Succescriteria voor bevoorrechte toegangsstrategie
In dit document worden de succescriteria voor een strategie voor geprivilegieerde toegang beschreven. In deze sectie worden strategische perspectieven voor succes beschreven voor een strategie voor geprivilegieerde toegang. Zie het plan voor snelle modernisatie (RaMP)voor een routekaart over het gebruik van deze strategie. Zie Geprivilegieerde toegangsimplementatie voor implementatie
Als u een integrale strategie implementeert met behulp van Zero Trust-benaderingen, wordt er een soort zegel over het toegangsbesturingselement gemaakt voor bevoorrechte toegang, waardoor deze bestand is tegen aanvallers. Deze strategie wordt bereikt door paden te beperken tot bevoorrechte toegang tot slechts een beperkt aantal bevoorrechte paden en vervolgens die geautoriseerde paden nauwlettend te beschermen en te controleren.
Een succesvolle strategie moet worden gericht op alle punten die aanvallers kunnen gebruiken om bevoorrechte toegangswerkstromen te onderscheppen, waaronder vier afzonderlijke initiatieven:
- Privileged Access-werkstroomelementen van de bevoorrechte toegangswerkstroom, inclusief onderliggende apparaten, besturingssystemen, toepassingen en identiteiten
- Identiteitssystemen die de bevoorrechte accounts, de groepen en andere artefacten hosten die bevoegdheden voor de accounts geven
- Werkstroom voor gebruikerstoegang en geautoriseerde hoogtepaden die kunnen leiden tot bevoorrechte toegang
- Toepassingsinterfaces waarbij beleid voor nul vertrouwenstoegang wordt afgedwongen en RBAC (Role-Based Access Control) is geconfigureerd voor het verlenen van bevoegdheden
Opmerking
Een volledige beveiligingsstrategie bevat ook activabeveiligingen die buiten het bereik van toegangsbeheer vallen, zoals back-ups van gegevens en beveiliging tegen aanvallen op de toepassing zelf, het onderliggende besturingssysteem en de hardware, op serviceaccounts die door de toepassing of service worden gebruikt, en op gegevens terwijl ze in rust of onderweg zijn. Zie het artikel Een beveiligingsstrategie definiërenvoor meer informatie over het moderniseren van een beveiligingsstrategie voor de cloud.
Een aanval bestaat uit menselijke aanvallers die gebruikmaken van automatisering en scripts om een organisatie aan te vallen, bestaat uit mensen, de processen die ze volgen en de technologie die ze gebruiken. Vanwege deze complexiteit van zowel aanvallers als verdedigers, moet de strategie meerdere facetten hebben om te beschermen tegen alle personen, processen en technologie manieren waarop de beveiligingsgaranties per ongeluk kunnen worden ondermijnd.
Om een duurzaam succes op lange termijn te garanderen, moet u aan de volgende criteria voldoen:
- Meedogenloos prioriteiten stellen
- Beveiliging en productiviteit in balans brengen
- Sterke partnerships binnen de organisatie
- De return on investment van de aanvaller verstoren
- Het principe van schone bron volgen
Meedogenloos prioriteiten stellen
De praktijk van het uitvoeren van de meest effectieve acties met de snelste tijd om eerst waarde toe te kennen, zelfs als deze inspanningen niet passen bij bestaande plannen, waarnemingen en gewoonten. Deze strategie bevat de reeks stappen die zijn geleerd in de vurige crucible van veel belangrijke cyberbeveiligingsincidenten. De lessen van deze incidenten vormen de stappen die we organisaties helpen om ervoor te zorgen dat deze crisissen niet opnieuw plaatsvinden.
Hoewel het voor beveiligingsprofessionals altijd verleidelijk is om vertrouwde bestaande besturingselementen, zoals netwerkbeveiliging en firewalls, te optimaliseren voor nieuwere aanvallen, leidt dit pad voortdurend tot een fout. Het Microsoft Detection and Response Team (DART) reageert al bijna tien jaar op bevoorrechte toegangsaanvallen en ziet consequent dat deze klassieke beveiligingsmethoden deze aanvallen niet kunnen detecteren of stoppen. Hoewel netwerkbeveiliging een noodzakelijke en belangrijke basisveiligheidshygiëne biedt, is het essentieel om deze gewoonten te doorbreken en zich te concentreren op risicobeperking die aanvallen in de echte wereld afschrikt of blokkeert.
