Udostępnij za pośrednictwem

Dostęp uprzywilejowany: interfejsy

  • Artykuł

Krytycznym składnikiem zabezpieczania uprzywilejowanego dostępu jest stosowanie zasad zerowego zaufania w celu zapewnienia, że urządzenia, konta i pośrednicy spełniają wymagania dotyczące zabezpieczeń przed zapewnieniem dostępu.

Te zasady zapewniają, że użytkownicy i urządzenia inicjujące sesję przychodzącą są znane, zaufane i mogą uzyskiwać dostęp do zasobu (za pośrednictwem interfejsu). Wymuszanie zasad jest wykonywane przez aparat zasad dostępu warunkowego firmy Microsoft, który ocenia zasady przypisane do określonego interfejsu aplikacji (takich jak witryna Azure Portal, Salesforce, Office 365, AWS, Workday i inne).

Ochrona zasobów przez ochronę interfejsów

Te wskazówki definiują trzy poziomy zabezpieczeń interfejsu, których można używać dla zasobów z różnymi poziomami poufności. Te poziomy są konfigurowane w zabezpieczaniu uprzywilejowanego planu szybkiej modernizacji (RAMP) i odpowiadają poziomom zabezpieczeń kont i urządzeń.

Wymagania dotyczące zabezpieczeń sesji przychodzących do interfejsów mają zastosowanie do kont i urządzenia źródłowego, niezależnie od tego, czy jest to bezpośrednie połączenie z urządzeń fizycznych , czy pośredniczącego serwera pulpitu zdalnego/serwera przesiadkowego. Pośrednicy mogą akceptować sesje z urządzeń osobistych w celu zapewnienia poziomu zabezpieczeń przedsiębiorstwa (w niektórych scenariuszach), ale wyspecjalizowani lub uprzywilejowani pośrednicy nie powinni zezwalać na połączenia z niższych poziomów ze względu na poufny charakter ich ról.

Uwaga

Te technologie zapewniają silny koniec kontroli dostępu do interfejsu aplikacji, ale sam zasób musi być również zabezpieczony przed atakami poza pasmem na kod/funkcjonalność aplikacji, niesprawdzone luki w zabezpieczeniach lub błędy konfiguracji w bazowym systemie operacyjnym lub oprogramowaniu układowym, na danych magazynowanych lub przesyłanych, łańcuchach dostaw lub innych środkach.

Upewnij się, że należy ocenić i odnaleźć zagrożenia dla samych zasobów w celu zapewnienia pełnej ochrony. Firma Microsoft udostępnia narzędzia i wskazówki ułatwiające takie rozwiązania, jak Microsoft Defender dla Chmury, wskaźnik bezpieczeństwa firmy Microsoft i wskazówki dotyczące modelowania zagrożeń.

Przykłady interfejsów

Interfejsy są zwykle dostępne w różnych formach:

  • Witryny sieci Web usług w chmurze/aplikacji, takie jak witryna Azure Portal, AWS, Office 365
  • Konsola klasyczna zarządzająca aplikacją lokalną (Microsoft Management Console (MMC) lub aplikacją niestandardową)
  • Skrypty/interfejs konsoli, taki jak Secure Shell (SSH) lub PowerShell

Niektóre z nich bezpośrednio obsługują wymuszanie zerowej relacji zaufania za pośrednictwem aparatu zasad dostępu warunkowego firmy Microsoft Entra, ale niektóre z nich muszą zostać opublikowane za pośrednictwem pośrednika , takiego jak serwer proxy aplikacji Microsoft Entra lub serwer pulpitu zdalnego/skoku.

Zabezpieczenia interfejsu

Ostatecznym celem zabezpieczeń interfejsu jest zapewnienie, że każda sesja przychodząca do interfejsu jest znana, zaufana i dozwolona:

  • Znane — użytkownik jest uwierzytelniany za pomocą silnego uwierzytelniania, a urządzenie jest uwierzytelniane (z wyjątkami dla urządzeń osobistych przy użyciu pulpitu zdalnego lub rozwiązania VDI na potrzeby dostępu przedsiębiorstwa)
  • Zaufane — kondycja zabezpieczeń jest jawnie weryfikowana i wymuszana dla kont i urządzeń przy użyciu aparatu zasad Zero Trust
  • Dozwolone — dostęp do zasobów jest zgodny z zasadą najniższych uprawnień przy użyciu kombinacji kontrolek, aby upewnić się, że można uzyskać do niej dostęp tylko
    • Według odpowiednich użytkowników
    • W odpowiednim czasie (dostęp just in time, a nie stały dostęp)
    • Z odpowiednim przepływem pracy zatwierdzania (zgodnie z potrzebami)
    • Na akceptowalnym poziomie ryzyka/zaufania

