Anbefalinger for bygging av en segmenteringsstrategi
Gjelder anbefalingen for Power Platform Well-Architected Security-sjekkliste:
| SE:04 | Opprett segmentering og perimetere med hensikt i arkitekturutformingen og i arbeidsbelastningens avtrykk på plattformen. Segmenteringsstrategien må inneholde nettverk, roller og ansvar, identiteter for arbeidsbelastning og ressursorganisasjon. |
|---|
En segmenteringsstrategi definerer hvordan du skiller arbeidsbelastninger fra andre arbeidsbelastninger med sine egne sett med sikkerhetskrav og -tiltak.
Denne veiledningen beskriver anbefalingene for bygging av en enhetlig segmenteringsstrategi. Du kan bruke perimetere og isolasjonsgrenser i arbeidsbelastninger til å utforme en sikkerhetstilnærming som fungerer for deg.
Definisjoner
| Term | Definisjon |
|---|---|
| Begrensning | En teknikk som begrenser det potensielle skadeomfanget hvis en angriper får tilgang til et segment. |
| Minste tillatelsestilgang | Et nulltillitsprinsipp som har som mål å minimere et sett med tillatelser for å fullføre en jobbfunksjon. |
| Perimeter | Klareringsgrensen rundt et segment. |
| Ressursorganisasjon | En strategi som brukes til å gruppere relaterte ressurser etter flyter i et segment. |
| Rolle | Et sett med tillatelser som kreves for å fullføre en jobbfunksjon. |
| Segment | En logisk enhet som er isolert fra andre enheter og beskyttet av et sett med sikkerhetstiltak. |
Viktige utformingsstrategier
Segmenteringskonseptet brukes vanligvis for nettverk. Det samme underliggende prinsippet kan imidlertid brukes over hele løsningen, inkludert segmentering av ressurser for administrasjonsformål og tilgangskontroll.
Segmentering hjelper deg å utforme en sikkerhetstilnærming som bruker forsvar i dybden basert på prinsippene for nulltillitsmodellen. Sørg for at en angriper som bryter seg inn i ett segment, ikke får tilgang til et annet, ved å segmentere arbeidsbelastninger med ulike identitetskontroller. I et sikkert system brukes ulike attributter, for eksempel nettverk og identitet, til å blokkere uautorisert tilgang og skjule aktiva fra å bli eksponert.
Her er noen eksempler på segmenter:
- Plattformkontroller som definerer nettverksgrenser
- Miljøer som isolerer arbeidsbelastninger i en organisasjon
- Løsninger som isolerer ressurser for arbeidsbelastning
- Distribusjonsmiljøer som isolerer distribusjon etter faser
- Team og roller som isolerer jobbfunksjoner relatert til utvikling og administrasjon av arbeidsbelastninger
- Programnivåer som isolerer etter arbeidsbelastningsverktøy
- Mikrotjenester som isolerer en tjeneste fra en annen
Vurder disse viktige elementene ved segmentering for å sikre at du utvikler en omfattende strategi for forsvar i dybden:
Grensen eller perimeteren er inngangskanten av et segment der du bruker sikkerhetskontroller. Perimeterkontroller skal blokkere tilgang til segmentet med mindre tilgangen er eksplisitt tillatt. Målet er å forhindre at en angriper kan bryte seg inn gjennom perimeteren og få kontroll over systemet. En bruker kan for eksempel ha tilgang til et miljø, men kan bare starte bestemte programmer i dette miljøet basert på tillatelsene vedkommende har.
Inneslutning er utgangskanten til et segment som hindrer sideveis bevegelse i systemet. Målet med begrensning er å minimere virkningen av et sikkerhetsbrudd. Du kan for eksempel bruke et virtuelt nettverk til å konfigurere rutings- og nettverkssikkerhetsgrupper som bare tillater trafikkmønstre du forventer, og dermed unngå trafikk til vilkårlige nettverkssegmenter.
Isolasjon er praksisen med å gruppere enheter med lignende forsikringer sammen for å beskytte dem med en grense. Målet er å forenkle administrasjon og begrense et angrep innenfor et miljø. Du kan for eksempel gruppere ressursene som er relatert til en bestemt arbeidsbelastning, i et Power Platform-miljø eller en løsning, og deretter bruke tilgangskontroll slik at bare bestemte arbeidsbelastningsteam har tilgang til miljøet.