Geef prioriteit aan de beveiligingsbesturingselementen die in deze strategie worden aanbevolen, zelfs als deze bestaande aannames uit de weg gaat en mensen dwingt om nieuwe vaardigheden te leren.
Beveiliging en productiviteit in balans brengen
Net als bij alle elementen van de beveiligingsstrategie moet geprivilegieerde toegang ervoor zorgen dat zowel de productiviteit als de beveiligingsdoelstellingen worden gehaald.
Door de beveiliging in evenwicht te houden, worden de uitersten vermeden die risico's voor de organisatie vormen door:
- Vermijd te strikte beveiliging die ervoor zorgt dat gebruikers buiten het veilige beleid, paden en systemen gaan.
- Vermijd zwakke beveiliging die de productiviteit schaadt doordat tegenstanders de organisatie gemakkelijk kunnen compromitteerden.
Zie het artikel Een beveiligingsstrategie definiëren voor meer informatie over beveiligingsstrategie.
Als u negatieve bedrijfseffecten van beveiligingsbesturingselementen wilt minimaliseren, moet u prioriteit geven aan onzichtbare beveiligingsbesturingselementen die gebruikerswerkstromen verbeteren, of ten minste gebruikerswerkstromen niet belemmeren of wijzigen. Hoewel beveiligingsgevoelige rollen mogelijk zichtbare beveiligingsmaatregelen nodig hebben die hun dagelijkse werkstromen wijzigen om beveiligingsgaranties te bieden, moet deze implementatie zorgvuldig worden uitgevoerd om de bruikbaarheidseffecten en het bereik zo veel mogelijk te beperken.
Deze strategie volgt deze richtlijn door drie profielen te definiëren (verder in Keep it Simple - Personas and Profiles)
Sterke partnerships binnen de organisatie
Beveiliging moet werken om partnerships binnen de organisatie op te bouwen om succesvol te zijn. Naast de tijdloze waarheid dat 'niemand van ons zo slim is als wij allemaal', is de aard van beveiliging een ondersteuningsfunctie om de bronnen van iemand anders te beschermen. Beveiliging is niet verantwoordelijk voor de resources die ze helpen beschermen (rentabiliteit, uptime, prestaties, enzovoort), beveiliging is een ondersteuningsfunctie die deskundig advies en services biedt om de intellectuele eigendom en bedrijfsfunctionaliteit te beschermen die belangrijk zijn voor de organisatie.
Beveiliging moet altijd als partner werken ter ondersteuning van zakelijke en missiedoelstellingen. Hoewel beveiliging niet mag terugdeinzen om direct advies te geven, zoals het aanbevelen om een hoog risico te accepteren, moet beveiliging dit advies ook altijd inlijsten met betrekking tot het zakelijke risico ten opzichte van andere risico's en verkoopkansen die door de resourceeigenaren worden beheerd.
Sommige beveiligingsonderdelen kunnen meestal binnen de beveiligingsorganisatie worden gepland en uitgevoerd, maar voor veel onderdelen, zoals het beveiligen van geprivilegieerde toegang, moet nauw worden samengewerkt met IT- en zakelijke organisaties om te begrijpen welke rollen moeten worden beschermd, en kunnen ze werkstromen bijwerken en opnieuw ontwerpen om ervoor te zorgen dat ze veilig zijn en personen in staat stellen hun werk te doen. Zie de sectie Transformaties, denkrichting en verwachtingen in het artikel richtlijnen voor beveiligingsstrategie voor meer informatie over dit idee.
De return on investment van de aanvaller verstoren
Houd de focus op pragmatisme door ervoor te zorgen dat defensieve maatregelen de waardepropositie van de aanvaller waarschijnlijk op betekenisvolle manier kunnen verstoren door u aan te vallen, waardoor de kosten en frictie toenemen voor de mogelijkheid van de aanvaller om u aan te vallen. Als u evalueert hoe defensieve maatregelen van invloed zijn op de kosten van de aanval van de aanvaller, is dit een gezonde herinnering om zich te concentreren op het perspectief van de aanvallers, evenals een gestructureerd mechanisme om de effectiviteit van verschillende opties voor risicobeperking te vergelijken.
Uw doel moet zijn om de kosten voor aanvallers te verhogen en tegelijkertijd uw eigen beveiligingsinvesteringsniveau te minimaliseren:
Verstoort de return on investment (ROI) van de aanvaller door de kosten van aanvallen tussen de elementen van de privileged access-sessie te verhogen. Dit concept wordt in meer detail beschreven in het artikel Succescriteria voor geprivilegieerde toegangsstrategie.
