Ustanawianie dziedziny Dostęp i tożsamości

Ten artykuł ułatwia zespołom ds. zabezpieczeń i technologii ustanawianie i modernizację dziedziny Architektura zabezpieczeń, która zapewnia wyraźną, kompleksową wizję techniczną zabezpieczeń w całej organizacji.

Dyscypliny zabezpieczeń to grupy powiązanych prac związanych z zabezpieczeniami, które pomagają organizacjom spójnie dostarczać wyniki zabezpieczeń w całej infrastrukturze technologicznej. W ramach modelu wdrażania zabezpieczeń dyscypliny pomagają zapewnić most między scenariuszami biznesowymi a implementacją techniczną, zapewniając, że inwestycje w zabezpieczenia przekładają się na rzeczywiste mierzalne wyniki w ramach modelu wdrażania zabezpieczeń.

Dlaczego ta dyscyplina?

Dostęp i tożsamość to dyscyplina zabezpieczeń, z którą większość osób korzysta przede wszystkim — i najczęściej. Każdy użytkownik korzysta z niego za każdym razem, gdy logują się do urządzenia, uzyskują dostęp do aplikacji, udostępniają plik, łączą się zdalnie lub używają poświadczeń fizycznych, aby wejść do budynku.

Ponieważ mechanizmy kontroli dostępu znajdują się na skrzyżowaniu zabezpieczeń i produktywności, mają bezpośredni wpływ zarówno na ryzyko organizacyjne, jak i środowisko użytkownika.

Dziedzina Dostęp i tożsamości:

-

• Zmniejsza ryzyko poprzez kształtowanie i zarządzanie ścieżkami dostępu do zasobów biznesowych, zapewniając właściwym podmiotom dostęp w odpowiednich warunkach, jednocześnie zapobiegając nadużyciom przez osoby atakujące.
• Zwiększa produktywność dzięki spójnemu, bezproblemowemu dostępowi, który zniechęca do stosowania niezabezpieczonych obejść i shadow IT
• Zapewnia wspólną strategię, do której liderzy ds. bezpieczeństwa i specjaliści mogą się dostosować i konsekwentnie ją realizować w całej organizacji

Jest to priorytet strategiczny, ponieważ tożsamości są najczęstszym punktem wejścia do ataków i dlatego, że naruszenie uprzywilejowanego dostępu znacznie zwiększa wpływ ataku. Techniki takie jak rozpylanie haseł, phishing i kradzież tokenów są powszechnie stosowane, aby uzyskać wstępny dostęp. Ataki typu Pass-the-Hash, Pass-the-Ticket i podobne ataki polegające na przejęciu tożsamości są powszechnie wykorzystywane do poruszania się w sieci, eskalacji uprawnień i uzyskiwania dostępu do zasobów o krytycznym znaczeniu.

Bez skutecznego zarządzania dostępem i tożsamościami organizacje są narażone na zwiększone ryzyko:

• Zewnętrzne naruszenie: atakujący mogą szybko przejąć prawidłowe tożsamości użytkowników lub usług, w tym konta uprzywilejowane, i wykorzystać je do wykrywania i przejmowania zasobów firmowych.
• Nadużycie i niewłaściwe użycie uprawnień wewnętrznych: złośliwe, niedbalsowane lub naruszone osoby wewnętrzne mogą nadużywać podwyższonych uprawnień w celu uzyskania dostępu do poufnych systemów i danych.
• Utrata produktywności i niezabezpieczone obejścia: Zbyt restrykcyjne lub niespójne mechanizmy kontroli dostępu frustrują użytkowników i napędzają wdrażanie niezatwierdzonych zasobów IT ze słabszymi mechanizmami kontroli i ograniczoną widocznością, zwiększając ryzyko i promień wybuchu.

Misja i wyniki

Efektywna dyscyplina Dostęp i tożsamości jest zbudowana wokół dwóch uzupełniających celów strategicznych:

• Zabezpieczanie ogólnego dostępu — zwiększanie zabezpieczeń punktów odniesienia dla wszystkich zasobów organizacyjnych przez spójne wymuszanie minimalnych gwarancji zabezpieczeń na potrzeby codziennego dostępu.
• Zabezpieczanie uprzywilejowanego dostępu — ochrona dostępu, który może mieć istotny wpływ na działalność firmy, w tym cennych zasobów biznesowych, kont administracyjnych IT, tożsamości obciążeń roboczych i artefaktów zapewniających szeroki lub głęboki poziom kontroli.

