Konfigurowanie mechanizmów kontroli dostępu do tożsamości w celu spełnienia poziomu wysokiego wpływu fedRAMP
Kontrola dostępu jest główną częścią osiągnięcia federalnego poziomu wysokiego wpływu programu zarządzania ryzykiem i autoryzacją (FedRAMP).
Poniższa lista kontrolek i ulepszeń kontroli w rodzinie kontroli dostępu (AC) może wymagać konfiguracji w dzierżawie firmy Microsoft Entra.
| Rodzina kontrolek | opis |
|---|---|
| AC-2 | Zarządzanie klientami |
| AC-6 | Zasada najniższych uprawnień |
| AC-7 | Nieudane próby logowania |
| AC-8 | Powiadomienie o użyciu systemu |
| AC-10 | Współbieżna kontrola sesji |
| AC-11 | Blokada sesji |
| AC-12 | Zakończenie sesji |
| AC-20 | Korzystanie z zewnętrznych systemów informacyjnych |
Każdy wiersz w poniższej tabeli zawiera normatywne wskazówki ułatwiające opracowywanie odpowiedzi organizacji na wszelkie wspólne obowiązki dotyczące ulepszenia kontroli lub kontroli.
Konfiguracje
| Identyfikator i opis kontrolki FedRAMP | Microsoft Entra guidance and recommendations (Wskazówki i zalecenia firmy Microsoft) |
|---|---|
| ZARZĄDZANIE KONTAMI AC-2 Organizacja (b.) Przypisuje menedżerów kont dla kont systemu informacyjnego; (c.) Ustanawia warunki członkostwa w grupach i rolach; (d.) Określa autoryzowanych użytkowników systemu informacyjnego, członkostwa w grupie i roli oraz autoryzacji dostępu (tj. uprawnień) i innych atrybutów (zgodnie z wymaganiami) dla każdego konta; (e.) Wymaga zatwierdzeń przez [Przypisanie: personel lub role zdefiniowane przez organizację] w celu żądania utworzenia kont systemu informacyjnego; (f.) Tworzy, włącza, modyfikuje, wyłącza i usuwa konta systemu informacyjnego zgodnie z [Przypisanie: procedury lub warunki zdefiniowane przez organizację]; (g.) Monitoruje korzystanie z kont systemu informacyjnego; (h.) Powiadamia menedżerów kont: (i.) Autoryzuje dostęp do systemu informacyjnego na podstawie: (j.) Przeglądy kont pod kątem zgodności z wymaganiami dotyczącymi zarządzania kontami [Przypisanie FedRAMP: miesięczne dla uprzywilejowanego dostępu, co sześć (6) miesięcy dla dostępu bez uprawnień]; i (k.) Ustanawia proces ponownego tworzenia poświadczeń konta udostępnionego/grupy (jeśli wdrożono) po usunięciu osób z grupy. |
Zaimplementuj zarządzanie cyklem życia konta dla kont kontrolowanych przez klienta. Monitorowanie korzystania z kont i powiadamianie menedżerów kont o zdarzeniach cyklu życia konta. Przejrzyj konta pod kątem zgodności z wymaganiami dotyczącymi zarządzania kontami co miesiąc w przypadku dostępu uprzywilejowanego i co sześć miesięcy dla dostępu nieuprzywilejowanego. Użyj identyfikatora Entra firmy Microsoft, aby aprowizować konta z zewnętrznych systemów KADR, lokalna usługa Active Directory lub bezpośrednio w chmurze. Wszystkie operacje cyklu życia konta są poddawane inspekcji w dziennikach inspekcji firmy Microsoft Entra. Dzienniki można zbierać i analizować przy użyciu rozwiązania do zarządzania informacjami i zdarzeniami zabezpieczeń (SIEM), takiego jak Microsoft Sentinel. Alternatywnie możesz użyć usługi Azure Event Hubs, aby zintegrować dzienniki z rozwiązaniami SIEM innych firm w celu włączenia monitorowania i powiadomień. Użyj zarządzania upoważnieniami firmy Microsoft z przeglądami dostępu, aby zapewnić stan zgodności kont. Aprowizuj konta Monitorowanie kont Przeglądanie kont Zasoby
|
| AC-2(1) Organizacja wykorzystuje zautomatyzowane mechanizmy do obsługi zarządzania kontami systemu informacyjnego. |
