Dostęp uprzywilejowany: Pośrednicy

Zabezpieczenia urządzeń pośredniczących to krytyczny składnik zabezpieczania uprzywilejowanego dostępu.

Pośrednicy dodają link do łańcucha gwarancji Zero Trust dla końca sesji użytkownika lub administratora, więc muszą utrzymać (lub poprawić) zabezpieczenia Zero Trust w sesji. Przykłady pośredników obejmują wirtualne sieci prywatne (VPN), serwery przesiadkowe, infrastrukturę pulpitu wirtualnego (VDI), a także publikowanie aplikacji za pośrednictwem serwerów proxy dostępu.

What is an intermediary?

Osoba atakująca może zaatakować pośrednika w celu podjęcia próby eskalacji uprawnień przy użyciu poświadczeń przechowywanych na nich, uzyskania dostępu zdalnego do sieci firmowych lub wykorzystania zaufania do tego urządzenia, jeśli jest używane do podejmowania decyzji o dostępie zero trust. Ukierunkowanie pośredników stało się zbyt powszechne, zwłaszcza w przypadku organizacji, które nie rygorystycznie utrzymują stan bezpieczeństwa tych urządzeń. Na przykład poświadczenia zebrane z urządzeń sieci VPN.

Intermediary types and risks

Pośrednicy różnią się w celach i technologiach, ale zazwyczaj zapewniają dostęp zdalny, zabezpieczenia sesji lub oba te elementy:

  • Dostęp zdalny — włączanie dostępu do systemów w sieciach przedsiębiorstwa z Internetu
  • Zabezpieczenia sesji — zwiększanie ochrony zabezpieczeń i widoczności sesji
    • Scenariusz urządzenia niezarządzanego — udostępnianie zarządzanego pulpitu wirtualnego do uzyskania dostępu przez urządzenia niezarządzane (na przykład osobiste urządzenia pracowników) i/lub urządzenia zarządzane przez partnera/dostawcę.
    • Scenariusz zabezpieczeń administratora — konsoliduj ścieżki administracyjne i/lub zwiększ bezpieczeństwo przy użyciu dostępu just in time, monitorowania sesji i rejestrowania oraz podobnych możliwości.

Zapewnienie, że zabezpieczenia są utrzymywane z poziomu urządzenia źródłowego i konta za pośrednictwem interfejsu zasobu, wymaga zrozumienia profilu ryzyka opcji pośredniczących i zaradczych.

Szansa i wartość osoby atakującej

Różne typy pośredniczące wykonują unikatowe funkcje, więc każdy z nich wymaga innego podejścia zabezpieczeń, chociaż istnieją pewne krytyczne typowe elementy, takie jak szybkie stosowanie poprawek zabezpieczeń do urządzeń, oprogramowania układowego, systemów operacyjnych i aplikacji.

Comparing attacker opportunity and value for given intermediaries

Możliwość ataku na osobę atakującą jest reprezentowana przez dostępną powierzchnię ataku, do których może kierować się operator ataku:

  • Natywne usługi w chmurze , takie jak Azure AD PIM, Azure Bastion i Serwer proxy aplikacji usługi Azure AD, oferują ograniczoną powierzchnię ataku na osoby atakujące. Chociaż są one narażone na publiczny Internet, klienci (i osoby atakujące) nie mają dostępu do podstawowych systemów operacyjnych dostarczających usługi i są one zwykle utrzymywane i monitorowane spójnie za pośrednictwem zautomatyzowanych mechanizmów u dostawcy usług w chmurze. Ta mniejsza powierzchnia ataków ogranicza dostępne opcje dla osób atakujących, a klasyczne aplikacje i urządzenia lokalne, które muszą być skonfigurowane, poprawione i monitorowane przez personel IT, którzy często są przeciążeni konfliktami priorytetów i większej liczby zadań zabezpieczeń niż mają czas na ukończenie.
  • Wirtualne sieci prywatne (VPN) i serwery przesiadkowe pulpitów zdalnych / często mają znaczną szansę atakującą, ponieważ są one narażone na Internet w celu zapewnienia dostępu zdalnego, a konserwacja tych systemów jest często zaniedbana. Mimo że mają tylko kilka portów sieciowych, osoby atakujące potrzebują dostępu tylko do jednej niezapatowanej usługi w przypadku ataku.
  • Usługi PIM/PAM innych firm są często hostowane lokalnie lub jako maszyna wirtualna w infrastrukturze jako usługa (IaaS) i są zwykle dostępne tylko dla hostów intranetowych. Chociaż nie jest bezpośrednio uwidoczniony internet, pojedyncze naruszone poświadczenia mogą zezwalać osobom atakującym na dostęp do usługi za pośrednictwem sieci VPN lub innego nośnika dostępu zdalnego.

