nastavení mají všichni uživatelé v tenantovi přístup přispěvatele Copilotu. Díky této konfiguraci se přístup k datům nástroje zabezpečení řídí oprávněními, která jste nakonfigurovali pro každý z nástrojů zabezpečení. Výhodou této konfigurace je, že vložená prostředí služby Security Copilot jsou okamžitě k dispozici správcům a pracovníkům secOps v rámci produktů, které používají každý den. To funguje dobře, pokud jste už ve vaší organizaci zavedli silný postup nejméně privilegovaného přístupu.
Pokud chcete provést fázovaný přístup k zavedení funkce Security Copilot pro správce a pracovníky secOps při ladění nejméně privilegovaného přístupu ve vaší organizaci, odeberte všechny uživatele z role přispěvatele Copilot a přidejte skupiny zabezpečení, jak jste připraveni.
Další informace najdete v těchto zdrojích informací o službě Microsoft Security Copilot:
Konfigurace nebo kontrola přístupu s nejnižšími oprávněními pro uživatelské účty správce a SecOps
Představujeme nástroj Security Copilot je skvělou dobou ke kontrole přístupu uživatelských účtů správců a zaměstnanců SecOps, abyste měli jistotu, že sledujete princip nejnižších oprávnění pro jejich přístup ke konkrétním produktům. To zahrnuje následující úlohy:
- Zkontrolujte oprávnění udělená pro konkrétní produkty, se kterými pracuje váš správce a pracovníci SecOps. Například pro Microsoft Entra, viz nejméně privilegované role podle úkolu.
- Pomocí microsoft Entra Privileged Identity Management (PIM) získáte větší kontrolu nad přístupem ke kopírování zabezpečení.
- Použijte Microsoft Purview Privileged Access Management ke konfiguraci podrobné kontroly přístupu nad úlohami privilegovaného správce v Office 365.
Použití služby Microsoft Entra Privileged Identity Management společně se službou Security Copilot
Microsoft Entra Privileged Identity Management (PIM) umožňuje spravovat, řídit a monitorovat role potřebné pro přístup ke službě Security Copilot. S PIM můžete:
- Zadejte aktivaci role, která je založená na čase.
- Vyžadovat schválení k aktivaci privilegovaných rolí.
- Vynucením vícefaktorového ověřování aktivujte libovolnou roli.
- Při aktivaci privilegovaných rolí můžete dostávat oznámení.
- Zkontrolujte přístup, abyste zajistili, že uživatelské účty správců a zaměstnanců secOps stále potřebují přiřazené role.
- Proveďte audity změn přístupu a rolí pro správce a pracovníky secOps.
Použití správy privilegovaného přístupu společně se službou Security Copilot
Microsoft Purview Privileged Access Management pomáhá chránit vaši organizaci před porušením zabezpečení a pomáhá splňovat osvědčené postupy dodržování předpisů omezením přístupu k citlivým datům nebo přístupu k důležitým nastavením konfigurace. Místo toho, aby správci měli konstantní přístup, implementují se pravidla přístupu za běhu pro úlohy, které potřebují zvýšená oprávnění. Místo toho, aby správci měli konstantní přístup, implementují se pravidla přístupu za běhu pro úlohy, které potřebují zvýšená oprávnění. Další informace naleznete v tématu Privileged Access Management.
Krok 3. Zabezpečení zařízení pro privilegovaný přístup
V kroku 1 jste nakonfigurovali zásady podmíněného přístupu, které pro správce a zaměstnance secOps vyžadovaly spravované a vyhovující zařízení. Pro další zabezpečení můžete nasadit zařízení s privilegovaným přístupem, která můžou zaměstnanci používat při přístupu k nástrojům zabezpečení a datům, včetně funkce Security Copilot. Zařízení s privilegovaným přístupem je posílená pracovní stanice, která má jasné řízení aplikací a ochranu Application Guard. Pracovní stanice používá ochranu credential guard, device guard, app guard a exploit guard k ochraně hostitele před útočníky.
Další informace o tom, jak nakonfigurovat zařízení pro privilegovaný přístup, najdete v tématu Zabezpečení zařízení v rámci scénáře privilegovaného přístupu.
Pokud chcete tato zařízení vyžadovat, nezapomeňte aktualizovat zásady dodržování předpisů pro zařízení v Intune. Pokud přecházíte mezi správcem a pracovníky SecOps na posílená zařízení, převést skupiny zabezpečení z původní zásady dodržování předpisů pro zařízení na novou zásadu. Pravidlo podmíněného přístupu může zůstat stejné.
Krok 4. Nasazení nebo ověření služeb ochrany před hrozbami
Pokud chcete zjistit aktivity špatných herců a zabránit jim v získání přístupu ke službě Security Copilot, ujistěte se, že můžete detekovat bezpečnostní incidenty a reagovat na ně pomocí komplexní sady služeb ochrany před hrozbami, mezi které patří XDR v programu Microsoft Defender s Microsoft 365, Microsoft Sentinelem a dalšími službami a produkty zabezpečení.