Mechanizmy zabezpieczeń interfejsu

Ustanowienie gwarancji zabezpieczeń interfejsu wymaga kombinacji mechanizmów kontroli zabezpieczeń, w tym:

  • Wymuszanie zasad Zero Trust — użycie dostępu warunkowego w celu zapewnienia, że sesje przychodzące spełniają wymagania:
    • Zaufanie urządzenia w celu zapewnienia co najmniej urządzenia:
    • Zaufanie użytkownika jest wystarczająco wysokie na podstawie sygnałów, w tym:
      • Użycie uwierzytelniania wieloskładnikowego podczas początkowego logowania (lub dodane później w celu zwiększenia zaufania)
      • Czy ta sesja jest zgodna z wzorcami zachowania historycznego
      • Czy konto lub bieżąca sesja wyzwala alerty na podstawie analizy zagrożeń
      • Ochrona tożsamości Microsoft Entra ryzyko
  • Model kontroli dostępu opartej na rolach (RBAC), który łączy grupy katalogów przedsiębiorstwa/uprawnienia i role, grupy i uprawnienia specyficzne dla aplikacji
  • Przepływy pracy dostępu just in time, które zapewniają określone wymagania dotyczące uprawnień (zatwierdzenia równorzędne, dziennik inspekcji, wygaśnięcie uprzywilejowane itp.) są wymuszane przed zezwoleniem na uprawnienia, dla których konto kwalifikuje się.

Poziomy zabezpieczeń interfejsu

Te wskazówki definiują trzy poziomy zabezpieczeń. Aby uzyskać więcej informacji na temat tych poziomów, zobacz Keep it Simple - Personas and Profiles (Zachowaj prostotę — personas i profile). Aby uzyskać wskazówki dotyczące implementacji, zobacz plan szybkiej modernizacji.

Kontrolowanie dostępu do zasobów do określonych poziomów zabezpieczeń interfejsu

Interfejs przedsiębiorstwa

Zabezpieczenia interfejsu przedsiębiorstwa są odpowiednie dla wszystkich użytkowników przedsiębiorstwa i scenariuszy produktywności. Przedsiębiorstwo służy również jako punkt wyjścia dla obciążeń o większej poufności, które można przyrostowo wykorzystać, aby uzyskać dostęp do wyspecjalizowanych i uprzywilejowanych poziomów dostępu.

  • Wymuszanie zasad Zero Trust — w przypadku sesji przychodzących przy użyciu dostępu warunkowego w celu zapewnienia bezpieczeństwa użytkowników i urządzeń na poziomie przedsiębiorstwa lub wyższego poziomu
    • W celu obsługi scenariuszy byOD ,urządzeń osobistych i urządzeń zarządzanych przez partnerów mogą być dozwolone połączenia, jeśli korzystają z pośrednika przedsiębiorstwa, takiego jak dedykowana usługa Windows Virtual Desktop (WVD) lub podobne rozwiązanie pulpitu zdalnego/serwera przesiadkowego.
  • Kontrola dostępu oparta na rolach (RBAC) — model powinien zapewnić, że aplikacja jest administrowana tylko rolami na poziomie wyspecjalizowanych lub uprzywilejowanych zabezpieczeń

Wyspecjalizowany interfejs

Mechanizmy kontroli zabezpieczeń dla wyspecjalizowanych interfejsów powinny obejmować

  • Wymuszanie zasad Zero Trust — w przypadku sesji przychodzących przy użyciu dostępu warunkowego w celu zapewnienia, że użytkownicy i urządzenia są zabezpieczone na poziomie wyspecjalizowanym lub uprzywilejowanym
  • Kontrola dostępu oparta na rolach (RBAC) — model powinien zapewnić, że aplikacja jest administrowana tylko rolami na poziomie wyspecjalizowanych lub uprzywilejowanych zabezpieczeń
  • Przepływy pracy dostępu just in time (opcjonalnie) — które wymuszają najmniejsze uprawnienia, zapewniając, że uprawnienia są używane tylko przez autoryzowanych użytkowników w czasie, gdy są one potrzebne.

Interfejs uprzywilejowany

Mechanizmy kontroli zabezpieczeń dla uprzywilejowanych interfejsów powinny obejmować

  • Wymuszanie zasad Zero Trust — w przypadku sesji przychodzących korzystających z dostępu warunkowego w celu zapewnienia bezpieczeństwa użytkowników i urządzeń na poziomie uprzywilejowanym
  • Kontrola dostępu oparta na rolach (RBAC) — model powinien zapewnić, że aplikacja jest administrowana tylko rolami na poziomie zabezpieczeń uprzywilejowanych
  • Przepływy pracy dostępu just in time (wymagane), które wymuszają najmniejsze uprawnienia, zapewniając, że uprawnienia są używane tylko przez autoryzowanych użytkowników w czasie, gdy są potrzebne.

Następne kroki