Stosowanie zautomatyzowanych mechanizmów do obsługi zarządzania kontami kontrolowanymi przez klienta. Skonfiguruj automatyczną aprowizację kont kontrolowanych przez klienta z zewnętrznych systemów KADR lub lokalna usługa Active Directory. W przypadku aplikacji obsługujących aprowizację aplikacji skonfiguruj identyfikator Entra firmy Microsoft, aby automatycznie tworzyć tożsamości użytkowników i role w oprogramowaniu w chmurze jako aplikacjach saaS, do których użytkownicy potrzebują dostępu. Oprócz tworzenia tożsamości użytkowników automatyczna aprowizacja obejmuje konserwację i usuwanie tożsamości użytkowników w miarę zmiany stanu lub ról. Aby ułatwić monitorowanie użycia konta, możesz przesyłać strumieniowo dzienniki Ochrona tożsamości Microsoft Entra, które pokazują ryzykownych użytkowników, ryzykowne logowania i wykrywanie ryzyka oraz dzienniki inspekcji bezpośrednio w usłudze Microsoft Sentinel lub Event Hubs. Inicjowanie Monitorowanie i inspekcja |
| AC-2(2) System informacyjny automatycznie [Wybór FedRAMP: wyłącza] konta tymczasowe i awaryjne po [Przypisanie FedRAMP: 24 godziny od ostatniego użycia]. AC-02(3) Ac-2 (3) Dodatkowe wymagania i wskazówki FedRAMP: |
Stosowanie zautomatyzowanych mechanizmów do automatycznego usuwania lub wyłączania kont tymczasowych i awaryjnych po 24 godzinach od ostatniego użycia i wszystkich kont kontrolowanych przez klienta po 35 dniach braku aktywności. Zaimplementuj automatyzację zarządzania kontami za pomocą programu Microsoft Graph i programu Microsoft Graph PowerShell. Użyj programu Microsoft Graph, aby monitorować aktywność logowania i program Microsoft Graph PowerShell, aby podejmować działania na kontach w wymaganym przedziale czasu. Określanie braku aktywności Usuwanie lub wyłączanie kont Praca z urządzeniami w programie Microsoft Graph Zobacz dokumentację programu PowerShell dla programu Microsoft Graph |
| AC-2(4) System informacyjny automatycznie przeprowadza inspekcję tworzenia, modyfikowania, włączania, wyłączania i usuwania akcji oraz powiadamia [FedRAMP Assignment: organization and/or service provider system owner]. |
Zaimplementuj zautomatyzowany system inspekcji i powiadomień na potrzeby cyklu życia zarządzania kontami kontrolowanymi przez klienta. Wszystkie operacje cyklu życia konta, takie jak tworzenie konta, modyfikowanie, włączanie, wyłączanie i akcje usuwania, są poddawane inspekcji w dziennikach inspekcji platformy Azure. Dzienniki można przesyłać strumieniowo bezpośrednio do usługi Microsoft Sentinel lub Event Hubs, aby ułatwić wysyłanie powiadomień. Audit Powiadomienie |
| AC-2(5) Organizacja wymaga, aby użytkownicy wylogowywali się, gdy [Przypisanie FedRAMP: brak aktywności może przekroczyć piętnaście (15) minut]. Ac-2 (5) Dodatkowe wymagania i wskazówki FedRAMP: |
Zaimplementuj wylogowanie urządzenia po 15-minutowym okresie braku aktywności. Zaimplementuj blokadę urządzenia przy użyciu zasad dostępu warunkowego, które ograniczają dostęp do zgodnych urządzeń. Skonfiguruj ustawienia zasad na urządzeniu, aby wymusić blokadę urządzenia na poziomie systemu operacyjnego przy użyciu rozwiązań do zarządzania urządzeniami przenośnymi (MDM), takich jak usługa Intune. W przypadku wdrożeń hybrydowych można również rozważyć obiekty zasad punktu końcowego lub grupy. W przypadku urządzeń niezarządzanych skonfiguruj ustawienie Częstotliwość logowania, aby wymusić ponowne uwierzytelnienie użytkowników. Dostęp warunkowy Zasady zarządzania urządzeniami przenośnymi |