Wartość atakująca reprezentuje to, co osoba atakująca może uzyskać, narażając pośrednika. Bezpieczeństwo jest definiowane jako osoba atakująca uzyskująca pełną kontrolę nad aplikacją/maszyną wirtualną i/lub administratorem wystąpienia klienta usługi w chmurze.

Składniki, które osoby atakujące mogą zbierać od pośrednika na następny etap ataku, to:

  • Uzyskiwanie łączności sieciowej w celu komunikowania się z większością lub wszystkimi zasobami w sieciach przedsiębiorstwa. Ten dostęp jest zwykle zapewniany przez sieci VPN i rozwiązania pulpitu zdalnego / serwera przesiadkowego. Usługa Azure Bastion i serwer proxy aplikacji usługi Azure AD (lub podobne rozwiązania innych firm) zapewniają również dostęp zdalny, ale te rozwiązania są zazwyczaj połączeniami aplikacji lub serwera i nie zapewniają ogólnego dostępu do sieci
  • Personifikuj tożsamość urządzenia — może pokonać mechanizmy zerowego zaufania, jeśli urządzenie jest wymagane do uwierzytelniania i/lub może być używane przez osobę atakującą do zbierania informacji wywiadowczych w sieciach docelowych. Zespoły ds. operacji zabezpieczeń często nie monitorują aktywności konta urządzenia i koncentrują się tylko na kontach użytkowników.
  • Kradzież poświadczeń konta w celu uwierzytelnienia się w zasobach, które są najcenniejszym zasobem dla osób atakujących, ponieważ oferuje możliwość podniesienia uprawnień dostępu do ostatecznego celu lub następnego etapu ataku. Pulpit zdalny/ serwery przesiadkowe i inne firmy PIM/PAM są najbardziej atrakcyjnymi celami i mają dynamiczne "Wszystkie jaja w jednym koszyku" ze zwiększoną wartością atakującą i środki zaradcze bezpieczeństwa:
    • Rozwiązania PIM/PAM zwykle przechowują poświadczenia dla większości lub wszystkich uprzywilejowanych ról w organizacji, co czyni je wysoce lukratywnym celem naruszenia lub broni.
    • Usługa Azure AD PIM nie oferuje osobom atakującym możliwości kradzieży poświadczeń, ponieważ odblokowuje już uprawnienia przypisane do konta przy użyciu uwierzytelniania wieloskładnikowego lub innych przepływów pracy, ale słabo zaprojektowany przepływ pracy może umożliwić przeciwnikowi eskalację uprawnień.
    • Pulpit zdalny/ serwery przesiadkowe używane przez administratorów zapewniają hosta, w którym wiele lub wszystkie poufne sesje przechodzą, umożliwiając atakującym korzystanie ze standardowych narzędzi ataku kradzieży poświadczeń w celu kradzieży i ponownego użycia tych poświadczeń.
    • Sieci VPN mogą przechowywać poświadczenia w rozwiązaniu, zapewniając atakującym potencjalną eskalację uprawnień, co prowadzi do silnego zalecenia dotyczącego używania usługi Azure AD do uwierzytelniania w celu ograniczenia tego ryzyka.

Profile zabezpieczeń pośredniczących

Ustanowienie tych gwarancji wymaga kombinacji mechanizmów kontroli zabezpieczeń, z których niektóre są wspólne dla wielu pośredników, a niektóre z nich specyficzne dla typu pośrednika.

Intermediaries as a link in the Zero Trust chain

Pośrednik to link w łańcuchu Zero Trust, który przedstawia interfejs użytkownikom/urządzeniom, a następnie umożliwia dostęp do następnego interfejsu. Mechanizmy kontroli zabezpieczeń muszą obsługiwać połączenia przychodzące, zabezpieczenia urządzenia pośredniego/aplikacji/usługi, a (jeśli ma to zastosowanie) zapewniają sygnały zabezpieczeń Zero Trust dla następnego interfejsu.