Razem te cele zapewniają, że dostęp do zabezpieczeń jest skalowany z wartością biznesową i ryzykiem, zapewniając silną ochronę tam, gdzie jest to najważniejsze, bez niepotrzebnego utrudniania rutynowej pracy.

Na poniższym diagramie przedstawiono te dwa uzupełniające cele:

Jak zastosować tę dyscyplinę

Aby skutecznie zastosować dziedzinę Dostęp i tożsamość, skoncentruj się na ustanowieniu spójnego, skoncentrowanego na tożsamościach podejścia do sposobu zarządzania dostępem w całej organizacji:

1. Definiowanie modelu dostępu skoncentrowanego na tożsamościach dostosowanego do ryzyka biznesowego
   Ustanów jasne podejście do sposobu, w jaki użytkownicy, urządzenia, aplikacje i obciążenia uzyskują dostęp do zasobów organizacji w oparciu o ryzyko i wpływ na działalność biznesową.
2. Zapewnianie spójnej weryfikacji dostępu we wszystkich środowiskach
   Zastosuj jednolite podejście do weryfikowania tożsamości, urządzenia i warunków dostępu niezależnie od lokalizacji, aplikacji lub sieci.
3. Standaryzacja kontroli dostępu i zasad w całej organizacji
   Podaj jasne wskazówki, aby upewnić się, że decyzje dotyczące dostępu są stosowane spójnie i zmniejszają fragmentację w systemach i środowiskach.
4. Dopasowywanie zarządzania dostępem do scenariuszy biznesowych i krytycznych zasobów
   Określanie priorytetów kontroli dostępu, które chronią zasoby o wysokiej wartości i obsługują kluczowe scenariusze, takie jak bezpieczna praca zdalna i ochrona krytycznych systemów.
5. Stale monitoruj i dostosowuj dostęp na podstawie ryzyka i aktywności
   Użyj szczegółowych informacji z wzorców dostępu, sygnałów ryzyka i zdarzeń zabezpieczeń, aby wzmocnić mechanizmy kontroli i zmniejszyć narażenie na ryzyko w czasie.

Zarządzanie zmianami

Tradycyjne modele kontroli dostępu koncentrowały się na granicach sieci, nakładając warstwy systemów tożsamości i sieci VPN wokół zaufanej sieci wewnętrznej. Te modele nie spełniają już potrzeb nowoczesnych przedsiębiorstw działających w chmurze, SaaS, mobilnych, sztucznej inteligencji i środowiskach hybrydowych. Tradycyjne podejścia często prowadzą do:

• Pofragmentowane rozwiązania w warstwach tożsamości, sieci i aplikacji.
• Słaba lub niespójna ochrona dostępu uprzywilejowanego.
• Słaba integracja z operacjami zabezpieczeń i wykrywaniem.
• Luki, które osoby atakujące rutynowo wykorzystują.

Na poniższym diagramie przedstawiono to ograniczenie:

Nowoczesna dyscyplina Dostęp i tożsamości wykracza poza poszczególne technologie. Koncentruje się on na priorytetach biznesowych, integracji i kompletności we wszystkich ścieżkach dostępu, jednocześnie wymuszając pojedynczą, spójną strategię dostępu. Nowoczesna kontrola dostępu musi być:

• Bezpieczne: Jawne weryfikowanie użytkowników, urządzeń i obciążeń przy użyciu zaawansowanych sygnałów. Zapobieganie eskalacji nieautoryzowanych uprawnień i ochrona uprzywilejowanego dostępu.
• Spójne i kompleksowe: Uwzględnij wszystkie ścieżki dostępu — ludzkie i nieludzkie — i zastosuj zabezpieczenia jednolicie, aby wyeliminować luki i poprawić środowisko użytkownika.
• Zintegrowane: Użyj scentralizowanych zasad i minimalnej liczby silników zasad, aby spójnie egzekwować mechanizmy kontroli na dużą skalę, unikając dryfu konfiguracji.
• Zorientowane na tożsamość: Nadaj priorytet mechanizmom kontroli opartym na tożsamości, które zapewniają bogatszy kontekst niż sygnały pochodzące wyłącznie z sieci. Użyj kontrolek sieci jako warstwy uzupełniającej, a nie podstawowej granicy zaufania.

