Explicar a auditoria na identidade
Há uma necessidade de entender o valor e o propósito das auditorias em sua solução de identidade. A auditoria fornece uma maneira para um administrador detetar um ataque que já ocorreu ou está em andamento. Além disso, a auditoria é uma ferramenta para conformidade e rastreamento de qual identidade fez o quê. Além disso, a auditoria pode ajudar um desenvolvedor a depurar problemas relacionados à segurança. Por exemplo, se um erro na configuração da política de autorização ou verificação negar acidentalmente o acesso a um usuário autorizado, um desenvolvedor poderá descobrir e isolar rapidamente a causa desse erro examinando o log de eventos.
Todas as atividades, desde o início de sessão até à alteração da palavra-passe, à configuração e utilização da autenticação multifator, podem ser registadas, comunicadas e monitorizadas. Esses logs fornecem ao administrador de identidade um recurso para revisar como a solução de identidade e acesso está sendo executada. Práticas de auditoria saudáveis mantêm suas identidades seguras, o que, por sua vez, mantém seus dados e soluções seguros. Alguns dos diferentes logs que você deseja conhecer para auditoria são logs de atividade do Microsoft Entra, logs de entrada, logs de provisionamento e logs de auditoria. Você pode usar várias ferramentas do Azure Monitor ao Microsoft Sentinel para relatar e monitorar.
Entenda o conceito de governança
O dicionário Merriam-Webster diz que governança é o ato ou processo de supervisionar o controle e a direção de um sistema. Esse sistema pode ser um governo, um orçamento ou uma solução de identidade no Azure. A governança tem processos e controles em vigor tanto para operar os sistemas quanto para avaliar o funcionamento responsável do sistema. Nunca é suficiente construir uma solução e depois esquecê-la. Você tem que monitorar sua execução, atualizar os processos regularmente, remover ou substituir recursos desatualizados, e assim por diante. Se não o fizer, o sistema irá degradar-se lentamente e falhar. A governança é a mesma com uma solução de gerenciamento de identidades que você cria no Azure. Você deve monitorar, avaliar e atualizar o sistema ao longo do tempo.
| Cenário | A história simples, mas provavelmente |
|---|---|
| Juan, o desenvolvedor de aplicativos | Você tem um usuário chamado Juan. Juan recebe uma conta na sua empresa e trabalha há vários anos. Ao longo desse tempo, o usuário recebe acesso de administrador para implantar um aplicativo que Juan ajudou a criar. Mais tarde, Juan deixa a empresa em boa consideração; no entanto, a conta de usuário nunca é removida do sistema. O gerente de Juan esqueceu-se de apresentar a papelada para fechar a conta. Não há nenhum sistema de governança em vigor para notar que a conta não está sendo usada e que Juan não está mais listado nos sistemas de RH. Um ano depois, Juan é vítima de um e-mail de phishing e tem um nome de usuário pessoal e senha roubados. Sendo como muitas pessoas, Juan usou uma senha semelhante para contas pessoais e profissionais. Adivinhe, agora você tem um cenário onde seus sistemas podem ser invadidos, pelo que parece ser uma conta válida. |
Porquê governar? Neste cenário, a governança poderia ajudar em muitas áreas diferentes:
- Verificar com o RH regularmente para ver se todas as contas ainda existem no banco de dados de RH como funcionários.
- Verificar quando foi a última vez que uma conta foi conectada.
- Verificar se a conta precisa de todos os direitos que tem atualmente.
- Verificar se as palavras-passe são alteradas regularmente; ou melhor ainda que seus funcionários usem MFA.
- E muitas outras maneiras.
Compreender o conceito de gerenciamento do ciclo de vida da identidade
O gerenciamento do ciclo de vida da identidade é a base para a governança de identidade, e uma governança eficaz em escala requer a modernização da infraestrutura de gerenciamento do ciclo de vida da identidade para aplicativos. O Identity Lifecycle Management tem como objetivo automatizar e gerenciar todo o processo do ciclo de vida da identidade digital.
Gerenciar identidades digitais é uma tarefa complexa. Você tem que correlacionar objetos do mundo real, como uma pessoa e seu relacionamento com uma organização. Pense no usuário como um funcionário da organização, com uma representação digital. Em pequenas organizações, manter a representação digital de indivíduos que necessitam de uma identidade pode ser um processo manual. Quando alguém é contratado, ou um contratante chega, um especialista em TI pode criar uma conta para ele em um diretório. Em seguida, é-lhes atribuído o acesso de que necessitam. No entanto, em organizações de médio e grande porte, a automação pode permitir que a organização cresça. A automação permite que a TI mantenha as identidades precisas.
O processo típico para estabelecer o gerenciamento do ciclo de vida da identidade em uma organização segue estas etapas:
- Já existem sistemas de registro: fontes de dados, que a organização trata como autorizadas. Por exemplo, a organização pode ter um sistema de RH. Esse sistema é autorizado a fornecer a lista atual de funcionários e algumas de suas propriedades, como o nome ou o departamento do funcionário.
- Compare o sistema de registro com um ou mais diretórios e bancos de dados usados por aplicativos e resolva quaisquer inconsistências entre os diretórios e os sistemas de registro.
- Determine quais processos podem ser usados para fornecer informações confiáveis aos visitantes. É necessário encontrar uma maneira alternativa de determinar quando uma identidade digital para um visitante não é mais necessária.
Estratégia de gerenciamento do ciclo de vida da identidade
Você tem que planejar o gerenciamento de identidade-ciclo de vida para funcionários ou outros indivíduos com um relacionamento organizacional. Com cada contratante ou aluno, muitas organizações modelam o processo de "entrar, mover e sair". As definições para entrar, mover e sair são:
- Junte-se - quando um indivíduo entra no escopo de precisar de acesso, uma identidade é necessária para esses aplicativos, então uma nova identidade digital pode precisar ser criada se ainda não estiver disponível.
- Mover - quando um indivíduo se move entre limites, é necessária uma autorização de acesso extra para ser adicionada ou removida à sua identidade digital.
- Licença - quando um indivíduo deixa o escopo de precisar de acesso, o acesso pode precisar ser removido e a identidade não é mais exigida por aplicativos que não sejam para fins de auditoria ou forense.
Por exemplo, se um novo funcionário ingressar na sua organização, que nunca tenha sido afiliado à sua organização antes, esse funcionário precisará de uma nova identidade digital, representada como uma conta de usuário no Microsoft Entra ID. A criação desta conta enquadrar-se-ia num processo de "Adesão", que poderia ser automatizado. Mais tarde, se a sua organização tiver um funcionário a passar de Vendas para Marketing, ele cairá num processo de "Mudança". Um "Mover" requer a remoção dos direitos de acesso que o usuário tinha na organização de vendas, que eles não precisam mais. Em seguida, concedendo-lhes direitos na organização de Marketing que eles agora exigem.
Ferramentas de monitorização
Sempre pense Zero Trust: Verificar explicitamente - Usar acesso com privilégios mínimos - Assumir violação
Serviços de monitorização:
- Azure Monitor
- Application Insights
- Azure Service Health
- Azure Resource Health
- Azure Resource Manager
- Azure Policy