Enterprise Access-model
In dit document wordt een algeheel enterprise access-model beschreven waarin wordt beschreven hoe een strategie voor geprivilegieerde toegang past. Zie het plan voor snelle modernisatie (RaMP)voor een routekaart over het aannemen van een strategie voor geprivilegieerde toegang. Zie Geprivilegieerde toegangsimplementatie voor implementatie-richtlijnen om dit te implementeren.
De strategie voor geprivilegieerde toegang maakt deel uit van een algemene strategie voor toegangsbeheer voor ondernemingen. Dit enterprise access-model laat zien hoe geprivilegieerde toegang past in een algeheel enterprise access-model.
De primaire opslag van bedrijfswaarde die een organisatie moet beveiligen, is in het vlak Gegevens/werkbelasting:
In de toepassingen en gegevens wordt meestal een groot percentage van de volgende gegevens van een organisatie opgeslagen:
- Bedrijfsprocessen in toepassingen en werkbelastingen
- Intellectuele eigendom in gegevens en toepassingen
De IT-organisatie van het bedrijf beheert en ondersteunt de werkbelastingen en de infrastructuur waar ze op worden gehost, ongeacht of deze on-premises is, in Azure of een externe cloudprovider, en maakt een beheervlak. Voor consistente toegangsbeheer voor deze systemen in de hele onderneming is een besturingsvlak vereist op basis van gecentraliseerde bedrijfsidentiteitssysteem(s), vaak aangevuld met netwerktoegangsbeheer voor oudere systemen, zoals OT-apparaten (Operational Technology).
Elk van deze vliegtuigen heeft de controle over de gegevens en werkbelastingen op basis van hun functies, waardoor een aantrekkelijk pad wordt gemaakt voor aanvallers om misbruik te maken als ze de controle over een van beide vliegtuigen kunnen krijgen.
Deze systemen moeten toegankelijk zijn voor interne gebruikers, partners en klanten die hun werkstations of apparaten gebruiken (vaak gebruikmakend van oplossingen voor externe toegang) om gebruikerstoegangspaden te maken. Ze moeten ook vaak programmatisch beschikbaar zijn via API's (Application Programming Interfaces) om procesautomatisering te vergemakkelijken en toegangspaden voor toepassingen te maken.
Ten slotte moeten deze systemen worden beheerd en onderhouden door IT-personeel, ontwikkelaars of anderen in de organisaties, waardoor bevoorrechte toegangspaden worden gemaakt. Vanwege de hoge mate van controle die ze bieden over bedrijfskritische activa in de organisatie, moeten deze paden strikt worden beschermd tegen compromissen.
Voor consistente toegangscontrole in de organisatie die productiviteit mogelijk maakt en risico's beperkt, moet u
- Zero Trust-principes afdwingen voor alle toegang
- Ervan uitgaan dat andere onderdelen worden geschonden
- Expliciete validatie van vertrouwen
- Minste toegang tot bevoegdheden
- Alomtegenwoordige beveiliging en beleidshandhaving overal
- Interne en externe toegang om een consistente beleidstoepassing te garanderen
- Alle toegangsmethoden, waaronder gebruikers, beheerders, API's, serviceaccounts, enzovoort.
- Escalatie van onbevoegde bevoegdheden beperken
- Hiërarchie afdwingen: om te voorkomen dat hogere vliegtuigen in lagere vliegtuigen worden bestuurd (via aanvallen of misbruik van legitieme processen)
- Besturingsvlak
- Beheervlak
- Data/workload plane
- Continu controleren op configuratieproblemen die onbedoelde escalatie mogelijk maken
- Afwijkingen bewaken en erop reageren die potentiële aanvallen kunnen vertegenwoordigen
- Hiërarchie afdwingen: om te voorkomen dat hogere vliegtuigen in lagere vliegtuigen worden bestuurd (via aanvallen of misbruik van legitieme processen)
Evolutie van het oudere AD-laagmodel
Het enterprise access-model vervangt het oudere laagmodel dat is gericht op het bevatten van ongeautoriseerde escalatie van bevoegdheden in een on-premises Windows Server Active Directory omgeving.
Het enterprise access-model bevat deze elementen en volledige toegangsbeheervereisten van een moderne onderneming die on-premises, meerdere clouds, interne of externe gebruikerstoegang en meer omvat.
Uitbreiding van tier 0-bereik
Laag 0 wordt uitgebreid tot het besturingsvlak en heeft betrekking op alle aspecten van toegangsbeheer, inclusief netwerken waar dit de enige/beste optie voor toegangsbeheer is, zoals oudere OT-opties
Laag 1-splits
Als u de helderheid en actiebaarheid wilt vergroten, wordt laag 1 nu gesplitst in de volgende gebieden:
- Management plane : voor IT-beheerfuncties voor het hele bedrijf
- Data/Workload-vliegtuig : voor het beheer per werkbelasting, dat soms wordt uitgevoerd door IT-personeel en soms door bedrijfseenheden
Deze split zorgt ervoor dat de focus wordt gericht op het beschermen van bedrijfskritische systemen en beheerdersrollen met een hoge intrinsieke bedrijfswaarde, maar beperkte technische controle. Bovendien is deze split beter geschikt voor ontwikkelaars en DevOps-modellen versus om te veel te focussen op klassieke infrastructuurrollen.
Laag 2-splits
Om de dekking voor toepassingstoegang en de verschillende partner- en klantmodellen te waarborgen, is Laag 2 gesplitst in de volgende gebieden:
- Gebruikerstoegang, inclusief alle scenario's voor B2B, B2C en openbare toegang
- App-toegang: geschikt voor API-toegangspaden en het resulterende aanvalsoppervlak