Сценарий развертывания Microsoft Entra — безопасный доступ к Интернету на основе бизнес-потребностей

Статья
07/16/2024

Сценарии развертывания Microsoft Entra предоставляют подробные рекомендации по объединении и тестировании этих продуктов Microsoft Entra Suite:

В этих руководствах описаны сценарии, показывающие значение Microsoft Entra Suite и способы совместной работы его возможностей.

Обзор сценария

В этом руководстве описано, как настроить продукты Microsoft Entra Suite для сценария, в котором вымышленная организация Contoso имеет строгие политики доступа к Интернету по умолчанию и хочет контролировать доступ к Интернету в соответствии с бизнес-требованиями.

В примере сценария, для которого мы описываем настройку своего решения, пользователю отдела маркетинга требуется доступ к сайтам социальных сетей, которые Contoso запрещает всем пользователям. Пользователи могут запрашивать доступ в my Access. После утверждения они становятся членом группы, которая предоставляет им доступ к сайтам социальных сетей.

В другом примере сценария и соответствующего решения аналитик SOC должен получить доступ к группе направлений интернета с высоким риском в течение определенного времени для расследования инцидента. Аналитик SOC может сделать этот запрос в My Access. После утверждения они становятся членом группы, которая предоставляет им доступ к назначениям с высоким риском в Интернете.

Эти высокоуровневые шаги можно реплицировать для решения Contoso, как описано в этом сценарии.

Зарегистрируйтесь в Microsoft Entra Suite. Включите и настройте Интернет-доступ Microsoft Entra для требуемых параметров сети и безопасности.
Развертывание клиентов Microsoft Global Secure Access на устройствах пользователей. Включите Интернет-доступ Microsoft Entra.
Создайте политики фильтрации веб-содержимого и профиля безопасности с ограничивающей политикой базовых показателей, которая блокирует определенные веб-категории и веб-назначения для всех пользователей.
Создайте политики фильтрации веб-контента и профиля безопасности, которые позволяют получать доступ к сайтам социальных сетей.
Создайте профиль безопасности, который включает веб-категорию взлома.
Используйте Управление идентификацией Microsoft Entra, чтобы разрешить пользователям запрашивать доступ к пакетам доступа, таким как:
- Пользователи отдела маркетинга могут запрашивать доступ к сайтам социальных сетей с ежеквартальной проверкой доступа.
- Участники команды SOC могут запрашивать доступ к назначениям интернета с высоким риском с ограничением времени в восемь часов.
Создайте и свяжите две политики условного доступа с помощью элемента управления сеансом сеанса глобального безопасного доступа. Примените политику к группам пользователей для принудительного применения.
Убедитесь, что трафик предоставляется соответствующим образом с помощью журналов трафика в глобальном безопасном доступе. Убедитесь, что пользователи отдела маркетинга могут получить доступ к пакету доступа на портале "Мой доступ".

Это преимущества совместного использования этих решений:

Наименее привилегированный доступ к назначениям Интернета. Уменьшите доступ к интернет-ресурсам только к тому, что пользователь требует для своей роли задания с помощью цикла соединения, перемещения или выхода. Такой подход снижает риск компрометации пользователей и устройств.
Упрощенное и унифицированное управление. Управляйте функциями сети и безопасности из одной облачной консоли, уменьшая сложность и затраты на обслуживание нескольких решений и устройств.
Улучшенная безопасность и видимость. Применение детализированных и адаптивных политик доступа на основе удостоверения пользователя и устройства и контекста, а также конфиденциальности и расположения приложений и данных. Обогащенные журналы и аналитика предоставляют аналитические сведения о безопасности сети и безопасности, чтобы быстрее обнаруживать угрозы и реагировать на них.
Улучшено взаимодействие с пользователем и производительность. Обеспечивает быстрый и простой доступ к необходимым приложениям и ресурсам без ущерба для безопасности или производительности.

Требования

В этом разделе определены требования к решению сценария.

