Alkalmazásbiztonság növelése Teljes felügyelet alapelvek használatával

A fejlesztett alkalmazások körüli biztonságos hálózati szegélyhálózat nem feltételezhető. Szinte minden fejlesztett alkalmazás, a tervezés, lesz elérhető kívülről a hálózati szegélyhálózaton. Az alkalmazások nem garantálhatók biztonságosan a fejlesztésükkor, vagy az üzembe helyezésük után is megmaradnak. Az alkalmazásfejlesztő felelőssége, hogy ne csak az alkalmazás biztonságát maximalizálja, hanem minimalizálja az alkalmazás sérülését okozó károkat is.

Emellett a felelősség magában foglalja az ügyfelek és a felhasználók változó igényeinek támogatását is, akik elvárják, hogy az alkalmazás megfeleljen Teljes felügyelet biztonsági követelményeknek. Ismerje meg a Teljes felügyelet modell alapelveit, és alkalmazza a gyakorlatokat. Az alapelvek elsajátításával és alkalmazásával olyan alkalmazásokat fejleszthet, amelyek biztonságosabbak, és minimalizálják azokat a károkat, amelyeket a biztonság megszakadása esetén okozhatnak.

A Teljes felügyelet modell az implicit megbízhatóság helyett az explicit ellenőrzés kultúráját írja elő. A modell három fő alapelven alapul:

• Explicit ellenőrzés
• A legkevésbé emelt szintű hozzáférés használata
• Biztonsági incidens feltételezése

ajánlott eljárások Teljes felügyelet

Ezeket az ajánlott eljárásokat követve Teljes felügyelet-kompatibilis alkalmazásokat hozhat létre a Microsoft Identitásplatform és eszközeivel.

Explicit ellenőrzés

A Microsoft Identitásplatform hitelesítési mechanizmusokat kínál az erőforráshoz hozzáférő személy vagy szolgáltatás személyazonosságának ellenőrzéséhez. Alkalmazza az alábbi ajánlott eljárásokat az adatokhoz vagy erőforrásokhoz való hozzáféréshez szükséges entitások explicit ellenőrzéséhez .

Ajánlott eljárás	Az alkalmazásbiztonság előnyei
Használja a Microsoft Hitelesítési kódtárakat (MSAL).	Az MSAL microsoftos hitelesítési kódtárak készlete fejlesztők számára. Az MSAL segítségével a felhasználók és az alkalmazások hitelesíthetők, és jogkivonatok szerezhetők be a vállalati erőforrások eléréséhez mindössze néhány sornyi kóddal. Az MSAL modern protokollokat (OpenID Csatlakozás és OAuth 2.0) használ, amelyek nem igénylik, hogy az alkalmazások közvetlenül kezeljék a felhasználó hitelesítő adatait. A hitelesítő adatok kezelése jelentősen javítja a felhasználók és az alkalmazások biztonságát, mivel az identitásszolgáltató lesz a biztonsági határ. Emellett ezek a protokollok folyamatosan fejlődnek az identitásbiztonság új paradigmáinak, lehetőségeinek és kihívásainak kezelése érdekében.
Szükség esetén alkalmazzon továbbfejlesztett biztonsági bővítményeket, például a folyamatos hozzáférés-kiértékelést (CAE) és a feltételes hozzáférés hitelesítési környezetét.	A Azure AD a leggyakrabban használt bővítmények közé tartozik a feltételes hozzáférés (CA), a feltételes hozzáférés hitelesítési környezete és a CAE. Az olyan fokozott biztonsági funkciókat használó alkalmazásokat, mint a CAE és a feltételes hozzáférés hitelesítési környezete, kódoltnak kell lenniük a jogcímekkel kapcsolatos problémák kezeléséhez. A nyílt protokollok lehetővé teszik a jogcímekkel kapcsolatos kihívások és jogcímkérelmek további ügyfélfunkciók meghívását. Lehetséges, hogy a Azure AD folytatják a műveleteket, például amikor anomália történt, vagy ha a felhasználói hitelesítési feltételek változnak. Ezek a bővítmények az elsődleges kódfolyamatok megzavarása nélkül kódolódhatnak az alkalmazásokba a hitelesítéshez.
Használja a megfelelő hitelesítési folyamatotalkalmazástípus szerint. Webalkalmazások esetén mindig próbáljon bizalmas ügyfélfolyamatokat használni. Mobilalkalmazások esetén próbáljon közvetítőket vagy a rendszerböngészőt használni a hitelesítéshez.	A titkos kulcsokat (bizalmas ügyfeleket) tároló webalkalmazások folyamatai biztonságosabbak, mint a nyilvános ügyfelek (például asztali és konzolos alkalmazások). Ha a rendszer webböngészője egy mobilalkalmazás hitelesítésére szolgál, a biztonságos egyszeri bejelentkezés (SSO) lehetővé teszi az alkalmazásvédelmi szabályzatok használatát.