| AC-2(7) Organizacja: |
Administrowanie i monitorowanie przypisań ról uprzywilejowanych przez wykonanie schematu dostępu opartego na rolach dla kont kontrolowanych przez klienta. Wyłącz lub odwołaj dostęp uprzywilejowany dla kont, jeśli nie są już odpowiednie. Zaimplementuj usługę Microsoft Entra Privileged Identity Management z przeglądami dostępu dla ról uprzywilejowanych w usłudze Microsoft Entra ID, aby monitorować przypisania ról i usuwać przypisania ról, gdy nie są już odpowiednie. Dzienniki inspekcji można przesyłać strumieniowo bezpośrednio do usługi Microsoft Sentinel lub Event Hubs, aby ułatwić monitorowanie. Administrowanie Monitor |
| AC-2(11) System informacyjny wymusza [Przypisanie: okoliczności zdefiniowane przez organizację i/lub warunki użycia] dla [Przypisanie: konta systemu informacyjnego zdefiniowane przez organizację]. |
Wymuszanie użycia kont kontrolowanych przez klienta w celu spełnienia warunków lub okoliczności zdefiniowanych przez klienta. Tworzenie zasad dostępu warunkowego w celu wymuszania decyzji dotyczących kontroli dostępu między użytkownikami i urządzeniami. Dostęp warunkowy |
| AC-2(12) Organizacja: Ac-2 (12) (a) i AC-2 (12) (b) Dodatkowe wymagania i wskazówki FedRAMP: |
Monitorowanie i zgłaszanie kont kontrolowanych przez klienta przy użyciu uprzywilejowanego dostępu do nietypowego użycia. Aby uzyskać pomoc dotyczącą monitorowania nietypowego użycia, możesz przesyłać strumieniowo dzienniki Ochrona tożsamości Microsoft Entra, które pokazują ryzykownych użytkowników, ryzykowne logowania i wykrycia ryzyka oraz dzienniki inspekcji, które ułatwiają korelację z przypisaniem uprawnień, bezpośrednio do rozwiązania SIEM, takiego jak Microsoft Sentinel. Usługi Event Hubs można również używać do integrowania dzienników z rozwiązaniami SIEM innych firm. Ochrona identyfikatorów Monitorowanie kont |
| AC-2(13) Organizacja wyłącza konta użytkowników stwarzających znaczne ryzyko w [Przydział FedRAMP: jedna (1) godzina] odnajdywania ryzyka. |
Wyłącz konta użytkowników kontrolowane przez klienta, które stanowią znaczne ryzyko w ciągu jednej godziny. W Ochrona tożsamości Microsoft Entra skonfiguruj i włącz zasady ryzyka użytkownika z progiem ustawionym na Wysoki. Utwórz zasady dostępu warunkowego, aby zablokować dostęp dla ryzykownych użytkowników i ryzykownych logów. Skonfiguruj zasady ryzyka, aby umożliwić użytkownikom samodzielne korygowanie i odblokowywanie kolejnych prób logowania. Ochrona identyfikatorów Dostęp warunkowy |
| AC-6(7) Organizacja: |
Co roku przejrzyj i zweryfikuj wszystkich użytkowników z uprzywilejowanym dostępem. Upewnij się, że uprawnienia są ponownie przypisywane (lub usuwane w razie potrzeby), aby dopasować je do wymagań biznesowych i misji organizacji. Użyj zarządzania upoważnieniami firmy Microsoft z przeglądami dostępu dla uprzywilejowanych użytkowników, aby sprawdzić, czy wymagany jest uprzywilejowany dostęp. Przeglądy dostępu |
| Ac-7 nieudane próby logowania Organizacja: |
Wymuszanie limitu nie więcej niż trzech kolejnych nieudanych prób logowania dla zasobów wdrożonych przez klienta w ciągu 15 minut. Zablokuj konto przez co najmniej trzy godziny lub do momentu odblokowania przez administratora. Włącz niestandardowe ustawienia blokady inteligentnej. Skonfiguruj próg blokady i czas trwania blokady w sekundach, aby zaimplementować te wymagania. Inteligentna blokada |