Разрешения

Администраторам, взаимодействующим с функциями глобального безопасного доступа, требуются роли глобального администратора безопасного доступа и администратора приложений.

Для настройки политики условного доступа (ЦС) требуется роль администратора условного доступа или администратора безопасности. Для некоторых функций может потребоваться больше ролей.

Для настройки управления удостоверениями требуется по крайней мере роль администратора управления удостоверениями.

Лицензии

Для реализации всех шагов в этом сценарии требуется глобальный безопасный доступ и Управление идентификацией Microsoft Entra лицензии. Вы можете приобрести лицензии или получить пробные лицензии. Дополнительные сведения о лицензировании Global Secure Access см. в разделе лицензирования "Глобальный безопасный доступ".

Необходимые условия для пользователей и устройств

Чтобы успешно развернуть и проверить этот сценарий, настройте следующие предварительные требования:

Клиент Microsoft Entra с лицензией Microsoft Entra ID P1. Приобретение лицензий или получение пробных лицензий.
- Один пользователь с по крайней мере глобальными ролями администратора безопасного доступа и администратора приложений для настройки Microsoft Security Service Edge
- По крайней мере один пользователь в качестве тестового пользователя клиента в клиенте
Одно клиентское устройство Windows с этой конфигурацией:
- 64-разрядная версия Windows 10/11
- Присоединение к Microsoft Entra или гибридное присоединение
- Подключение к Интернету
Скачайте и установите клиент глобального безопасного доступа на клиентском устройстве. В статье "Глобальный безопасный доступ" для Windows описываются предварительные требования и установка.

Настройка глобального безопасного доступа

В этом разделе мы активируем глобальный безопасный доступ через Центр администрирования Microsoft Entra. Затем мы настроим необходимые начальные конфигурации для сценария.

Войдите в Центр администрирования Microsoft Entra в качестве глобального администратора.
Перейдите к началу работы с глобальным защищенным доступом>>, активируйте глобальный безопасный доступ в клиенте. Выберите "Активировать" , чтобы включить функции SSE.
Перейдите к переадресации трафика global Secure Access>Connect>. Переключение в профиле закрытого доступа. Перенаправление трафика позволяет настроить тип сетевого трафика для туннелирования через службы пограничных решений службы безопасности Майкрософт. Настройте профили пересылки трафика для управления типами трафика.
- Профиль доступа Microsoft 365 предназначен для Интернет-доступ Microsoft Entra для Microsoft 365.
- Профиль закрытого доступа предназначен для Частный доступ Microsoft Entra.
- Профиль доступа к Интернету предназначен для Интернет-доступ Microsoft Entra. Решение Microsoft Security Service Edge фиксирует трафик только на клиентских устройствах с установкой клиента Global Secure Access.

Установка клиента глобального безопасного доступа

Интернет-доступ Microsoft Entra для Microsoft 365 и Частный доступ Microsoft Entra использовать клиент глобального безопасного доступа на устройствах Windows. Этот клиент получает и перенаправит сетевой трафик в решение Microsoft Security Service Edge. Выполните следующие действия по установке и настройке:

Убедитесь, что устройство Windows присоединено к Microsoft Entra или присоединено к гибридному подключению.
Войдите на устройство Windows с помощью пользователя Microsoft Entra с правами локального администратора.
Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к скачиванию клиента Global Secure Access>Connect>. Выберите " Скачать клиент". Завершите установку.
На панели задач Окна клиент глобального безопасного доступа сначала отображается как отключенный. Через несколько секунд при появлении запроса на ввод учетных данных введите учетные данные тестового пользователя.
На панели задач "Окно" наведите указатель мыши на значок клиента глобального безопасного доступа и проверьте состояние "Подключенный ".

Создание групп безопасности

В этом сценарии мы используем две группы безопасности для назначения профилей безопасности с помощью политик условного доступа (ЦС). В Центре администрирования Microsoft Entra создайте группы безопасности с этими именами:

Доступ к Интернету — разрешить сайты социальных сетей = Интернет-доступ — разрешить взломанные сайты

Не добавляйте участников в эти группы. Далее в этой статье мы настроим управление удостоверениями для добавления участников по запросу.

