Biztonságvezérlés v3: Identitáskezelés

  • Cikk

Az Identity Management az Azure Active Directoryval biztonságos identitás- és hozzáférés-vezérlők létrehozására szolgáló vezérlőket ismerteti, beleértve az egyszeri bejelentkezés, az erős hitelesítések, a felügyelt identitások (és szolgáltatásnevek) alkalmazását, a feltételes hozzáférést és a fiókanomáliák monitorozását.

IM-1: Központosított identitás- és hitelesítési rendszer használata

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS ID(k) v3.2.1
6.7, 12.5 AC-2, AC-3, IA-2, IA-8 7.2, 8.3

Biztonsági elv: Központosított identitás- és hitelesítési rendszer használatával szabályozhatja a szervezet identitásait és hitelesítéseit a felhőbeli és nem felhőbeli erőforrások esetében.

Azure-útmutató: Az Azure Active Directory (Azure AD) az Azure identitás- és hitelesítéskezelési szolgáltatása. A szervezet identitásának és hitelesítésének szabályozásához szabványosítania kell a Azure AD:

  • A Microsoft felhőalapú erőforrásai, például az Azure Storage, az Azure Virtual Machines (Linux és Windows), az Azure Key Vault, a PaaS és az SaaS-alkalmazások.
  • A szervezet erőforrásai, például az Azure-beli alkalmazások, a vállalati hálózati erőforrásokon futó külső alkalmazások és a külső SaaS-alkalmazások.
  • A vállalati identitások az Active Directoryban a Azure AD szinkronizálásával biztosítják a konzisztens és központilag felügyelt identitásstratégiát.

Megjegyzés: Amint ez technikailag megvalósítható, migrálnia kell helyi Active Directory-alapú alkalmazásokat Azure AD. Ez lehet egy Azure AD Enterprise Directory, Business to Business vagy Business to Consumer konfiguráció.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (további információ):

IM-2: Identitás- és hitelesítési rendszerek védelme

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS ID(k) v3.2.1
5.4, 6.5 AC-2, AC-3, IA-2, IA-8, SI-4 8.2, 8.3

Biztonsági alapelv: A szervezet felhőbiztonsági gyakorlatában kiemelt prioritásként kell biztosítani az identitás- és hitelesítési rendszert. A gyakori biztonsági vezérlők a következők:

  • Kiemelt szerepkörök és fiókok korlátozása
  • Erős hitelesítés megkövetelése minden emelt szintű hozzáféréshez
  • Magas kockázatú tevékenységek monitorozása és naplózása

Azure-útmutató: A Azure AD biztonsági alapkonfiguráció és a Azure AD Identity Biztonsági pontszám segítségével értékelheti a Azure AD identitásbiztonsági állapotát, valamint elháríthatja a biztonsági és konfigurációs hiányosságokat. Az Azure AD Identitás biztonsági pontszáma a következő konfigurációk Azure AD értékeli ki: -Korlátozott rendszergazdai szerepkörök használata

  • Felhasználói kockázati szabályzat bekapcsolása
  • Több globális rendszergazda kijelölése
  • Szabályzat engedélyezése az örökölt hitelesítés letiltásához
  • Győződjön meg arról, hogy minden felhasználó elvégezheti a többtényezős hitelesítést a biztonságos hozzáférés érdekében
  • MFA megkövetelése rendszergazdai szerepkörökhöz
  • Új jelszó önkiszolgáló kérésének engedélyezése
  • Jelszavak lejáratának tiltása
  • Bejelentkezési kockázati szabályzat bekapcsolása
  • Nem engedélyezett, hogy a felhasználók hozzájárulást adjanak a nem felügyelt alkalmazásokhoz

Megjegyzés: Kövesse a közzétett ajánlott eljárásokat az összes többi identitásösszetevő esetében, beleértve a helyi Active Directory és a harmadik féltől származó képességeket, valamint az azokat futtató infrastruktúrákat (például operációs rendszereket, hálózatokat, adatbázisokat).

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (további információ):

IM-3: Az alkalmazásidentitások biztonságos és automatikus kezelése

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS ID(k) v3.2.1
N/A AC-2, AC-3, IA-4, IA-5, IA-9 N/A

Biztonsági elv: Felügyelt alkalmazásidentitások használata az erőforrások eléréséhez és a kód végrehajtásához emberi fiókok létrehozása helyett. A felügyelt alkalmazásidentitások olyan előnyöket biztosítanak, mint a hitelesítő adatok kitettségének csökkentése. Automatizálja a hitelesítő adatok rotálását az identitások biztonságának biztosítása érdekében.

