Mengembangkan menggunakan prinsip Zero Trust

Artikel ini membantu Anda, sebagai pengembang, untuk memahami prinsip panduan Zero Trust sehingga Anda dapat meningkatkan keamanan aplikasi Anda. Anda memainkan peran kunci dalam keamanan organisasi; aplikasi dan pengembangnya tidak dapat lagi mengasumsikan bahwa perimeter jaringan aman. Aplikasi yang disusupi dapat memengaruhi seluruh organisasi.

Organisasi menyebarkan model keamanan baru yang beradaptasi dengan lingkungan modern yang kompleks dan merangkul tenaga kerja seluler. Model baru dirancang untuk melindungi orang, perangkat, aplikasi, dan data di mana pun mereka berada. Organisasi berusaha untuk mencapai Zero Trust, strategi dan pendekatan keamanan untuk merancang dan menerapkan aplikasi yang mengikuti prinsip panduan ini:

• Memverifikasi secara eksplisit
• Gunakan akses hak istimewa minimum
• Mengasumsikan pembobolan

Daripada mempercayai bahwa segala sesuatu di balik firewall perusahaan aman, model Zero Trust mengasumsikan pelanggaran dan memverifikasi setiap permintaan seolah-olah itu berasal dari jaringan yang tidak terkontrol. Terlepas dari mana permintaan berasal atau sumber daya apa yang diaksesnya, model Zero Trust mengharuskan kita untuk "tidak pernah percaya, selalu memverifikasi."

Pahami bahwa Zero Trust bukan pengganti dasar-dasar keamanan. Dengan pekerjaan yang berasal dari mana saja di perangkat apa pun, rancang aplikasi Anda untuk menggabungkan prinsip Zero Trust sepanjang siklus pengembangan Anda.

Mengapa mengembangkan dengan perspektif Zero Trust?

• Kami telah melihat peningkatan tingkat kecanggihan serangan keamanan cyber.
• Tenaga kerja "bekerja dari mana saja" telah mendefinisikan ulang perimeter keamanan. Data sedang diakses di luar jaringan perusahaan dan dibagikan dengan kolaborator eksternal seperti mitra dan vendor.
• Aplikasi dan data perusahaan berpindah dari lingkungan lokal ke hibrid dan cloud. Kontrol jaringan tradisional tidak lagi dapat diandalkan untuk keamanan. Kontrol perlu berpindah ke tempat data berada: di perangkat dan di dalam aplikasi.

Panduan pengembangan di bagian ini membantu Anda meningkatkan keamanan, mengurangi radius ledakan insiden keamanan, dan dengan cepat memulihkan dengan menggunakan teknologi Microsoft.

Langkah berikutnya

Berlangganan Kembangkan kami menggunakan umpan RSS prinsip Zero Trust untuk pemberitahuan artikel baru.

Gambaran umum panduan pengembang

• Apa yang kita maksud dengan kepatuhan Zero Trust? memberikan gambaran umum keamanan aplikasi dari perspektif pengembang untuk mengatasi prinsip panduan Zero Trust.
• Gunakan identitas Zero Trust dan praktik terbaik pengembangan manajemen akses dalam siklus hidup pengembangan aplikasi Anda untuk membuat aplikasi yang aman.
• Menggunakan metodologi pengembangan berbasis standar memberikan gambaran umum tentang standar yang didukung (OAuth 2.0, OpenID Koneksi, SAML, WS-Federation, dan SCIM) dan manfaat menggunakannya dengan MSAL dan platform identitas Microsoft.
• Tanggung jawab pengembang dan administrator untuk pendaftaran, otorisasi, dan akses aplikasi membantu Anda berkolaborasi dengan lebih baik dengan Profesional TI Anda.