Блокировка доступа с помощью базового профиля

В этом разделе мы блокируем доступ ко неуместным сайтам для всех пользователей в организации с базовым профилем.

Создание базовой политики веб-фильтрации

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к политикам>фильтрации содержимого Secure Access Secure Access>Secure>Web Create policy>Configure Global Secure Access content filtering.
Чтобы создать политику> фильтрации веб-содержимого, выполните следующие поля:
- Имя: базовое правило блокировки доступа к Интернету
- Описание: добавление описания
- Действие: блокировать
Выберите Далее.
В разделе "Создание правил политики политики>фильтрации веб-содержимого" выберите "Добавить правило".
В разделе "Добавление правила" выполните следующие поля:
- Имя: базовые заблокированные веб-категории
- Тип назначения: webCategory
Поиск. Выберите следующие категории. Убедитесь, что они находятся в выбранных элементах.
- Алкоголь и табак
- Преступное действие
- Азартная игра
- Отрывистый и сухой
- Незаконное программное обеспечение
- Социальные сети
Выберите Добавить.
При создании правил политики>фильтрации веб-содержимого подтвердите выбранные параметры.
Выберите Далее.
При создании проверки политики> фильтрации веб-содержимого подтвердите конфигурацию политики.
ВыберитеCreate policy (Создать политику).
Чтобы подтвердить создание политики, просмотрите его в разделе "Управление политиками фильтрации веб-контента".

Настройка базового профиля безопасности

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к профилям безопасности secure Access>Secure>Security.
Выберите базовый профиль.
В основах установите для параметра State значение "Включено".
Выберите Сохранить.
В разделе "Изменить базовый профиль" выберите "Политики ссылок". Выберите "Связать политику". Выберите существующую политику. Выполните следующие поля:
- Связывание политики: выбор имени политики и базового правила блокировки доступа к Интернету
- Приоритет: 100
- Состояние: включено
Выберите Добавить.
В разделе "Создание политик ссылок профиля>" убедитесь, что указано базовое правило блокировки доступа к Интернету.
Закройте базовый профиль безопасности.

В этом разделе мы создадим профиль безопасности, который позволяет получать доступ к сайтам социальных сетей для пользователей, запрашивающих его.

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к политикам>фильтрации содержимого Secure Access Secure Access>Secure>Web Create policy>Configure Global Secure Access content filtering.
Чтобы создать политику> фильтрации веб-содержимого, выполните следующие поля:
- Имя: разрешить сайты социальных сетей
- Описание: добавление описания
- Действие: Разрешить
Выберите Далее.
В разделе "Создание правил политики политики>фильтрации веб-содержимого" выберите "Добавить правило".
В разделе "Добавление правила" выполните следующие поля:
- Имя: социальные сети
- Тип назначения: webCategory
- Поиск: Социальный
Выбор социальных сетей
Выберите Добавить.
В разделе "Создание правил политики политики>фильтрации веб-содержимого" нажмите кнопку "Далее".
При создании проверки политики> фильтрации веб-содержимого подтвердите конфигурацию политики.
ВыберитеCreate policy (Создать политику).
Чтобы подтвердить создание политики, просмотрите его в разделе "Управление политиками фильтрации веб-контента".

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к профилям безопасности secure Access>Secure>Security. Выберите " Создать профиль".
В разделе "Основные сведения о создании профиля>" выполните следующие поля:
- Имя профиля: разрешить сайты социальных сетей
- Описание: добавление описания
- Состояние: включено
- Приоритет: 1000
Выберите Далее.
В разделе "Создание политик ссылок профиля>" выберите "Связать политику".
Выберите существующую политику.
В разделе "Связывание политики" выполните следующие поля:
- Имя политики: разрешить социальные сети
- Приоритет: 1000
- Состояние: включено
Выберите Добавить.
В разделе "Создание политик ссылок профиля>" убедитесь, что в списке указано разрешение социальных сетей.
Выберите Далее.
При создании проверки профиля подтвердите конфигурацию профиля>.
Выберите " Создать профиль".