| Powiadomienie o użyciu systemu AC-8 System informacyjny: (b.) Zachowuje komunikat powiadomienia lub baner na ekranie do momentu potwierdzenia warunków użytkowania przez użytkowników i podjęcia jawnych akcji w celu zalogowania się do systemu informacyjnego lub dalszego uzyskiwania do nich dostępu; i (c.) W przypadku systemów dostępnych publicznie: Ac-8 Dodatkowe wymagania i wskazówki FedRAMP: |
Wyświetlanie i wymaganie potwierdzenia przez użytkownika informacji o ochronie prywatności i zabezpieczeniach przed udzieleniem dostępu do systemów informacyjnych. Za pomocą identyfikatora Entra firmy Microsoft można dostarczać powiadomienia lub komunikaty banerów dla wszystkich aplikacji, które wymagają potwierdzenia i rejestrują je przed udzieleniem dostępu. Możesz szczegółowo kierować te zasady użytkowania do określonych użytkowników (członka lub gościa). Można je również dostosować na aplikację za pomocą zasad dostępu warunkowego. Warunki użytkowania |
| AC-10 Concurrent Session Control System informacyjny ogranicza liczbę równoczesnych sesji dla każdego [Przypisania: konto zdefiniowane przez organizację i/lub typ konta] do [Przypisanie FedRAMP: trzy (3) sesje dla uprzywilejowanego dostępu i dwie sesje (2) dla dostępu nieuprzywilejowanego]. |
Ogranicz współbieżne sesje do trzech sesji na potrzeby dostępu uprzywilejowanego i dwóch dla dostępu nieuprzywilejowanego. Obecnie użytkownicy łączą się z wielu urządzeń, czasami jednocześnie. Ograniczenie współbieżnych sesji prowadzi do obniżonej wydajności środowiska użytkownika i zapewnia ograniczoną wartość zabezpieczeń. Lepszym podejściem do rozwiązania tej kontroli jest przyjęcie stanu zabezpieczeń o zerowym zaufaniu. Warunki są jawnie weryfikowane przed utworzeniem sesji i stale weryfikowane przez cały czas trwania sesji. Ponadto należy użyć następujących kontrolek wyrównywujących. Użyj zasad dostępu warunkowego, aby ograniczyć dostęp do zgodnych urządzeń. Skonfiguruj ustawienia zasad na urządzeniu, aby wymusić ograniczenia logowania użytkownika na poziomie systemu operacyjnego przy użyciu rozwiązań MDM, takich jak usługa Intune. W przypadku wdrożeń hybrydowych można również rozważyć obiekty zasad punktu końcowego lub grupy. Użyj usługi Privileged Identity Management, aby dodatkowo ograniczyć i kontrolować konta uprzywilejowane. Skonfiguruj blokadę konta inteligentnego pod kątem nieprawidłowych prób logowania. Wskazówki dotyczące implementacji Zero Trust Dostęp warunkowy Zasady urządzeń Zasoby Zobacz AC-12, aby uzyskać więcej wskazówek dotyczących ponownej oceny sesji i ograniczania ryzyka. |
| Blokada sesji AC-11 System informacyjny: (a) Uniemożliwia dalszy dostęp do systemu, inicjując blokadę sesji po [Przydział FedRAMP: piętnaście (15) minut] braku aktywności lub po otrzymaniu żądania od użytkownika; i (b) Zachowuje blokadę sesji do momentu ponownego ustanowienia dostępu przez użytkownika przy użyciu ustalonych procedur identyfikacji i uwierzytelniania. AC-11(1) |
Zaimplementuj blokadę sesji po 15-minutowym okresie braku aktywności lub po otrzymaniu żądania od użytkownika. Zachowaj blokadę sesji, dopóki użytkownik nie ponownie uwierzytelnia się. Ukrywanie wcześniej widocznych informacji podczas inicjowania blokady sesji. Zaimplementuj blokadę urządzenia przy użyciu zasad dostępu warunkowego, aby ograniczyć dostęp do zgodnych urządzeń. Skonfiguruj ustawienia zasad na urządzeniu, aby wymusić blokadę urządzenia na poziomie systemu operacyjnego przy użyciu rozwiązań MDM, takich jak usługa Intune. W przypadku wdrożeń hybrydowych można również rozważyć obiekty zasad punktu końcowego lub grupy. W przypadku urządzeń niezarządzanych skonfiguruj ustawienie Częstotliwość logowania, aby wymusić ponowne uwierzytelnienie użytkowników. Dostęp warunkowy Zasady zarządzania urządzeniami przenośnymi |
