Alkalmazások létrehozása az identitásmegbízhatósági megközelítéssel

A zéró megbízhatóság olyan biztonsági keretrendszer, amely nem támaszkodik a biztonságos hálózati szegélyhálózat mögötti interakciók implicit megbízhatóságára. Ehelyett az explicit ellenőrzés, a legkevésbé emelt szintű hozzáférés alapelveit használja, és biztonsági incidenst feltételezve gondoskodik a felhasználók és az adatok biztonságáról, miközben olyan gyakori forgatókönyveket tesz lehetővé, mint az alkalmazásokhoz való hozzáférés a hálózat peremhálózatán kívülről.

Az alkalmazásfejlesztők zéró megbízhatósági elvek alkalmazásával javíthatják az alkalmazás biztonságát, minimalizálhatják a biztonsági incidensek hatását, és gondoskodhatnak arról, hogy az alkalmazásaik megfeleljenek az ügyfeleik biztonsági követelményeinek. Ez a dokumentum azt ismerteti, hogyan használhatják a fejlesztők az identitásmegbízhatósági megközelítést, amely magában foglalja a hitelesítést, az engedélyezést és az identitáskezelést.

A zéró megbízhatóság megvalósítása továbbra is folyamatosan fejlődik, és minden szervezet folyamata egyedi. A legtöbb ügyfél számára azonban logikus kiindulópont az identitás. Az alábbiakban néhány olyan szabályzatot és vezérlőt láthatunk, amelyek prioritást élveznek a zéró megbízhatóság bevezetése során:

  • A szervezetek a közzétevő által ellenőrzött alkalmazásokra vonatkozó alacsony kockázatú engedélyekre korlátozzák a felhasználói hozzájárulást. Az informatikai rendszergazdák explicit módon alkalmazzák az ellenőrzés elvét a közzétevő ellenőrzésének megkövetelésével, valamint a minimális jogosultság elvét azzal, hogy csak a felhasználói hozzájárulást engedélyezik az alacsony kockázatú engedélyekhez. Mielőtt a szervezet vagy az ügyfél jóváhagyást ad, a rendszergazdák kiértékelik az alkalmazás által kért engedélyeket és az alkalmazás megbízhatóságát.
  • A szervezetek hitelesítőadat-higiéniai és rotációs szabályzatokat állítanak be az alkalmazásokhoz és szolgáltatásokhoz. Ha egy alkalmazás hitelesítő adatai sérülnek, a támadó jogkivonatokat szerezhet be az alkalmazás identitásának álcája alatt, így hozzáférhet a bizalmas adatokhoz, oldalirányú mozgást végezhet, vagy megőrizheti azt.
  • A szervezetek erős hitelesítést vezetnek be. A rendszergazdák elvárják, hogy többtényezős hitelesítést és jelszó nélküli FIDO2-eszközöket igénylő házirendeket állítsanak be.
  • A szervezetek blokkolják az örökölt protokollokat és API-kat. Ez magában foglalja a régebbi hitelesítési protokollok, például az "Alapszintű hitelesítés" blokkolását, valamint az olyan modern protokollok megkövetelését, mint az OpenID Connect és az OAuth 2.0. A Microsoft bejelentette, hogy 2022. június 30-án véget ér az Azure Active Directory (Azure AD) Graph és az örökölt Azure Active Directory Authentication Library (ADAL). A szervezetek gondoskodnak arról, hogy azok az alkalmazások, amelyektől függenek, felkészültek legyenek.

A teljes megbízhatóságra vonatkozó leggyakoribb javaslatok

Az alábbi ajánlott eljárások kulcsfontosságúak az alkalmazások biztonságossá tételéhez. Közzétettünk egy tanulmányt is, amely részletesen végigvezeti ezeket az ajánlott eljárásokat.

Használjon megbízható, szabványalapú hitelesítési kódtárat. A kódtár használatával időt takaríthat meg, ha önállóan fejleszt egy megoldást. De ami még fontosabb, naprakész marad, és reagál a legújabb technológiákra és fenyegetésekre. A Microsoft számos hitelesítési kódtárat biztosít, köztük a Microsoft Authentication Libraryt (MSAL), a Microsoft Identity Web Authentication-kódtárat és a felügyelt identitások Azure SDK-jait. Ezek olyan funkciókhoz biztosítanak hozzáférést, mint a feltételes hozzáférés, az eszközregisztráció és -kezelés, valamint a legújabb innovációk, például a jelszó nélküli és a FIDO2-hitelesítés anélkül, hogy további kódot kellene írnia.