В этом разделе мы создадим политику условного доступа (ЦС), которая применяет профиль безопасности "Разрешить социальные сети " для пользователей, запрашивающих доступ.

Войдите в Центр администрирования Microsoft Entra в качестве администратора условного доступа.
Перейдите к политикам условного доступа>защиты>.
Выберите Новая политика.
В новой политике условного доступа выполните следующие поля:
- Имя: Доступ к Интернету — разрешить сайты социальных сетей
- Пользователи или удостоверения рабочей нагрузки: конкретные пользователи включены
- К чему применяется эта политика? Пользователи и группы
- Включение>выбора пользователей и групп пользователей и групп>
Выберите тестовую группу (например , интернет-доступ— разрешить сайты социальных сетей). Выберите Выбрать.
Целевые ресурсы
- Выберите, что эта политика применяется к глобальному безопасному доступу>
- Выберите профили трафика, которые эта политика применяется к интернет-трафику>
Оставьте grant в своих параметрах по умолчанию, чтобы предоставить доступ, чтобы определенный профиль безопасности определил функциональность блокировки.
В сеансе выберите "Использовать профиль безопасности глобального безопасного доступа".
Выберите "Разрешить социальные сети".
В разделе "Общие сведения об использовании условного доступа"> выберите "Включить".
Нажмите кнопку создания.

Разрешить доступ к взломам сайтов

В этом разделе мы создадим новый профиль безопасности, который позволяет получить доступ к взломам сайтов для пользователей, запрашивающих его. Пользователи получают доступ в течение восьми часов после автоматического удаления доступа.

Создание политики веб-фильтрации взлома

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа
Перейдите к политикам>фильтрации содержимого Secure Access Secure Access>Secure>Web Create policy>Configure Global Secure Access content filtering.
Чтобы создать политику> фильтрации веб-содержимого, выполните следующие поля:
- Имя: разрешить взломанные сайты
- Описание: добавление описания
- Действие: Разрешить
Выберите Далее.
В разделе "Создание правил политики политики>фильтрации веб-содержимого" выберите "Добавить правило".
В разделе "Добавление правила" выполните следующие поля:
- Имя: взлома
- Тип назначения: webCategory
- Поиск: взлом, выбор взлома
Выберите Добавить.
В разделе "Создание правил политики политики>фильтрации веб-содержимого" нажмите кнопку "Далее".
При создании проверки политики> фильтрации веб-содержимого подтвердите конфигурацию политики.
ВыберитеCreate policy (Создать политику).
Чтобы подтвердить создание политики, просмотрите его в разделе "Управление политиками фильтрации веб-контента".

Создание профиля политики безопасности взлома

Войдите в Центр администрирования Microsoft Entra как минимум глобальный администратор безопасного доступа.
Перейдите к профилям безопасности secure Access>Secure>Security. Выберите " Создать профиль".
В разделе "Основные сведения о создании профиля>" выполните следующие поля:
- Имя профиля: разрешить взломанные сайты
- Описание: добавление описания
- Состояние: включено
- Приоритет: 2000
Выберите Далее.
В разделе "Создание политик ссылок профиля>" выберите "Связать политику".
Выберите существующую политику.
В диалоговом окне "Связывание политики " выполните следующие поля:
- Имя политики: разрешить взлома
- Приоритет: 2000
- Состояние: включено
Выберите Добавить.
В разделе "Создание политик ссылок профиля>" убедитесь, что включена возможность взлома.
Выберите Далее.
При создании проверки профиля подтвердите конфигурацию профиля>.
Выберите " Создать профиль".

Создание политики условного доступа для взлома

В этом разделе мы создадим политику условного доступа, которая применяет профиль безопасности "Разрешить взлом сайтов " для пользователей, запрашивающих доступ.