Ten diagram z modelu dostępu do przedsiębiorstw przedstawia wszystkie różne typy ścieżek dostępu, które organizacja musi zabezpieczyć w wielu obciążeniach, wielu chmurach, różnych poziomach poufności biznesowej i dostępie zarówno przez osoby, jak i urządzenia.

Role i współpracownicy w dyscyplinie

Planowanie i realizacja obszaru Dostęp i tożsamość zwykle należą do zespołów odpowiedzialnych za tożsamość, dostęp i sieci. W większych organizacjach obowiązki są dystrybuowane między formalne role i procesy. W mniejszych organizacjach role mogą być łączone i obsługiwane bardziej nieformalnie. We wszystkich przypadkach zalecane jest dokumentowanie strategii dostępu i tożsamości podczas jej rozwoju.

Role podstawowe obejmują:

• Architekci dostępu: Definiowanie kompleksowej strategii dostępu i projektowania między warstwami tożsamości, sieci, aplikacji i platformy.
• Inżynierowie i operatorzy ds. tożsamości i sieci: wdrażają, obsługują i utrzymują systemy tożsamości, egzekwowanie kontroli dostępu oraz infrastrukturę wspierającą.

Architekci muszą całościowo zrozumieć wszystkie technologie dostępu. Inżynierowie zazwyczaj mają głęboką wiedzę na temat systemów tożsamości i/lub sieci.

Kluczowi współpracownicy wewnętrzni to:

• Architekci zabezpieczeń i przedsiębiorstw, aby dostosować mechanizmy kontroli dostępu do szerszej architektury i priorytetów zabezpieczeń
• Zespoły inżynieryjne i operacyjne, które implementują wymagania dostępu na platformach i obciążeniach**
• Liderzy zabezpieczeń (CISO i delegaci), którzy zapewniają kierunek i nadzór
• Deweloperzy, którzy projektują i tworzą aplikacje przy użyciu nowoczesnych wzorców tożsamości i dostępu

Żadna pojedyncza rola nie odpowiada samodzielnie za dostęp. Pomyślna kontrola dostępu zależy od wspólnej odpowiedzialności i koordynacji między zespołami.

Składniki strategii

Skuteczna strategia dostępu i tożsamości zabezpiecza pełny cykl życia autoryzowanych akcji. Koncepcyjnie odzwierciedla to strukturę zdania:

• Temat tożsamości — kto lub co żąda dostępu.
• Czasownik „uzyskać dostęp” – wykonywana czynność.
• Obiekt dostępu – zasób, do którego uzyskuje się dostęp.

Podmiot identyfikacji (kto)

Zabezpieczenia dostępu zaczynają się od znajomości tego, kto lub co żąda dostępu:

• Wszystkie typy tożsamości: Zabezpieczanie kont użytkowników ludzkich, tożsamości obciążeń, agentów sztucznej inteligencji, aplikacji, jednostek usługi, certyfikatów i kluczy kryptograficznych.
• • Pełny cykl życia tożsamości1: Zarządzanie tożsamościami — od braku dostępu i utworzenia tożsamości, przez zmiany i podwyższanie uprawnień, po deprowizację i powrót do braku dostępu, gdy dostęp nie jest już potrzebny.
• Źródła tożsamości: określ, którzy dostawcy tożsamości wewnętrznych i zewnętrznych są zaufani, w jaki sposób są zarządzane tożsamości i jak są wymuszane mechanizmy kontroli cyklu życia w tych źródłach.

Czasownik dostępu (jak)

Wymuszanie dostępu musi obejmować wszystkie zasoby i ścieżki dostępu w całym cyklu dostępu.

• Kompleksowa ochrona: egzekwowanie zasad dla zasobów chmurowych, lokalnych, SaaS, AI oraz OT/IoT w obszarze dostępu interaktywnego, interfejsów API i komunikacji między maszynami.
• Systemy pośredniczące: bezpieczne urządzenia, katalogi, bramy, sieci VPN i serwery proxy dostępu, które pośredniczą w dostępie.
• Spójne zasady: zastosuj zasady równomiernie w przypadku ogólnego dostępu, dostępu uprzywilejowanego, dostępu do sieci, dostępu zewnętrznego i modeli autoryzacji na poziomie obciążenia.
• Adaptacyjna kontrola dostępu: stale oceniaj, czy tożsamości użytkowników są znane, zaufane i uprawnione, na podstawie sygnałów w czasie rzeczywistym, oraz przerywaj sesje, jeśli poziom ryzyka ulegnie zmianie.
• Silne uwierzytelnianie: wymuszanie uwierzytelniania odpornego na wyłudzanie informacji i mechanizmów, które ograniczają ataki oparte na hasłach.
• Nowoczesne mechanizmy dostępu: wymuszanie najniższych uprawnień na poziomie aplikacji i zastępowanie starszych technologii obwodowych metodami skoncentrowanymi na tożsamościach, takimi jak usługa Security Service Edge (SSE).