Det er viktig å være oppmerksom på skillet mellom perimetere og isolasjon. Perimeter henviser til lokasjonspunkter som skal kontrolleres. Isolasjon handler om gruppering. Foreta aktiv begrensning av et angrep ved å bruke disse konseptene sammen.
Isolasjon handler ikke om å opprette siloer i organisasjonen. En enhetlig segmenteringsstrategi skaper samkjøring mellom de tekniske teamene og trekker klare linjer mellom ansvarsområder. Klarhet reduserer risikoen for menneskelige feil og automatiseringsfeil som kan føre til sikkerhetsproblemer, driftsnedetid eller begge deler. La oss si at et sikkerhetsbrudd er oppdaget i en komponent i et komplekst bedriftssystem. Det er viktig at alle forstår hvem som er ansvarlig for denne ressursen, slik at riktig person blir inkludert i behandlingsteamet. Organisasjonen og interessentene kan raskt identifisere hvordan de skal reagere på ulike typer hendelser ved å opprette og dokumentere en god segmenteringsstrategi.
Avveining: Segmentering introduserer kompleksitet fordi Der er overhead i ledelsen.
Risiko: Mikrosegmentering utover en rimelig grense mister fordelen med isolasjon. Når du oppretter for mange segmenter, blir det vanskelig å identifisere kommunikasjonspunkter eller å tillate gyldige kommunikasjonsbaner innenfor segmentet.
Identitet som perimeteren
Ulike identiteter, for eksempel personer, programvarekomponenter eller enheter, har tilgang til arbeidsbelastningssegmenter. Identitet er en perimeter som skal være den primære forsvarslinjen for å godkjenne og autorisere tilgang på tvers av isolasjonsgrenser, uavhengig av hvor tilgangsforespørselen kommer fra. Bruk identitet som en perimeter til følgende:
Tilordne tilgang etter rolle. Identiteter trenger bare tilgang til segmentene de trenger for å kunne gjøre jobben. Minimer anonym tilgang ved å forstå rollene og ansvaret til identiteten som ber om tilgang, slik at du kjenner enheten som ber om tilgang til et segment, og hvorfor den ber om det.
En identitet kan ha ulike tilgangsomfang i ulike segmenter. Vurder et typisk miljøoppsett med separate segmenter for hver fase. Identiteter som er knyttet til utviklerrollen, har lese- og skrivetilgang til utviklingsmiljøet. Etter hvert som distribusjonen flyttes til oppsamling, blir disse tillatelsene begrenset. Når arbeidsbelastningen er forfremmet til produksjon, er omfanget for utviklerne redusert til skrivebeskyttet tilgang.
Vurder program- og administrasjonsidentiteter separat. Brukere har i de fleste løsninger et annet tilgangsnivå enn utviklere eller operatører. I enkelte programmer kan du bruke ulike identitetssystemer eller kataloger for hver type identitet. Vurder å opprette separate roller for hver identitet.
Tilordne minste tillatelsestilgang. Hvis identiteten har tilgangstillatelse, fastsetter du tilgangsnivået. Begynn med den minste tillatelsen for hvert segment, og utvid dette omfanget bare når det er nødvendig.
Når du bruker den minste tillatelsen, begrenser du de negative virkningene hvis identiteten noensinne bringes i fare. Hvis tilgangen er tidsbegrenset, reduseres angrepsoverflaten ytterligere. Tidsbegrenset tilgang er særlig aktuelt for kritiske kontoer, for eksempel administratorer eller programvarekomponenter som har en utsatt identitet.
Hvis du vil ha informasjon om identitetskontroller, kan du se Anbefalinger for identitets- og tilgangsstyring.
Identitet validerer tilgangskontroll ved tilgangstidspunktet i motsetning til tilgangskontroller for nettverk. Vi anbefaler på det sterkeste at du foretar en regelmessig tilgangsgjennomgang og krever en arbeidsflyt for godkjenning for kontoer med kritisk innvirkning.
Nettverk som perimeter
Identitetsperimetere er nettverksagnostiske, mens nettverksperimetere forsterker identitet uten noensinne å erstatte den. Nettverksperimetere opprettes for å styre potensielt skadeomfang, blokkere uventet, forbudt og usikker tilgang og skjule arbeidsbelastningsressurser.
Selv om hovedfokuset for identitetsperimeteren er minste tillatelse, bør du anta at det kommer til å oppstå et sikkerhetsbrudd når du utformer nettverksperimeteren.