A legkevésbé emelt szintű hozzáférés használata

A fejlesztők a Microsoft Identitásplatform használatával adnak engedélyeket (hatóköröket), és ellenőrzik, hogy a hívó megfelelő engedélyt kapott-e a hozzáférés engedélyezése előtt. A legalacsonyabb jogosultsági szintű hozzáférés kényszerítése az alkalmazásokban olyan részletes engedélyek engedélyezésével, amelyek lehetővé teszik a szükséges legkisebb mértékű hozzáférést. A minimális jogosultság elvének betartásához vegye figyelembe az alábbi eljárásokat:

• Értékelje ki a kért engedélyeket, és győződjön meg arról, hogy az abszolút legalacsonyabb jogosultsági szintű jogosultság be van állítva a feladat elvégzéséhez. Ne hozzon létre "catch-all" engedélyeket a teljes API-felülethez való hozzáféréssel.
• API-k tervezésekor adjon részletes engedélyeket a legalacsonyabb jogosultsági szintű hozzáférés engedélyezéséhez. Start menü a funkciók és az adathozzáférés szakaszokra osztásával, amelyek hatókörök és alkalmazásszerepkörök használatával szabályozhatók. Ne adjon hozzá API-kat a meglévő engedélyekhez úgy, hogy az megváltoztatja az engedély szemantikáját.
• Csak olvasási engedélyeket kínál. Write hozzáférés, beleértve a létrehozási, frissítési és törlési műveletekhez szükséges jogosultságokat. Az ügyfélnek soha nem kell írási hozzáférést kérnie csak olvasási adatokhoz.
• Delegált és alkalmazásengedélyeket is kínál. Az alkalmazásengedélyek kihagyása megnehezítheti az ügyfelek számára az olyan gyakori forgatókönyvek megvalósítását, mint az automatizálás, a mikroszolgáltatások és egyebek.
• Ha bizalmas adatokkal dolgozik, fontolja meg a "standard" és a "teljes" hozzáférési engedélyeket. Korlátozza a bizalmas tulajdonságokat, hogy például nem érhetők el "standard" hozzáférési engedéllyel Resource.Read. Ezután implementáljon egy "teljes" hozzáférési engedélyt, amely például Resource.ReadFull visszaadja az összes elérhető tulajdonságot, beleértve a bizalmas adatokat is.

Biztonsági incidens feltételezése

A Microsoft Identitásplatform alkalmazásregisztrációs portál az elsődleges belépési pont azoknak az alkalmazásoknak, amelyek a platformot kívánják használni a hitelesítéshez és a kapcsolódó igényekhez. Az alkalmazások regisztrálásakor és konfigurálásakor kövesse az alábbi eljárásokat, hogy minimálisra csökkentse azokat a károkat, amelyek biztonsági incidens esetén keletkezhetnek. További információ: Azure AD alkalmazásregisztráció biztonsági ajánlott eljárásai.

Vegye figyelembe a következő műveleteket, amelyek megakadályozzák a biztonsági incidenseket:

• Megfelelően határozza meg az alkalmazás átirányítási URI-jait. Ne használja ugyanazt az alkalmazásregisztrációt több alkalmazáshoz.
• Ellenőrizze az alkalmazásregisztrációban a tulajdonjoghoz használt átirányítási URI-kat, és hogy elkerülje a tartományátvételeket. Csak akkor hozza létre az alkalmazást több-bérlősként, ha annak szánták. |
• Győződjön meg arról, hogy az alkalmazás- és szolgáltatásnév-tulajdonosok mindig meg vannak határozva és karbantartva a bérlőben regisztrált alkalmazásokhoz.

Következő lépések

• Teljes felügyelet Útmutató központ
• Microsoft Identitásplatform ajánlott eljárásokat és javaslatokat.