Obiekt programu Access (co)

Polityka dostępu musi odzwierciedlać wartość biznesową, wrażliwość oraz wymagania w zakresie ładu korporacyjnego:

• Dopasowanie zasad do firmy: klasyfikuj zasoby i dopasuj mechanizmy kontroli dostępu do ich wartości i ryzyka.
• Zarządzanie relacjami kontroli: strategie dostępu muszą uwzględniać przechodnie relacje kontroli na wykresie zabezpieczeń. Jeśli A kontroluje B, a B kontroluje C, to A w praktyce kontroluje C — co znacząco zwiększa skalę potencjalnych szkód.
• Zmniejszenie zadłużenia technicznego: Wycofaj niezabezpieczone starsze protokoły i kryptografię (np. LM/NTLM), które podważają gwarancje dostępu. Często wymaga to skoordynowanego działania w zakresie tożsamości, punktów końcowych i infrastruktury.

Spójność z innymi dyscyplinami

Dyscyplina Dostęp i tożsamości nie działa niezależnie. Jest ściśle zgodny z innymi dyscyplinami zabezpieczeń, w tym:

• Strategia, integracja i ład. Decyzje dotyczące dostępu kształtuje ryzyko biznesowe i priorytetyzację.
• Architektura zabezpieczeń: Mechanizmy kontroli dostępu wymuszają decyzje dotyczące architektury.
• Operacje bezpieczeństwa: telemetria tożsamości i sygnały dostępu wspierają wykrywanie, badanie i reagowanie.
• Zabezpieczenia punktu końcowego: Stan urządzenia bezpośrednio wpływa na zaufanie dostępu.
• Bezpieczeństwo danych: zasady dostępu odzwierciedlają wrażliwość danych i ład korporacyjny.

To dopasowanie zapewnia, że decyzje dostępu obsługują kompleksowe wyniki zabezpieczeń, a nie fragmentowane mechanizmy kontroli.

Dopasowanie do filarów technologii

Dziedzina Dostęp i tożsamości obejmuje wszystkie filary technologii i służy jako jednocząca warstwa kontroli na nich, jak pokazano na tym diagramie.

Dyscyplina przedstawia się następująco:

• Tożsamości: Uwierzytelnianie, autoryzacja, zarządzanie cyklem życia i uprawnienia określają, kto może uzyskiwać dostęp do zasobów i w jakich warunkach.
• Punkty końcowe: stan punktu końcowego i ochrona poświadczeń wpływają na decyzje dotyczące zaufania dostępu. Naruszone urządzenia podważają mechanizmy kontroli tożsamości.
• Infrastruktura: systemy tożsamości i interfejsy administracyjne działają w infrastrukturze i wymagają silnej uprzywilejowanej ochrony dostępu.
• Aplikacje: Aplikacje muszą używać nowoczesnych wzorców tożsamości i wymuszać dostęp z najmniejszymi uprawnieniami dla użytkowników, interfejsów API i potoków.
• Dane: Mechanizmy kontroli dostępu oparte na tożsamościach określają, kto może odczytywać, modyfikować lub eksfiltrować poufne dane.
• Sieć: Mechanizmy kontroli sieci uzupełniają dostęp skoncentrowany na tożsamościach, ograniczając starsze ataki i obsługując wzorce usługi Security Service Edge (SSE).
• Sztuczna inteligencja: agenci i usługi sztucznej inteligencji wprowadzają nowe typy tożsamości, które wymagają zarządzania cyklem życia, najniższych uprawnień i monitorowania.

Następne kroki

• Microsoft Unified oferuje architektury referencyjne cyberbezpieczeństwa, wskazówki Zero Trust i warsztaty prowadzone przez ekspertów, aby pomóc organizacjom w kompleksowej architekturze zabezpieczeń. Dowiedz się więcej.

  

• Przejrzyj inne dyscypliny zabezpieczeń.