| Zakończenie sesji AC-12 System informacyjny automatycznie kończy sesję użytkownika po [Przypisanie: warunki zdefiniowane przez organizację lub zdarzenia wyzwalające wymagające rozłączenia sesji]. |
Automatyczne kończenie sesji użytkownika po wystąpieniu zdefiniowanych przez organizację warunków lub zdarzeń wyzwalacza. Zaimplementuj automatyczną ocenę sesji użytkownika za pomocą funkcji firmy Microsoft Entra, takich jak dostęp warunkowy oparty na ryzyku i ciągła ocena dostępu. Warunki braku aktywności można zaimplementować na poziomie urządzenia zgodnie z opisem w artykule AC-11. Zasoby |
| AC-12(1) System informacyjny: (a.) Zapewnia możliwość wylogowywanie sesji komunikacji inicjowanych przez użytkownika za każdym razem, gdy uwierzytelnianie jest używane do uzyskiwania dostępu do [Przypisania: zasoby informacyjne zdefiniowane przez organizację]; i (b.) Wyświetla jawny komunikat wylogowania dla użytkowników wskazujący niezawodne zakończenie uwierzytelnionych sesji komunikacji. Ac-8 Dodatkowe wymagania i wskazówki FedRAMP: |
Podaj możliwość wylogowywanie dla wszystkich sesji i wyświetl jawny komunikat wylogowywanie. Wszystkie interfejsy internetowe microsoft Entra ID udostępniają możliwości wylogowywanie sesji komunikacji inicjowanych przez użytkownika. Gdy aplikacje SAML są zintegrowane z identyfikatorem Microsoft Entra ID, zaimplementuj wylogowanie jednokrotne. Możliwość wylogowywanie Wyświetl komunikat
Zasoby |
| AC-20 Korzystanie z systemów informacyjnych zewnętrznych Organizacja ustanawia warunki i postanowienia, zgodnie z wszelkimi relacjami zaufania ustalonymi z innymi organizacjami posiadającymi, operacyjnymi i/lub utrzymującymi zewnętrzne systemy informacyjne, umożliwiając autoryzowanym osobom: (a.) Dostęp do systemu informacyjnego z zewnętrznych systemów informacyjnych; i (b.) Przetwarzanie, przechowywanie lub przesyłanie informacji kontrolowanych przez organizację przy użyciu zewnętrznych systemów informacyjnych. AC-20(1) |
Ustanów warunki i postanowienia, które umożliwiają autoryzowanym osobom dostęp do zasobów wdrożonych przez klienta z zewnętrznych systemów informacyjnych, takich jak urządzenia niezarządzane i sieci zewnętrzne. Wymagaj akceptacji warunków użytkowania dla autoryzowanych użytkowników, którzy uzyskują dostęp do zasobów z systemów zewnętrznych. Zaimplementuj zasady dostępu warunkowego, aby ograniczyć dostęp z systemów zewnętrznych. Zasady dostępu warunkowego można zintegrować z aplikacjami Defender dla Chmury w celu zapewnienia kontroli aplikacji w chmurze i lokalnych z systemów zewnętrznych. Zarządzanie aplikacjami mobilnymi w usłudze Intune może chronić dane organizacji na poziomie aplikacji, w tym aplikacje niestandardowe i aplikacje ze sklepu, z zarządzanych urządzeń, które współdziałają z systemami zewnętrznymi. Przykładem może być uzyskiwanie dostępu do usług w chmurze. Zarządzanie aplikacjami można używać na urządzeniach należących do organizacji i urządzeniach osobistych. Postanowienia Dostęp warunkowy MDM Zasób |