Kövesse azAzure AD alkalmazásregisztrációs biztonsági ajánlott eljárásait. Az Azure AD-alkalmazásregisztráció az üzleti alkalmazás kritikus része. Az alkalmazás higiéniában való esetleges helytelen konfigurációja vagy elévülése állásidőt vagy kompromisszumot eredményezhet.

A hitelesítő adatok ne legyenek a kódban. Ez lehetővé teszi a hitelesítő adatok rendszergazdák általi rotálását az alkalmazások leállása vagy ismételt üzembe helyezése nélkül. Használhat olyan szolgáltatásokat, mint az Azure Key Vault vagy az Azure Managed Identities.

Tervezzen a legalacsonyabb jogosultsági szintű hozzáféréshez. Ez a zéró megbízhatóság egyik fő ékessége. Mindig a lehető legkevesebb jogosultságot kell megadnia ahhoz, hogy a felhasználó elvégezhesse a feladatát. Növekményes hozzájárulás használatával például csak szükség esetén kérhet engedélyeket. Egy másik példa a részletes hatókörök használata a Microsoft Graphban. A hatóköröket a Graph Explorerrel vizsgálhatja meg egy API meghívásához és a szükséges engedélyek vizsgálatához. Ezek a legalacsonyabbtól a legmagasabb szintű jogosultságig jelennek meg sorrendben. Ha a lehető legalacsonyabb jogosultságot választja, az alkalmazás kevésbé lesz sebezhető a támadásokkal szemben. További tudnivalókért tekintse meg az alkalmazások minimális jogosultsági szintű hozzáférésére vonatkozó ajánlott eljárásokat.

A folyamatos hozzáférés-kiértékelés (CAE)támogatása. A CAE lehetővé teszi, hogy a Microsoft Graph gyorsan visszavonjon egy aktív munkamenetet egy biztonsági eseményre válaszul. Például: ha egy felhasználói fiókot törölnek vagy letiltanak, a többtényezős hitelesítés (MFA) engedélyezve van egy felhasználó számára, a rendszergazda explicit módon visszavonja a felhasználó által kiállított jogkivonatokat, vagy a rendszer azt észleli, hogy a felhasználó kockázatot jelent. Emellett ha a CAE engedélyezve van, a Microsoft Graphhoz kibocsátott jogkivonatok a szokásos egy óra helyett 24 órán át érvényesek. Ez kiválóan alkalmas a rugalmasságra, mivel az alkalmazás továbbra is működhet anélkül, hogy óránként visszatér az Azure Active Directoryhoz egy új jogkivonatért.

Alkalmazás-szerepkörök definiálása az informatikai részleg számára a felhasználókhoz és csoportokhoz való hozzárendeléshez.Az alkalmazásszerepkörök segítenek a szerepköralapú hozzáférés-vezérlés (RBAC) megvalósításában az alkalmazásokban. Az alkalmazásszerepkörökre gyakori példák az olyan szerepkörök, mint a "Rendszergazda", az "Olvasók" és a "Közreműködők", amelyek lehetővé teszik az alkalmazás számára, hogy a bizalmas műveleteket a szerepkörhöz rendelt felhasználókra vagy csoportokra korlátozza. Az alkalmazásszerepkörök használata más funkciókat is lehetővé tesz, például az Azure AD Privileged Identity Management (PIM) funkcióját, amely igény szerinti és időalapú hozzáférést biztosít a felhasználóknak a bizalmas szerepkörökhöz, csökkentve annak az esélyét, hogy egy rosszindulatú szereplő megkapja ezt a hozzáférést, vagy egy jogosulatlan felhasználó véletlenül hatással van egy bizalmas erőforrásra.

Váljon ellenőrzött közzétevővé. Ha egy alkalmazás ellenőrzött közzétevőként van megjelölve, az azt jelenti, hogy a közzétevő egy olyan Microsoft Partner Network-fiókkal igazolta a személyazonosságát, amely elvégezte a bevált ellenőrzési folyamatot. Ez nagyszerű a több-bérlős alkalmazások fejlesztői számára, mivel segít az informatikai rendszergazdákkal való bizalom kiépítésében az ügyfélbérlelőkben.

Következő lépések