Azure-útmutató: Azure-beli felügyelt identitások használata, amelyek hitelesíthetők Azure AD hitelesítést támogató Azure-szolgáltatásokban és -erőforrásokban. A felügyelt identitás hitelesítő adatait teljes mértékben felügyeli, rotálta és védi a platform, így elkerülheti a kódban vagy konfigurációs fájlokban található, nem rögzített hitelesítő adatokat.

A felügyelt identitásokat nem támogató szolgáltatások esetén a Azure AD használatával hozzon létre korlátozott engedélyekkel rendelkező szolgáltatásnevet az erőforrás szintjén. Javasoljuk, hogy tanúsítványhitelesítő adatokkal konfigurálja a szolgáltatásneveket, és a hitelesítéshez térjen vissza az ügyfél titkos kulcsaihoz.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (további információ):

IM-4: Kiszolgáló és szolgáltatások hitelesítése

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS ID(k) v3.2.1
N/A IA-9 N/A

Biztonsági elv: Hitelesítse a távoli kiszolgálókat és szolgáltatásokat az ügyféloldalról, és győződjön meg arról, hogy megbízható kiszolgálóhoz és szolgáltatásokhoz csatlakozik. A leggyakoribb kiszolgálóhitelesítési protokoll a Transport Layer Security (TLS), ahol az ügyféloldali (gyakran böngésző vagy ügyféleszköz) ellenőrzi a kiszolgálót, és ellenőrzi, hogy a kiszolgáló tanúsítványát egy megbízható hitelesítésszolgáltató adta-e ki.

Megjegyzés: Kölcsönös hitelesítés akkor használható, ha a kiszolgáló és az ügyfél is hitelesíti egymást.

Azure-útmutató: Számos Azure-szolgáltatás alapértelmezés szerint támogatja a TLS-hitelesítést. A TLS-t támogató szolgáltatások esetében győződjön meg arról, hogy a kiszolgáló/szolgáltatás hitelesítésének támogatása mindig engedélyezve van. Az ügyfélalkalmazást úgy kell megtervezni, hogy a kézfogási szakaszban ellenőrizze a kiszolgáló/szolgáltatás identitását (a kiszolgáló megbízható hitelesítésszolgáltató által kiadott tanúsítványának ellenőrzésével).

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (további információ):

IM-5: Egyszeri bejelentkezés (SSO) használata alkalmazáshozzáféréshez

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS-azonosító(k) v3.2.1
12.5 IA-4, IA-2, IA-8 N/A

Biztonsági elv: Az egyszeri bejelentkezés (SSO) használatával egyszerűbbé teheti a felhasználói élményt az erőforrásokhoz való hitelesítéshez, beleértve az alkalmazásokat és az adatokat a felhőszolgáltatásokban és a helyszíni környezetekben.

Azure-útmutató: A számítási feladatokhoz való hozzáféréshez Azure AD használata Azure AD egyszeri bejelentkezéssel (SSO) keresztül, így nincs szükség több fiókra. Azure AD identitás- és hozzáférés-kezelést biztosít az Azure-erőforrásokhoz (felügyeleti sík, beleértve a CLI-t, a PowerShellt, a portált), a felhőalkalmazásokat és a helyszíni alkalmazásokat.

Azure AD támogatja az egyszeri bejelentkezést a vállalati identitásokhoz, például a vállalati felhasználói identitásokhoz, valamint a megbízható külső és nyilvános felhasználók külső felhasználói identitásaihoz.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (További információ):

IM-6: Erős hitelesítési vezérlők használata

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS-azonosító(k) v3.2.1
6.3, 6.4 AC-2, AC-3, IA-2, IA-5, IA-8 7.2, 8.2, 8.3, 8.4

Biztonsági elv: Erős hitelesítési vezérlők (erős jelszó nélküli hitelesítés vagy többtényezős hitelesítés) kényszerítése a központosított identitás- és hitelesítéskezelő rendszerrel az erőforrásokhoz való hozzáféréshez. A jelszó-hitelesítő adatokon alapuló hitelesítés önmagában örököltnek tekinthető, mivel nem biztonságos, és nem áll ki a népszerű támadási módszerek mellett.