Použijte následující zdroje informací.
| Obor | Popis a zdroje informací |
|---|---|
| Aplikace Microsoft 365 a SaaS integrované s Microsoft Entra | Pokyny k rozšíření ochrany před hrozbami počínaje plány Microsoft 365 E3 a pokroky v plánech Microsoft E5 najdete v článku nulová důvěra (Zero Trust) pro Microsoft 365 Copilot. Informace o plánech Microsoft 365 E5 najdete také v tématu Vyhodnocení a pilotní zabezpečení XDR v programu Microsoft Defender. |
| Vaše cloudové prostředky Azure Vaše prostředky v jiných poskytovatelích cloudu, jako je Amazon Web Services (AWS) |
K zahájení práce s Defenderem pro cloud použijte následující zdroje informací: - Microsoft Defender for Cloud - Použití principů nulová důvěra (Zero Trust) pro aplikace IaaS v AWS |
| Vaše digitální aktiva se všemi nástroji Microsoft XDR a Microsoft Sentinelem | Průvodce implementací Microsoft Sentinelu a XDR v programu Microsoft Defender pro nulová důvěra (Zero Trust) řešení vás provede procesem nastavení nástrojů Microsoft eXtended detection and response (XDR) společně se službou Microsoft Sentinel, která urychlí schopnost vaší organizace reagovat na útoky na kybernetickou bezpečnost a napravit je. |
Krok 5. Zabezpečený přístup k bezpečnostním produktům a datům třetích stran
Pokud integrujete bezpečnostní produkty třetích stran se službou Security Copilot, ujistěte se, že máte zabezpečený přístup k těmto produktům a souvisejícím datům. Pokyny pro Microsoft nulová důvěra (Zero Trust) zahrnují doporučení pro zabezpečení přístupu k aplikacím SaaS. Tato doporučení se dají použít pro vaše produkty zabezpečení třetích stran.
V případě ochrany pomocí zásad přístupu k identitám a zařízením jsou změny běžných zásad pro aplikace SaaS uvedené červeně v následujícím diagramu. Jedná se o zásady, ke kterým můžete přidat své produkty zabezpečení třetích stran.
U vašich produktů a aplikací zabezpečení třetích stran zvažte vytvoření vyhrazené sady zásad pro tyto aplikace. Díky tomu můžete s produkty zabezpečení zacházet s vyššími požadavky v porovnání s kancelářskými aplikacemi, jako je Dropbox a Salesforce. Například přidejte Tanium a všechny ostatní produkty zabezpečení třetích stran do stejné sady zásad podmíněného přístupu. Pokud chcete vynutit přísnější požadavky pro zařízení pro správce a zaměstnance secOps, nakonfigurujte také jedinečné zásady pro dodržování předpisů zařízením Intune a ochranu aplikací Intune a přiřaďte tyto zásady správcům a pracovníkům secOps.
Další informace o přidání bezpečnostních produktů do MICROSOFT Entra ID a rozsahu zásad podmíněného přístupu a souvisejících zásad (nebo konfiguraci nové sady zásad) najdete v tématu Přidání aplikací SaaS do Microsoft Entra ID a rozsahu zásad.
V závislosti na produktu zabezpečení může být vhodné použít Microsoft Defender for Cloud Apps k monitorování používání těchto aplikací a použití ovládacích prvků relací. Pokud tyto aplikace zabezpečení zahrnují ukládání dat v některém z typů souborů podporovaných službou Microsoft Purview, můžete pomocí defenderu for Cloud monitorovat a chránit tato data pomocí popisků citlivosti a zásad ochrany před únikem informací. Další informace najdete v tématu Integrace aplikací SaaS pro nulová důvěra (Zero Trust) s Microsoftem 365.
Příklad pro tanium SSO
Tanium je poskytovatel nástrojů pro správu koncových bodů a nabízí vlastní modul plug-in Tanium Skills pro Kopírování zabezpečení. Tento modul plug-in pomáhá uzemnět výzvy a odpovědi, které využívají informace a přehledy shromážděné službou Tanium.
Zde je logická architektura Security Copilot s modulem plug-in Tanium Skills.
V diagramu:
- Tanium Skills je vlastní modul plug-in pro Microsoft Security Copilot.
- Tanium Skills poskytuje přístup k výzvám i odpovědím, které používají informace a přehledy shromážděné na taniu a pomáhají jim.
Zabezpečení přístupu k produktům Tanium a souvisejícím datům:
- Pomocí galerie aplikací Microsoft Entra ID vyhledejte a přidejte do svého tenanta jednotné přihlašování Tanium. Viz Přidání podnikové aplikace. Příklad specifický pro Tanium najdete v tématu Integrace jednotného přihlašování Microsoft Entra s jednotným přihlašováním k taniu.
- Přidejte tanium SSO do rozsahu vašich nulová důvěra (Zero Trust) zásad identit a přístupu.
Další kroky
Podívejte se na video Discover Microsoft Security Copilot.
Podívejte se na tyto další články o nulová důvěra (Zero Trust) a copilotech Microsoftu:
Projděte si také dokumentaci ke službě Microsoft Security Copilot.
Reference
V těchto odkazech se dozvíte o různých službách a technologiích uvedených v tomto článku.