Typowe mechanizmy kontroli zabezpieczeń

Wspólne elementy zabezpieczeń dla pośredników koncentrują się na utrzymaniu dobrej higieny zabezpieczeń dla przedsiębiorstw i wyspecjalizowanych poziomów, z dodatkowymi ograniczeniami dla zabezpieczeń uprawnień.

Common security controls for intermediaries

Te mechanizmy kontroli bezpieczeństwa powinny być stosowane do wszystkich typów pośredników:

  • Wymuszanie zabezpieczeń połączeń przychodzących — użyj usługi Azure AD i dostępu warunkowego, aby upewnić się, że wszystkie połączenia przychodzące z urządzeń i kont są znane, zaufane i dozwolone. Aby uzyskać więcej informacji, zobacz artykuł Secuiting privileged interfaces for detailed definitions for device and account requirements for enterprise and specialized (Interfejsy uprzywilejowane secuiting), aby uzyskać szczegółowe definicje dotyczące urządzeń i wymagań dotyczących kont dla przedsiębiorstw i wyspecjalizowanych.
  • Właściwa konserwacja systemu — wszyscy pośrednicy muszą przestrzegać dobrych praktyk dotyczących higieny zabezpieczeń, w tym:
    • Bezpieczna konfiguracja — postępuj zgodnie z punktami odniesienia konfiguracji zabezpieczeń producenta lub branży oraz najlepszymi rozwiązaniami dotyczącymi zarówno aplikacji, jak i wszystkich podstawowych systemów operacyjnych, usług w chmurze lub innych zależności. Odpowiednie wskazówki firmy Microsoft obejmują punkt odniesienia zabezpieczeń platformy Azure i punkty odniesienia systemu Windows.
    • Szybkie stosowanie poprawek — aktualizacje zabezpieczeń i poprawki od dostawców muszą być stosowane szybko po wydaniu.
  • Modele kontroli dostępu opartej na rolach (RBAC) mogą być nadużywane przez osoby atakujące w celu eskalacji uprawnień. Model kontroli dostępu opartej na rolach pośrednika musi być starannie sprawdzony, aby zagwarantować, że tylko autoryzowany personel, który jest chroniony na poziomie wyspecjalizowanym lub uprzywilejowanym, mają przyznane uprawnienia administracyjne. Ten model musi zawierać wszystkie podstawowe systemy operacyjne lub usługi w chmurze (hasło konta głównego, użytkownicy/grupy administratora lokalnego, administratorzy dzierżawy itp.).
  • Wykrywanie i reagowanie na punkty końcowe (EDR) i sygnał zaufania ruchu wychodzącego — urządzenia, które zawierają pełny system operacyjny, powinny być monitorowane i chronione za pomocą EDR, takiego jak Usługa Microsoft Defender dla punktu końcowego. Ta kontrolka powinna być skonfigurowana w celu zapewnienia sygnałów zgodności urządzeń do dostępu warunkowego, aby zasady mogły wymuszać to wymaganie dla interfejsów.

Uprzywilejowani pośrednicy wymagają dodatkowych mechanizmów kontroli zabezpieczeń:

  • Kontrola dostępu oparta na rolach (RBAC) — prawa administracyjne muszą być ograniczone tylko do ról uprzywilejowanych spełniających ten standard dla stacji roboczych i kont.
  • Urządzenia dedykowane (opcjonalnie) — ze względu na skrajną wrażliwość sesji uprzywilejowanych organizacje mogą zdecydować się na zaimplementowanie dedykowanych wystąpień funkcji pośredniczących dla ról uprzywilejowanych. Ta kontrola umożliwia dodatkowe ograniczenia zabezpieczeń dla tych uprzywilejowanych pośredników i bliższe monitorowanie działań ról uprzywilejowanych.

Wskazówki dotyczące zabezpieczeń dla każdego typu pośredniczącego

Ta sekcja zawiera konkretne wskazówki dotyczące zabezpieczeń unikatowe dla każdego typu pośrednika.

Privileged Access Management / Privileged Identity Management

Jednym z typów pośredników przeznaczonych jawnie dla przypadków użycia zabezpieczeń jest uprzywilejowane zarządzanie tożsamościami / uprzywilejowane zarządzanie dostępem (PIM/PAM).