Belangrijk
Een geprivilegieerde toegangsstrategie moet uitgebreid zijn en een uitgebreide verdediging bieden, maar moet de drog reden voor onkosten vermijden, waarbij de defenders gewoon op meer dezelfde (vertrouwde) besturingselementen (vaak netwerkfirewalls/filters) stapelen, voorbij het punt waar ze een zinvolle beveiligingswaarde toevoegen.
Zie de korte video en de uitgebreide discussie Over het rendement van de aanvaller verstoren voor meer informatie over de ROI van aanvallers.
Clean source-principe
Het principe van de schone bron vereist dat alle beveiligingsafhankelijkheden net zo betrouwbaar zijn als het object dat wordt beveiligd.
Elk onderwerp dat de besturing van een object heeft, is afhankelijk van de beveiliging van dat object. Als een tegenstref iets kan bepalen in de besturing van een doelobject, kunnen ze dat doelobject bepalen. Vanwege deze bedreiging moet u ervoor zorgen dat de garanties voor alle beveiligingsafhankelijkheden op of boven het gewenste beveiligingsniveau van het object zelf liggen. Dit principe is van toepassing op verschillende typen besturingselementrelaties:
Hoewel dit concept in principe eenvoudig wordt, wordt dit concept eenvoudig in de echte wereld, omdat de meeste ondernemingen in de loop van tientallen jaren organisch groeiden en vele duizenden controlerelaties hebben die recursief op elkaar zijn gebaseerd, elkaar opnieuw laten terugkeren of beide. Dit web van besturingselementrelaties biedt veel toegangspaden die een aanvaller kan ontdekken en navigeren tijdens een aanval, vaak met geautomatiseerde hulpprogramma's.
De aanbevolen strategie voor geprivilegieerde toegang van Microsoft is in de eerste plaats een plan om de belangrijkste onderdelen van deze knoop te ontwarren met behulp van een Zero Trust-benadering, door expliciet te valideren dat de bron schoon is voordat u toegang geeft tot de bestemming.
In alle gevallen moet het vertrouwensniveau van de bron hetzelfde of hoger zijn dan de bestemming.
- De enige opvallende uitzondering op dit principe is het gebruik van niet-bemande persoonlijke apparaten en partnerapparaten voor ondernemingsscenario's. Deze uitzondering maakt samenwerking en flexibiliteit van ondernemingen mogelijk en kan worden beperkt tot een acceptabel niveau voor de meeste organisaties vanwege de lage relatieve waarde van de ondernemingsactiva. Zie het blogbericht How a BYOD policy can reduce security risk in the public sector (Hoe een BYOD-beleid het beveiligingsrisico in de openbare sector kan beperken) voor meer context over BYOD-beveiliging.
- Deze uitzondering kan echter niet worden uitgebreid tot gespecialiseerde beveiligings- en bevoorrechte beveiligingsniveaus vanwege de beveiligingsgevoeligheid van deze activa. Sommige PIM/PAM-leveranciers kunnen ervoor pleiten dat hun oplossingen apparaatrisico's van apparaten op lager niveau kunnen beperken, maar we zijn het met respect oneens met deze beweringen op basis van onze ervaring met het onderzoeken van incidenten. De eigenaren van activa in uw organisatie kunnen het risico van het gebruik van apparaten op ondernemingsniveau accepteren om toegang te krijgen tot gespecialiseerde of bevoorrechte resources, maar Microsoft raadt deze configuratie af. Zie de tussenliggende richtlijnen voor Privileged Access Management /Privileged Identity management voor meer informatie.
De strategie voor bevoorrechte toegang bereikt dit principe voornamelijk door zero trust-beleid af te afdwingen met Voorwaardelijke toegang op inkomende sessies bij interfaces en tussenpersoon. Het principe van schone bron begint met het verkrijgen van een nieuw apparaat van een OEM dat is gebouwd volgens uw beveiligingsspecificaties, waaronder de versie van het besturingssysteem, de configuratie van de beveiligingslijn en andere vereisten, zoals het gebruik van Windows Autopilot voor implementatie.
Optioneel kan het principe van de schone bron worden uitgebreid tot een zeer grondige evaluatie van elk onderdeel in de toeleveringsketen, inclusief installatiemedia voor besturingssystemen en toepassingen. Hoewel dit principe geschikt zou zijn voor organisaties met zeer geavanceerde aanvallers, moet dit een lagere prioriteit hebben dan de andere besturingselementen in deze richtlijnen.