Войдите в Центр администрирования Microsoft Entra в качестве администратора условного доступа.
Перейдите к политикам условного доступа>защиты>.
Выберите Новая политика.
В диалоговом окне "Новая политика условного доступа" выполните следующие поля:
- Имя: Доступ к Интернету — разрешить взломанные сайты
- Пользователи или удостоверения рабочей нагрузки: конкретные пользователи включены
- К чему применяется эта политика? Пользователи и группы
Включение>выбора пользователей и групп пользователей и групп>
Выберите тестовую группу (например , Интернет-доступ— разрешить взломанные сайты) > выберите "Выбрать".
Целевые ресурсы
- Выберите, что эта политика применяется к глобальному безопасному доступу>
- Выберите профили трафика, которые эта политика применяется к интернет-трафику>
Оставьте grant в своих параметрах по умолчанию, чтобы предоставить доступ, чтобы определенный профиль безопасности определил функциональность блокировки.
В диалоговом окне сеанса выберите "Использовать профиль безопасности глобального безопасного доступа".
Выберите "Разрешить взломать сайты".
В разделе "Общие сведения об использовании условного доступа"> выберите "Включить".
Нажмите кнопку создания.

Настройка управления доступом

Выполните следующие действия, чтобы создать каталог управления правами:

Войдите в Центр администрирования Microsoft Entra как минимум администратор управления удостоверениями.
Перейдите к каталогам управления правами управления > удостоверениями>.
Выбор нового каталога
Введите уникальное имя каталога и описание. Запрашиватели видят эти сведения в сведениях пакета доступа (например, Интернет-доступ).
В этом сценарии мы создадим пакеты доступа в каталоге для внутренних пользователей. Установите для внешних пользователей значение No.
Чтобы добавить ресурсы, перейдите в каталоги и откройте каталог, в который нужно добавить ресурсы. Выберите Resources (Ресурсы). Щелкните Добавление ресурсов.
Добавьте две группы безопасности, созданные ранее (например, доступ к Интернету— разрешить сайты социальных сетей и Интернет-доступ — разрешить взлома).

Создание пакетов доступа

В этом разделе мы создадим пакеты доступа, позволяющие пользователям запрашивать доступ к категориям веб-сайтов, которые определяются каждым профилем безопасности. Выполните следующие действия, чтобы создать пакет доступа в службе управления правами:

Войдите в Центр администрирования Microsoft Entra как минимум администратор управления удостоверениями.
Перейдите к пакету управления правами управления>удостоверениями>.
Выберите Новый пакет для доступа.
Для основных компонентов предоставьте пакету доступа имя (например , Интернет-доступ — разрешить сайты социальных сетей). Укажите созданный ранее каталог.
Для ролей ресурсов выберите добавленную ранее безопасность (например , интернет-доступ — разрешить сайты социальных сетей).
В роли выберите "Член".
Для запросов выберите "Для пользователей в каталоге".
Чтобы задать область действия пользователей, которые могут запрашивать доступ к сайтам социальных сетей, выберите конкретных пользователей и группы и добавьте соответствующую группу пользователей. В противном случае выберите "Все элементы".
В запросах выберите "Да " для включения новых запросов.
Необязательно. В разделе "Утверждение" укажите, требуется ли утверждение при запросе этого пакета доступа пользователями.
Для жизненного цикла укажите, когда срок действия назначения пользователя пакету доступа истекает. Укажите, могут ли пользователи расширить свои назначения. Для срока действия задайте срок действия назначений пакетов Access на дату, количество дней, количество часов или никогда.
Повторите действия, чтобы создать новый пакет доступа, который позволяет получить доступ к взломам сайтов. Настройте следующие параметры:
- Ресурс: Доступ к Интернету — разрешить взломанные сайты
- Кто может запросить: участники команды SOC
- Жизненный цикл: задать количество часов в 8 часов

Проверка доступа пользователей

В этом разделе мы проверяем, что пользователь не может получить доступ к сайтам, которые блокируют базовый профиль.