Izin dan akses

• Membangun aplikasi yang mengamankan identitas melalui izin dan persetujuan memberikan gambaran umum tentang izin dan mengakses praktik terbaik.
• Mengintegrasikan aplikasi dengan ID Microsoft Entra dan platform identitas Microsoft membantu pengembang untuk membangun dan mengintegrasikan aplikasi yang dapat diamankan oleh profesional TI di perusahaan dengan mengintegrasikan aplikasi dengan ID Microsoft Entra dan platform identitas Microsoft dengan aman.
• Mendaftarkan aplikasi memperkenalkan pengembang ke proses pendaftaran aplikasi dan persyaratannya. Ini membantu mereka memastikan bahwa aplikasi memenuhi prinsip Zero Trust untuk menggunakan akses dengan hak istimewa paling sedikit dan mengasumsikan pelanggaran.
• Jenis identitas dan akun yang didukung untuk aplikasi tunggal dan multi-penyewa menjelaskan bagaimana Anda dapat memilih apakah aplikasi Anda hanya mengizinkan pengguna dari penyewa Microsoft Entra Anda, penyewa Microsoft Entra apa pun, atau pengguna dengan akun Microsoft pribadi.
• Mengautentikasi pengguna untuk Zero Trust membantu pengembang mempelajari praktik terbaik untuk mengautentikasi pengguna aplikasi dalam pengembangan aplikasi Zero Trust. Ini menjelaskan cara meningkatkan keamanan aplikasi dengan prinsip Zero Trust dengan hak istimewa paling sedikit dan memverifikasi secara eksplisit.
• Memperoleh otorisasi untuk mengakses sumber daya membantu Anda memahami cara terbaik memastikan Zero Trust saat memperoleh izin akses sumber daya untuk aplikasi Anda.
• Mengembangkan strategi izin yang didelegasikan membantu Anda menerapkan pendekatan terbaik untuk mengelola izin dalam aplikasi Anda dan mengembangkan menggunakan prinsip Zero Trust.
• Mengembangkan strategi izin aplikasi membantu Anda memutuskan pendekatan izin aplikasi Anda untuk manajemen kredensial.
• Meminta izin yang memerlukan persetujuan administratif menjelaskan izin dan pengalaman persetujuan saat izin aplikasi memerlukan persetujuan administratif.
• Mengurangi izin dan aplikasi yang terlalu istimewa membantu Anda memahami mengapa aplikasi tidak boleh meminta lebih banyak izin daripada yang mereka butuhkan (hak istimewa berlebihan) dan cara membatasi hak istimewa untuk mengelola akses dan meningkatkan keamanan.
• Memberikan kredensial identitas aplikasi ketika tidak ada pengguna yang menjelaskan mengapa praktik kredensial klien Zero Trust terbaik untuk layanan (aplikasi non-pengguna) di Azure adalah Identitas Terkelola untuk sumber daya Azure.
• Mengelola token untuk Zero Trust membantu pengembang membangun keamanan ke dalam aplikasi dengan token ID, token akses, dan token keamanan yang dapat mereka terima dari platform identitas Microsoft.
• Menyesuaikan token menjelaskan informasi yang dapat Anda terima di token Microsoft Entra dan bagaimana Anda dapat menyesuaikan token.
• Mengamankan aplikasi dengan Evaluasi Akses Berkelanjutan membantu pengembang meningkatkan keamanan aplikasi dengan Evaluasi Akses Berkelanjutan. Pelajari cara memastikan dukungan Zero Trust di aplikasi Anda yang menerima otorisasi untuk mengakses sumber daya saat mereka memperoleh token akses dari ID Microsoft Entra.
• Mengonfigurasi klaim grup dan peran aplikasi dalam token menunjukkan cara mengonfigurasi aplikasi Anda dengan definisi peran aplikasi dan menetapkan grup keamanan.
• API Protection menjelaskan praktik terbaik untuk melindungi API Anda melalui pendaftaran, menentukan izin dan persetujuan, dan menegakkan akses untuk mencapai tujuan Zero Trust Anda.
• Contoh API yang dilindungi oleh kerangka kerja persetujuan identitas Microsoft membantu Anda merancang strategi izin aplikasi hak istimewa paling sedikit untuk pengalaman pengguna terbaik.
• Memanggil API dari API lain membantu Anda memastikan Zero Trust saat Anda memiliki satu API yang perlu memanggil API lain. Anda akan mempelajari cara mengembangkan aplikasi dengan aman saat aplikasi berfungsi atas nama pengguna.
• Praktik terbaik otorisasi membantu Anda menerapkan model otorisasi, izin, dan persetujuan terbaik untuk aplikasi Anda.

Zero Trust DevSecOps

• Mengamankan lingkungan DevOps untuk Zero Trust menjelaskan praktik terbaik untuk mengamankan lingkungan DevOps Anda dengan pendekatan Zero Trust untuk mencegah peretas mengorbankan kotak pengembang, menginfeksi alur rilis dengan skrip berbahaya, dan mendapatkan akses ke data produksi melalui lingkungan pengujian.
• Mengamankan lingkungan platform DevOps membantu Anda menerapkan prinsip Zero Trust di lingkungan platform DevOps Anda dan menyoroti praktik terbaik untuk manajemen rahasia dan sertifikat.
• Mengamankan lingkungan pengembang membantu Anda menerapkan prinsip Zero Trust di lingkungan pengembangan Anda dengan praktik terbaik untuk hak istimewa terkecil, keamanan cabang, dan alat, ekstensi, dan integrasi kepercayaan.
• Menyematkan keamanan Zero Trust ke alur kerja pengembang Anda membantu Anda berinovasi dengan cepat dan aman.

