Accès privilégié : interfaces

Un composant essentiel de la sécurisation de l’accès privilégié est l’application d’une stratégie de confiance nulle pour garantir que les appareils, les comptes et les intermédiaire répondent aux exigences de sécurité avant de fournir l’accès.

Cette stratégie garantit que les utilisateurs et appareils à l’origine de la session entrante sont connus, fiables et autorisés à accéder à la ressource (via l’interface). L’application de la stratégie est effectuée par le moteur de stratégie d’accès conditionnel Azure AD qui évalue la stratégie affectée à l’interface d’application spécifique (par exemple, portail Azure, Salesforce, Office 365, AWS, jour ouvr, etc.).

Protecting resources by protecting interfaces

Ces instructions définissent trois niveaux de sécurité pour la sécurité de l’interface que vous pouvez utiliser pour des ressources avec des niveaux de sensibilité différents. Ces niveaux sont configurés dans le plan de lancement rapide de l’accès privilégié et correspondent aux niveaux de sécurité des comptes et appareils.

Les exigences de sécurité pour les sessions entrantes vers les interfaces s’appliquent aux comptes et à l’appareil source, qu’il s’agit d’une connexion directe à partir d’appareils physiques ou d’un intermédiaire du Bureau à distance/Jump Server. Les intermédiaire peuvent accepter des sessions à partir d’appareils personnels pour fournir le niveau de sécurité de l’entreprise (dans certains scénarios), mais des intermédiaire spécialisés ou privilégiés ne doivent pas autoriser les connexions à partir de niveaux inférieurs en raison de la nature sensible à la sécurité de leurs rôles.

Remarque

Ces technologies offrent un contrôle sécurisé de bout en bout de l’accès à l’interface de l’application, mais la ressource elle-même doit également être sécurisée contre les attaques hors bande sur le code/fonctionnalité de l’application, les vulnérabilités non compatibles ou les erreurs de configuration dans le système d’exploitation ou le microprogramme sous-jacent, sur les données au repos ou en transit, les chaînes d’approvisionnement ou d’autres moyens.

Veillez à évaluer et à identifier les risques pour les ressources elles-mêmes à des fin de protection complète. Microsoft fournit des outils et des conseils pour vous aider dans ce processus, notamment Microsoft Defender pour le cloud,Microsoft Secure Scoreet les conseils sur les menaces.

Exemples d’interface

Les interfaces sont des formulaires différents, généralement comme :

  • Services cloud/sites web d’applications tels que le portail Azure, AWS et Office 365
  • Console de bureau gérant une application locale (Microsoft Management Console (MMC) ou application personnalisée)
  • Interface de script/console telle que Secure Shell (SSH) ou PowerShell

Bien que certaines de ces stratégies soient directement en charge l’application de zéro confiance via le moteur de stratégie d’accès conditionnel Azure AD, certaines d’entre elles doivent être publiées via un intermédiaire tel que Azure AD App Proxy ou Remote Desktop/jump server.

Sécurité des interfaces

L’objectif ultime de la sécurité de l’interface est de garantir que chaque session entrante vers l’interface est connue, fiable et autorisée :

  • Connu : l’utilisateur est authentifié à l’aide d’une authentification forte et l’appareil est authentifié (avec des exceptions pour les appareils personnels qui utilisent une solution Bureau à distance ou VDI pour l’accès d’entreprise)
  • Approuvé – L’état de sécurité est explicitement validé et appliqué pour les comptes et les appareils à l’aide d’un moteur de stratégie de confiance zéro
  • Autorisé : l’accès aux ressources suit le principe du moindre privilège à l’aide d’une combinaison de contrôles pour s’assurer qu’elles sont accessibles uniquement
    • Par les utilisateurs de droite
    • Au moment exact (accès à temps, pas accès permanent)
    • Avec le flux de travail d’approbation requis (selon vos besoins)
    • Niveau de risque/confiance acceptable

