Корпоративная модель доступа
В этом документе описывается общая модель корпоративного доступа, которая включает контекст того, как стратегия привилегированного доступа вписывается. См. дорожную карту по внедрению стратегии привилегированного доступа в плане быстрой модернизации (RaMP) . Для получения инструкций по реализации и развертыванию этого, см. развертывание привилегированного доступа.
Стратегия привилегированного доступа является частью общей стратегии управления доступом предприятия. Эта корпоративная модель доступа показывает, как привилегированный доступ вписывается в общую модель корпоративного доступа.
Основные хранилища бизнес-ценности, которые организация должна защитить, находятся в плоскости данных или рабочей нагрузки:
Приложения и данные обычно содержат значительную часть информации или ресурсов организации.
- бизнес-процессы в приложениях и рабочих нагрузках
- интеллектуальная собственность в данных и приложениях
Корпоративная ИТ-организация управляет и поддерживает рабочие нагрузки и инфраструктуру, в которой они размещаются, независимо от того, находится ли она в локальной среде, в Azure или у стороннего поставщика облачных услуг, создавая плоскость управления . Для обеспечения согласованного управления доступом к этим системам в масштабе всей организации требуется плоскость управления, основанная на централизованной системе идентификации предприятия, часто дополняемая сетевым контролем доступа для устаревших систем, таких как устройства операционных технологий (OT).
Каждый из этих самолетов имеет контроль над данными и рабочими нагрузками в силу своих функций, создавая привлекательный путь для злоумышленников для злоупотреблений, если они могут получить контроль над любой плоскостью.
Для создания бизнес-ценности эти системы должны быть доступны внутренним пользователям, партнерам и клиентам с помощью рабочих станций или устройств (часто использующих решения удаленного доступа) — создание путей доступа пользователей. Они также должны часто быть доступными программно через интерфейсы программирования приложений (API), чтобы упростить автоматизацию процессов, создавая каналы доступа к приложениям.
Наконец, эти системы должны управляться ит-специалистами, разработчиками или другими организациями, создавая привилегированный доступ пути. Из-за высокого уровня контроля над критически важными активами для бизнеса, который они обеспечивают в организации, эти пути должны быть строго защищены от компрометации.
Обеспечение согласованного контроля доступа, который способствует повышению производительности и снижению рисков, требует от вас следующих действий.
- Обеспечение принципов нулевого доверия ко всем доступам
- Предположим, нарушение других компонентов
- Явная проверка доверия
- Минимальный доступ к привилегиям
- Повсеместное применение политик и безопасности
- Внутренний и внешний доступ для обеспечения согласованного приложения политики
- Все методы доступа, включая пользователей, администраторов, API, учетных записей служб и т. д.
- Устранение несанкционированного повышения привилегий
- Принудительное применение иерархии — чтобы предотвратить контроль над более высокими плоскостями с более низких плоскостей (с помощью атак или злоупотреблений законными процессами)
- Управляющая плоскость
- Управляющая плоскость
- Плоскость данных/нагрузки
- Проводите постоянные проверки уязвимостей конфигурации, позволяющих непреднамеренную эскалацию прав.
- Мониторинг и реагирование на аномалии, которые могут представлять потенциальные атаки
- Принудительное применение иерархии — чтобы предотвратить контроль над более высокими плоскостями с более низких плоскостей (с помощью атак или злоупотреблений законными процессами)
Эволюция от устаревшей модели уровня AD
Модель корпоративного доступа заменяет устаревшую модель уровней, которая была направлена на предотвращение несанкционированного повышения привилегий в локальной установке Windows Server Active Directory.
Модель корпоративного доступа включает эти элементы, а также требования к управлению полным доступом современного предприятия, охватывающего локальные, несколько облаков, внутренний или внешний доступ пользователей и многое другое.
Расширение области уровня 0
Уровень 0 расширяется, чтобы стать плоскостью управления и решает все аспекты управления доступом, включая сети, где это единственный или лучший вариант управления доступом, например, устаревшие OT-опции.
Распределение 1 уровня
Чтобы повысить ясность и действенность, уровень 1 теперь разделен на следующие области:
- Плоскость управления — для функций управления ИТ для всего предприятия
- Плоскость данных/рабочих нагрузок — для управления каждой рабочей нагрузкой, которая иногда выполняется ИТ-специалистами, а иногда — бизнес-подразделениями.
Это разделение обеспечивает фокус на защите критически важных для бизнеса систем и административных ролей, имеющих высокую встроенную бизнес-ценность, но ограниченный технический контроль. Кроме того, это разделение лучше соответствует разработчикам и моделям DevOps, вместо того чтобы слишком сильно сосредотачиваться на классических ролях инфраструктуры.
Разделение уровня 2
Чтобы обеспечить охват доступа к приложениям и различными моделями партнеров и клиентов, уровень 2 был разделен на следующие области:
- доступ пользователей , включая все сценарии B2B, B2C и общедоступного доступа
- доступ к API — для учета путей доступа к API и результирующей увеличенной поверхности атаки