Dokumentasi Zero Trust Tambahan

Gunakan konten Zero Trust tambahan berdasarkan kumpulan dokumentasi atau peran di organisasi Anda.

Kumpulan dokumentasi

Ikuti tabel ini untuk kumpulan dokumentasi Zero Trust terbaik untuk kebutuhan Anda.

Kumpulan dokumentasi	Membantu Anda...	Peran
Kerangka kerja adopsi untuk fase dan panduan langkah untuk solusi dan hasil bisnis utama	Terapkan perlindungan Zero Trust dari C-suite ke implementasi IT.	Arsitek keamanan, tim TI, dan manajer proyek
Konsep dan tujuan penyebaran untuk panduan penyebaran umum untuk area teknologi	Terapkan perlindungan Zero Trust yang selaras dengan area teknologi.	Tim TI dan staf keamanan
Zero Trust untuk bisnis kecil	Terapkan prinsip Zero Trust kepada pelanggan bisnis kecil.	Pelanggan dan mitra yang bekerja dengan Microsoft 365 untuk bisnis
Rencana Modernisasi Cepat Zero Trust (RaMP) untuk panduan manajemen proyek dan daftar periksa agar mudah dimenangkan	Menerapkan lapisan kunci perlindungan Zero Trust dengan cepat.	Arsitek keamanan dan pelaksana TI
Rencana penyebaran Zero Trust dengan Microsoft 365 untuk panduan desain dan penyebaran yang terperinci dan terperinci	Terapkan perlindungan Zero Trust ke penyewa Microsoft 365 Anda.	Tim TI dan staf keamanan
Zero Trust untuk Microsoft Copilots untuk panduan desain dan penyebaran yang terperinci dan terperinci	Terapkan perlindungan Zero Trust ke Microsoft Copilots.	Tim TI dan staf keamanan
Zero Trust untuk layanan Azure untuk panduan desain dan penyebaran terperinci dan terperinci	Terapkan perlindungan Zero Trust ke beban kerja dan layanan Azure.	Tim TI dan staf keamanan
Integrasi mitra dengan Zero Trust untuk panduan desain untuk area teknologi dan spesialisasi	Terapkan perlindungan Zero Trust untuk solusi cloud Microsoft mitra.	Pengembang mitra, tim TI, dan staf keamanan

Peran Anda

Ikuti tabel ini untuk kumpulan dokumentasi terbaik untuk peran Anda di organisasi Anda.

Peran	Kumpulan dokumentasi	Membantu Anda...
Arsitek keamanan Manajer proyek IT Pelaksana TI	Kerangka kerja adopsi untuk fase dan panduan langkah untuk solusi dan hasil bisnis utama	Terapkan perlindungan Zero Trust dari C-suite ke implementasi IT.
Anggota tim TI atau keamanan	Konsep dan tujuan penyebaran untuk panduan penyebaran umum untuk area teknologi	Terapkan perlindungan Zero Trust yang selaras dengan area teknologi.
Pelanggan atau mitra untuk Microsoft 365 untuk bisnis	Zero Trust untuk bisnis kecil	Terapkan prinsip Zero Trust kepada pelanggan bisnis kecil.
Arsitek keamanan Pelaksana TI	Rencana Modernisasi Cepat Zero Trust (RaMP) untuk panduan manajemen proyek dan daftar periksa agar mudah dimenangkan	Menerapkan lapisan kunci perlindungan Zero Trust dengan cepat.
Anggota tim TI atau keamanan untuk Microsoft 365	Rencana penyebaran Zero Trust dengan Microsoft 365 untuk panduan desain dan penyebaran terperinci dan terperinci untuk Microsoft 365	Terapkan perlindungan Zero Trust ke penyewa Microsoft 365 Anda.
Anggota tim IT atau keamanan untuk Microsoft Copilots	Zero Trust untuk Microsoft Copilots untuk panduan desain dan penyebaran yang terperinci dan terperinci	Terapkan perlindungan Zero Trust ke Microsoft Copilots.
Anggota tim TI atau keamanan untuk layanan Azure	Zero Trust untuk layanan Azure untuk panduan desain dan penyebaran terperinci dan terperinci	Terapkan perlindungan Zero Trust ke beban kerja dan layanan Azure.
Pengembang mitra atau anggota tim IT atau keamanan	Integrasi mitra dengan Zero Trust untuk panduan desain untuk area teknologi dan spesialisasi	Terapkan perlindungan Zero Trust untuk solusi cloud Microsoft mitra.