Contrôles de sécurité des interfaces

L’établissement de garanties de la sécurité des interfaces nécessite une combinaison de contrôles de sécurité, notamment :

  • Application d’une stratégie de confiance zéro - Utilisation de l’accès conditionnel pour garantir que les sessions entrantes répondent aux exigences relatives aux :
    • Confiance de l’appareil pour garantir au minimum l’appareil :
    • La confiance des utilisateurs est suffisamment élevée sur la base des signaux, dont :
      • Utilisation de l’authentification multifacteur lors de l’authentification initiale (ou ajoutée ultérieurement pour accroître la confiance)
      • Si cette session correspond aux modèles de comportement historiques
      • Si le compte ou la session en cours déclenche des alertes basées sur le veille contre les menaces
      • Azure AD de protection de l’identité
  • Modèle de contrôle d’accès basé sur un rôle qui combine les groupes/autorisations d’annuaire d’entreprise et les rôles, groupes et autorisations spécifiques aux applications
  • Flux de travail d’accès en temps réel qui garantissent des exigences spécifiques pour les privilèges (approbations d’homologues, piste d’audit, expiration privilégié, etc.). sont appliquées avant d’autoriser les privilèges pour qui le compte est éligible.

Niveaux de sécurité de l’interface

Ces instructions définissent trois niveaux de sécurité. Pour plus d’informations sur ces niveaux, voir Garder la simplicité - Personnage et profils. Pour obtenir des instructions en matière d’implémentation, consultez le plan de déploiement rapide.

Controlling resources access to specific interface security levels

Enterprise interface utilisateur

Enterprise sécurité de l’interface est adaptée à tous les utilisateurs d’entreprise et tous les scénarios de productivité. Enterprise sert également de point de départ pour les charges de travail à niveau de sensibilité plus importantes que vous pouvez utiliser incrémentiellement pour atteindre des niveaux d’accès spécialisés et privilégiés d’assurance.

  • Application d’une stratégie de confiance zéro : lors des sessions entrantes à l’aide de l’accès conditionnel pour garantir la sécurité des utilisateurs et des appareils au niveau de l’entreprise ou supérieur
    • Pour prendre en charge, apportez vos propres scénarios d’appareil (BYOD), vos appareils personnels et les appareils gérés par le partenaire peuvent être autorisés à se connecter s’ils font appel à un intermédiaire d’entreprise tel qu’une solution Windows Virtual Desktop (WVD) ou une solution similaire Bureau à distance/Jump.
  • Role-Based contrôle d’accès (RBAC) - Le modèle doit s’assurer que l’application est gérée uniquement par les rôles au niveau de sécurité spécialisé ou privilégié.

Interface spécialisée

Les contrôles de sécurité pour les interfaces spécialisées doivent inclure

  • Application d’une stratégie de confiance zéro : lors des sessions entrantes à l’aide de l’accès conditionnel pour garantir la sécurité des utilisateurs et des appareils au niveau spécialisé ou privilégié
  • Role-Based contrôle d’accès (RBAC) - Le modèle doit s’assurer que l’application est gérée uniquement par les rôles au niveau de sécurité spécialisé ou privilégié.
  • Flux de travail d’accès en temps réel (facultatif) - qui appliquent le moindre privilège en veillant à ce que les privilèges soient utilisés uniquement par les utilisateurs autorisés pendant la durée de leur utilisation.

Interface Privileged

Les contrôles de sécurité pour les interfaces spécialisées doivent inclure

  • Application d’une stratégie de confiance zéro : lors des sessions entrantes à l’aide de l’accès conditionnel pour garantir la sécurité des utilisateurs et des appareils au niveau privilégié
  • Role-Based contrôle d’accès (RBAC) - Le modèle doit s’assurer que l’application est gérée uniquement par les rôles au niveau de sécurité privilégié
  • Flux de travail d’accès en temps réel (requis) qui appliquent des privilèges minimum en veillant à ce que les privilèges soient utilisés uniquement par les utilisateurs autorisés pendant la durée de leur utilisation.

Étapes suivantes