Войдите на устройство, на котором установлен клиент Global Secure Access.
В браузере перейдите на сайты, которые блокируют базовый профиль и проверьте заблокированный доступ. Например:
1. hackthissite.org является бесплатной, безопасной и юридической учебной площадкой для специалистов по безопасности, чтобы проверить и расширить этические навыки взлома. Этот сайт классифицируется как взлома.
2. YouTube.com — это бесплатная платформа для обмена видео. Этот сайт классифицируется как социальные сети.

В этом разделе мы проверяем, что пользователь отдела маркетинга может запрашивать доступ к сайтам социальных сетей.

Войдите на устройство, на котором установлен клиент Global Secure Access с пользователем, членом группы маркетинга (или пользователем, у которого есть авторизация для запроса доступа к примеру пакета доступа к интернету— разрешить доступ к сайтам социальных сетей).
В браузере проверьте заблокированный доступ к сайту в категории социальных сетей, блоки базового профиля безопасности. Например, попробуйте получить доступ youtube.com.
Перейдите в myaccess.microsoft.com. Выберите пакеты Access. Выберите "Запрос доступа к Интернету". Разрешить доступ к сайтам социальных сетей.
Выберите Продолжить. Выберите Запрос.
Если вы настроили утверждение пакета доступа, войдите в качестве утверждающего. Перейдите в myaccess.microsoft.com. Утвердите запрос.
Войдите в качестве пользователя отдела маркетинга. Перейдите в myaccess.microsoft.com. Выберите журнал запросов. Проверьте состояние запроса на доступ к Интернету. Разрешить доставку сайтов социальных сетей.
Для применения новых параметров может потребоваться несколько минут. Чтобы ускорить процесс, щелкните правой кнопкой мыши значок глобального безопасного доступа в области системы. Выберите вход в качестве другого пользователя. Выполните вход снова.
Попробуйте получить доступ к сайтам в категории социальных сетей, которые блокируют базовый профиль безопасности. Убедитесь, что вы можете успешно просматривать их. Например, попробуйте просмотреть страницу youtube.com.

Запрос доступа к сайту взлома

В этом разделе мы проверяем, что пользователь команды SOC может запросить доступ к взломам сайтов.

Войдите на устройство, на котором установлен клиент Global Secure Access с пользователем, членом команды SOC (или пользователем, у которого есть авторизация для запроса доступа к примеру доступа к Интернету). Разрешить доступ к пакету доступа к сайтам взлома.
В браузере проверьте заблокированный доступ к сайту в категории взлома, которая блокирует базовый профиль безопасности. Например, hackthissite.org.
Перейдите в myaccess.microsoft.com. Выберите пакеты Access. Выберите "Запрос для доступа к Интернету ". Разрешить доступ к сайтам взлома.
Выберите Продолжить. Выберите Запрос.
Если вы настроили утверждение пакета доступа, войдите в качестве утверждающего. Перейдите в myaccess.microsoft.com. Утвердите запрос.
Войдите в качестве пользователя команды SOC. Перейдите в myaccess.microsoft.com. Выберите журнал запросов. Проверьте состояние запроса на доступ к Интернету. Разрешить доступ к взломам сайтов доставлены.
Для применения новых параметров может потребоваться несколько минут. Чтобы ускорить процесс, щелкните правой кнопкой мыши значок глобального безопасного доступа в области системы. Выберите вход в качестве другого пользователя. Выполните вход снова.
Попробуйте получить доступ к сайтам в категории взлома, блоки базового профиля безопасности. Убедитесь, что вы можете успешно просматривать их. Например, попробуйте просмотреть страницу hackthissite.org.
Если вы настроили доступ к сайту взлома с количеством часов жизненного цикла>, заданным на 8 в предыдущих шагах, через восемь часов проверьте заблокированный доступ к взломам сайтов.

Поделиться через

Сценарий развертывания Microsoft Entra — безопасный доступ к Интернету на основе бизнес-потребностей

Обзор сценария