Az erős hitelesítés üzembe helyezésekor először konfigurálja a rendszergazdákat és a kiemelt felhasználókat, hogy biztosítsa az erős hitelesítési módszer legmagasabb szintjét, majd gyorsan hajtsa végre a megfelelő erős hitelesítési szabályzatot az összes felhasználó számára.

Megjegyzés: Ha régi jelszóalapú hitelesítésre van szükség az örökölt alkalmazásokhoz és forgatókönyvekhez, győződjön meg arról, hogy a jelszóbiztonsági ajánlott eljárások, például az összetettségi követelmények teljesülnek.

Azure-útmutató: Azure AD jelszó nélküli módszerekkel és többtényezős hitelesítéssel (MFA) támogatja az erős hitelesítési vezérlőket.

  • Jelszó nélküli hitelesítés: Alapértelmezett hitelesítési módszerként használja a jelszó nélküli hitelesítést. A jelszó nélküli hitelesítéshez három lehetőség érhető el: Vállalati Windows Hello, a Microsoft Authenticator alkalmazás telefonos bejelentkezése és a FIDO 2Keys. Emellett az ügyfelek helyszíni hitelesítési módszereket, például intelligens kártyákat is használhatnak.
  • Többtényezős hitelesítés: Az Azure MFA kényszeríthető minden felhasználóra, felhasználónként vagy felhasználónként a bejelentkezési feltételek és kockázati tényezők alapján. Engedélyezze az Azure MFA-t, és kövesse az Azure Defender for Cloud identitás- és hozzáférés-kezelési javaslatait az MFA beállításához.

Ha a régi jelszóalapú hitelesítést továbbra is Azure AD hitelesítéshez használják, vegye figyelembe, hogy a csak felhőalapú fiókok (közvetlenül az Azure-ban létrehozott felhasználói fiókok) alapértelmezett alapszintű jelszószabályzattal rendelkeznek. A hibrid fiókok (helyi Active Directory származó felhasználói fiókok) pedig a helyszíni jelszóházirendeket követik.

Olyan külső alkalmazások és szolgáltatások esetében, amelyek alapértelmezett azonosítókkal és jelszóval rendelkeznek, le kell tiltania vagy módosítania kell azokat a kezdeti szolgáltatásbeállítás során.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (További információ):

IM-7: Erőforrás-hozzáférés korlátozása feltételek alapján

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS-azonosító(k) v3.2.1
3.3, 6.4, 13.5 AC-2, AC-3, AC-6 7.2

Biztonsági elv: A megbízható jelek explicit érvényesítése a felhasználók erőforrásokhoz való hozzáférésének engedélyezéséhez vagy letiltásához a megbízhatóság nélküli hozzáférési modell részeként. Az érvényesítendő jeleknek tartalmazniuk kell a felhasználói fiók erős hitelesítését, a felhasználói fiók viselkedéselemzését, az eszköz megbízhatóságát, a felhasználó- vagy csoporttagságot, a helyeket stb.

Azure-útmutató: Azure AD feltételes hozzáférés használata a felhasználó által meghatározott feltételeken alapuló részletesebb hozzáférés-vezérléshez, például bizonyos IP-tartományokból (vagy eszközökről) származó felhasználói bejelentkezések megköveteléséhez az MFA használatához. Azure AD feltételes hozzáférés lehetővé teszi a hozzáférés-vezérlések kikényszerítését a szervezet alkalmazásaiban bizonyos feltételek alapján.

Határozza meg a számítási feladat feltételes hozzáférésének Azure AD vonatkozó feltételeket és feltételeket. Vegye figyelembe a következő gyakori használati eseteket:

  • Többtényezős hitelesítés megkövetelése rendszergazdai szerepkörrel rendelkező felhasználók számára
  • Többtényezős hitelesítés megkövetelése azure-beli felügyeleti feladatokhoz
  • A bejelentkezések blokkolása az örökölt hitelesítési protokollokat használó felhasználók számára
  • Megbízható helyek megkövetelése Azure AD Többtényezős hitelesítés regisztrációhoz
  • Hozzáférés letiltása vagy biztosítása adott helyekről
  • Kockázatos bejelentkezési viselkedések blokkolása
  • Szervezet által felügyelt eszközök megkövetelése adott alkalmazásokhoz

Megjegyzés: Részletes hitelesítési munkamenet-kezelés is használható Azure AD feltételes hozzáférési szabályzaton keresztül olyan vezérlőkhöz, mint a bejelentkezési gyakoriság és az állandó böngésző munkamenete.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (További információ):