Opprett programvaredefinerte perimetere i nettverksavtrykket ved hjelp av Power Platform- og Azure-tjenester og -funksjoner. Når en arbeidsbelastning (eller deler av en gitt arbeidsbelastning) plasseres i separate segmenter, styrer du trafikk fra eller til disse segmentene for å sikre kommunikasjonsbaner. Hvis et segment er utsatt, blir det begrenset og forhindret fra å spre seg sideveis gjennom resten av nettverket.
Tenk som en angriper for å få et fotfeste i arbeidsbelastningen og opprette kontroller for å redusere ytterligere utvidelse. Kontrollene skal registrere, begrense og stoppe angripere fra å få tilgang til hele arbeidsbelastningen. Her er noen eksempler på nettverkskontroller som perimeter:
- Definer kantperimeteren mellom offentlige nettverk og nettverket der arbeidsbelastningen er plassert. Begrens synslinjen fra offentlige nettverk til nettverket ditt så mye som mulig.
- Opprett grenser basert på hensikt. Segmenter for eksempel funksjonsnettverk for arbeidsbelastning fra driftsnettverk.
Roller og ansvar
Segmentering som forhindrer forvirring og sikkerhetsrisikoer, oppnås ved å definere klare linjer mellom ansvarsområder i et arbeidsbelastningsteam.
Dokumenter og del roller og funksjoner for å skape ensartethet og legge til rette for kommunikasjon. Gi grupper eller individuelle roller ansvar for viktige funksjoner. Vurder de innebygde rollene i Power Platform før du oppretter egendefinerte roller for objekter.
Ta hensyn til ensartethet mens du tar i bruk flere organisasjonsmodeller når du tilordner tillatelser for et segment. Disse modellene kan variere fra én sentralisert IT-gruppe til for det meste uavhengige IT- og DevOps-team.
Ressursorganisasjon
Segmentering gjør at du kan isolere arbeidsbelastningsressurser fra andre deler av organisasjonen eller til og med innenfor teamet. Power Platform-konstruksjoner, for eksempel miljøer og løsninger, er måter å organisere ressurser på som fremmer segmentering.
Tilrettelegging for Power Platform
Delene nedenfor beskriver Power Platform-funksjoner og -egenskaper du kan bruke til å implementere en segmenteringsstrategi.
Identitet
Alle Power Platform-produkter bruker Microsoft Entra ID (tidligere Azure Active Directory elle Azure AD) for identitets- og tilgangsadministrasjon. Du kan bruke innebygde sikkerhetsroller, betinget tilgang, Privileged Identity Management og administrasjon av gruppetilgang i Entra ID til å definere identitetsperimeterne.
Microsoft Dataverse-bruker rollebasert sikkerhet til å gruppere sammen en samling rettigheter. Disse sikkerhetsrollene kan knyttes til direkte ved hjelp av brukere, eller de kan knyttes til Dataverse-team og -forretningsenheter. Hvis du vil ha mer informasjon, kan du se Sikkerhetskonsepter i Microsoft Dataverse.
Nettverk
Med Azure Virtual Network-støtte for Power Platform kan du integrere Power Platform med ressurser i det virtuelle nettverket uten å utsette dem for det offentlige Internett. Virtual Network-støtte bruker delegering av delnett for Azure til å håndtere utgående trafikk fra Power Platform ved kjøretid. Når delegering brukes, trenger ikke beskyttede ressurser å overføres via Internett for å integreres med Power Platform. Komponenter for Virtual Network, Dataverse og Power Platform kan kalle opp ressurser som eies av virksomheten, i nettverket, enten de driftes i Azure eller lokalt, og bruke programtillegg og koblinger til å foreta utgående oppkall. Hvis du vil ha mer informasjon, kan du se Oversikt over støtte for virtuelt nettverk for Power Platform.
IP-brannmur for Power Platform miljøer bidrar til å beskytte dataene dine ved å begrense brukertilgang til Dataverse bare tillatte IP-plasseringer.
Microsoft Azure ExpressRoute gir en avansert måte å koble det lokale nettverket til Microsoft skytjenester på ved hjelp av privat tilkobling. Én ExpressRoute-tilkobling kan brukes til å få tilgang til flere nettbaserte tjenester, for eksempel Microsoft Power Platform, Dynamics 365, Microsoft 365 og Azure.
Sikkerhetssjekkliste
Se hele settet med anbefalinger.