IM-8: A hitelesítő adatok és titkos kódok kitettségének korlátozása

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS-azonosító(k) v3.2.1
16.9, 16.12 IA-5 3.5, 6.3, 8.2

Biztonsági elv: Győződjön meg arról, hogy az alkalmazásfejlesztők biztonságosan kezelik a hitelesítő adatokat és a titkos kulcsokat:

  • Kerülje a hitelesítő adatok és titkos kódok beágyazását a kód- és konfigurációs fájlokba
  • A hitelesítő adatok és titkos kulcsok tárolása a Key Vault vagy egy biztonságos kulcstároló szolgáltatás használatával
  • Hitelesítő adatok keresése a forráskódban.

Megjegyzés: Ezt gyakran egy biztonságos szoftverfejlesztési életciklus (SDLC) és DevOps biztonsági folyamat szabályozza és érvényesíti.

Azure-útmutató: Győződjön meg arról, hogy a titkos kódok és a hitelesítő adatok biztonságos helyeken, például az Azure Key Vault vannak tárolva, ahelyett, hogy beágyazza őket a kódba és a konfigurációs fájlokba.

  • Implementálja az Azure DevOps Credential Scannert a hitelesítő adatok kódon belüli azonosításához.
  • A GitHub esetében a natív titkos kód beolvasási funkciójával azonosíthatja a hitelesítő adatokat vagy a kódon belüli egyéb titkos kulcsokat.

Az olyan ügyfelek, mint a Azure Functions, az Azure Apps-szolgáltatások és a virtuális gépek felügyelt identitásokat használhatnak az Azure Key Vault biztonságos eléréséhez. Lásd: Az Azure Key Vault titkos kódok kezeléséhez való használatával kapcsolatos adatvédelmi vezérlők.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (További információ):

IM-9: Biztonságos felhasználói hozzáférés a meglévő alkalmazásokhoz

CIS-vezérlők v8-azonosító(k) NIST SP 800-53 r4 AZONOSÍTÓ(k) PCI-DSS ID(k) v3.2.1
6.7, 12.5 AC-2, AC-3, SC-11 N/A

Biztonsági elv: Hibrid környezetben, ahol helyszíni alkalmazásokkal vagy nem natív felhőalkalmazásokkal rendelkezik örökölt hitelesítéssel, fontolja meg olyan megoldások használatát, mint a felhőelérési biztonsági közvetítő (CASB), az alkalmazásproxy, az egyszeri bejelentkezés (SSO) az alkalmazásokhoz való hozzáférés szabályozásához a következő előnyök érdekében:

  • Központosított erős hitelesítés kényszerítése
  • Kockázatos végfelhasználói tevékenységek monitorozása és szabályozása
  • Kockázatos örökölt alkalmazások tevékenységeinek monitorozása és szervizelése
  • Bizalmas adattovábbítás észlelése és megakadályozása

Azure-útmutató: A helyszíni és a nem natív felhőalkalmazások védelme örökölt hitelesítéssel, a következőhöz csatlakoztatva:

  • Azure AD alkalmazásproxy fejlécalapú hitelesítéssel együtt az örökölt helyszíni alkalmazások egyszeri bejelentkezéssel (SSO) rendelkező távoli felhasználók számára történő közzétételéhez, valamint a távoli felhasználók és eszközök Azure AD feltételes hozzáféréssel való megbízhatóságának explicit érvényesítéséhez. Ha szükséges, használjon külső Software-Defined Szegélyhálózat (SDP) megoldást, amely hasonló funkciókat kínálhat.
  • Meglévő külső alkalmazáskézbesítési vezérlők és hálózatok
  • Microsoft Defender for Cloud Apps felhőelérési biztonsági közvetítő (CASB) szolgáltatásként használva vezérlőket biztosít a felhasználó alkalmazás-munkameneteinek figyeléséhez és a blokkolási műveletekhez (örökölt helyszíni alkalmazásokhoz és szolgáltatott felhőszoftver-alkalmazásokhoz egyaránt).

Megjegyzés: A VPN-eket gyakran használják az örökölt alkalmazások eléréséhez, gyakran csak alapszintű hozzáférés-vezérléssel és korlátozott munkamenet-figyeléssel rendelkeznek.

Megvalósítás és további környezet:

Ügyfélbiztonsági érdekelt felek (további információ):