Przypadki użycia i scenariusze dotyczące usługi PIM/PAM

Rozwiązania PIM/PAM są przeznaczone do zwiększania zabezpieczeń dla poufnych kont, które byłyby objęte wyspecjalizowanymi lub uprzywilejowanymi profilami, i zazwyczaj koncentrują się na administratorach IT.

Chociaż funkcje różnią się między dostawcami usługi PIM/PAM, wiele rozwiązań zapewnia możliwości zabezpieczeń:

  • Upraszczanie zarządzania kontami usług i rotacji haseł (co jest niezwykle ważne)

  • Zapewnianie zaawansowanych przepływów pracy dla dostępu just in time (JIT)

  • Rejestrowanie i monitorowanie sesji administracyjnych

    Ważne

    Możliwości usługi PIM/PAM zapewniają doskonałe środki zaradcze w przypadku niektórych ataków, ale nie dotyczą wielu zagrożeń związanych z dostępem uprzywilejowanym, zwłaszcza ryzyka naruszenia bezpieczeństwa urządzeń. Podczas gdy niektórzy dostawcy opowiadają się za tym, że ich rozwiązanie PIM/PAM jest "srebrnym punktorem", które może ograniczyć ryzyko związane z urządzeniem, nasze doświadczenie w badaniu zdarzeń klientów konsekwentnie udowodniło, że nie działa to w praktyce.

    Osoba atakująca kontrolującą stację roboczą lub urządzenie może używać tych poświadczeń (i przypisanych do nich uprawnień), gdy użytkownik jest zalogowany (i często może kraść poświadczenia do późniejszego użycia). Rozwiązanie PIM/PAM samodzielnie nie może spójnie i niezawodnie widzieć i ograniczać ryzyka związane z tym urządzeniem, dlatego musisz mieć dyskretne zabezpieczenia urządzeń i kont, które się uzupełniają.

Zagrożenia bezpieczeństwa i zalecenia dotyczące usługi PIM/PAM

Możliwości poszczególnych dostawców usługi PIM/PAM różnią się w zależności od sposobu ich zabezpieczania, dlatego przejrzyj i postępuj zgodnie z zaleceniami dotyczącymi konfiguracji zabezpieczeń i najlepszymi rozwiązaniami dostawcy.

Uwaga

Upewnij się, że skonfigurowaliśmy drugą osobę w przepływach pracy o krytycznym znaczeniu dla działania firmy, aby pomóc w ograniczeniu ryzyka wewnętrznego (zwiększa koszt/tarcie pod kątem potencjalnych zmów przez zagrożenia wewnętrzne).

Wirtualne sieci prywatne użytkownika końcowego

Wirtualne sieci prywatne (VPN) to pośrednicy, którzy zapewniają pełny dostęp do sieci dla zdalnych punktów końcowych, zazwyczaj wymagają uwierzytelnienia użytkownika końcowego i mogą przechowywać poświadczenia lokalnie w celu uwierzytelniania przychodzących sesji użytkowników.

Uwaga

Te wskazówki dotyczą tylko sieci VPN typu punkt-lokacja używane przez użytkowników, a nie sieci VPN typu "lokacja-lokacja", które są zwykle używane do łączności centrum danych/aplikacji.

Przypadki użycia i scenariusze dla sieci VPN

Sieci VPN ustanawiają łączność zdalną z siecią przedsiębiorstwa, aby umożliwić dostęp do zasobów użytkownikom i administratorom.

Zagrożenia bezpieczeństwa i zalecenia dotyczące sieci VPN

Najważniejsze zagrożenia dla pośredników sieci VPN są od zaniedbania konserwacji, problemów z konfiguracją i lokalnego magazynu poświadczeń.

Firma Microsoft zaleca połączenie mechanizmów kontroli dla pośredników sieci VPN:

  • Integrowanie uwierzytelniania usługi Azure AD — aby zmniejszyć lub wyeliminować ryzyko lokalnego przechowywania poświadczeń (i wszelkich obciążeń związanych z ich konserwacją) i wymusić zasady zerowego zaufania na kontach/urządzeniach przychodzących z dostępem warunkowym. Aby uzyskać wskazówki dotyczące integracji, zobacz
  • Szybkie stosowanie poprawek — upewnij się, że wszystkie elementy organizacyjne obsługują szybkie stosowanie poprawek, w tym:
    • Obsługa sponsoringu organizacyjnego i przywództwa dla wymagań
    • Standardowe procesy techniczne aktualizacji sieci VPN z minimalnym lub zerowym przestojem. Ten proces powinien obejmować oprogramowanie sieci VPN, urządzenia i wszelkie podstawowe systemy operacyjne lub oprogramowanie układowe
    • Procesy awaryjne umożliwiające szybkie wdrażanie krytycznych aktualizacji zabezpieczeń
    • Ład w celu ciągłego odnajdywania i korygowania wszystkich pominiętych elementów
  • Bezpieczna konfiguracja — możliwości poszczególnych dostawców sieci VPN różnią się w zależności od sposobu ich zabezpieczania, dlatego przejrzyj i postępuj zgodnie z zaleceniami dotyczącymi konfiguracji zabezpieczeń i najlepszymi rozwiązaniami dotyczącymi konfiguracji zabezpieczeń dostawcy
  • Wykraczanie poza sieć VPN — zastąp sieci VPN w czasie bardziej bezpiecznymi opcjami, takimi jak serwer proxy aplikacji usługi Azure AD lub usługa Azure Bastion, ponieważ zapewniają tylko bezpośredni dostęp do aplikacji/serwera, a nie pełny dostęp do sieci. Ponadto serwer proxy aplikacji usługi Azure AD umożliwia monitorowanie sesji w celu zapewnienia dodatkowych zabezpieczeń za pomocą usługi Microsoft Defender for Cloud Apps.

Modernize VPN authentication and move apps to modern access

Serwer proxy aplikacji usługi Azure AD

Serwer proxy aplikacji usługi Azure AD i podobne możliwości innych firm zapewniają zdalny dostęp do starszych i innych aplikacji hostowanych lokalnie lub na maszynach wirtualnych IaaS w chmurze.

Przypadki użycia i scenariusze serwera proxy aplikacji usługi Azure AD

To rozwiązanie jest odpowiednie do publikowania starszych aplikacji zwiększających produktywność użytkowników końcowych dla autoryzowanych użytkowników w Internecie. Może być również używany do publikowania niektórych aplikacji administracyjnych.

Zagrożenia bezpieczeństwa i zalecenia dotyczące serwera proxy aplikacji usługi Azure AD

Serwer proxy aplikacji usługi Azure AD skutecznie modernizuje nowoczesne wymuszanie zasad Zero Trust do istniejących aplikacji. Aby uzyskać więcej informacji, zobacz Zagadnienia dotyczące zabezpieczeń serwera proxy aplikacji usługi Azure AD

Serwer proxy aplikacji usługi Azure AD może również zintegrować się z usługą Microsoft Defender for Cloud Apps w celu dodania zabezpieczeń sesji kontroli dostępu warunkowego do:

  • Zapobieganie eksfiltracji danych
  • Ochrona podczas pobierania
  • Zapobieganie przekazywaniu plików niezaznakowanych
  • Monitorowanie sesji użytkowników pod kątem zgodności
  • Blokowanie dostępu
  • Blokuj działania niestandardowe

Aby uzyskać więcej informacji, zobacz Deploy Defender for Cloud Apps Conditional Access App Control for Azure AD apps (Wdrażanie kontroli dostępu warunkowego aplikacji usługi Defender for Cloud Apps dla aplikacji usługi Azure AD)

Podczas publikowania aplikacji za pośrednictwem serwera proxy aplikacji usługi Azure AD firma Microsoft zaleca, aby właściciele aplikacji pracowali z zespołami ds. zabezpieczeń, aby postępowali zgodnie z najmniejszymi uprawnieniami i zapewniali dostęp do każdej aplikacji tylko użytkownikom, którzy tego wymagają. W miarę wdrażania większej liczby aplikacji w ten sposób możesz zrównoważyć użycie sieci VPN przez użytkownika końcowego.

Pulpit zdalny/serwer przesiadkowy

Ten scenariusz zapewnia pełne środowisko pulpitu z uruchomioną co najmniej jedną aplikacją. To rozwiązanie ma wiele różnych odmian, w tym:

  • Środowiska — pełny pulpit w oknie lub w jednym projekcie aplikacji
  • Host zdalny — może być udostępnioną maszyną wirtualną lub dedykowaną maszyną wirtualną pulpitu przy użyciu usługi Windows Virtual Desktop (WVD) lub innego rozwiązania infrastruktury pulpitu wirtualnego (VDI).
  • Urządzenie lokalne — może być urządzeniem przenośnym, zarządzaną stacją roboczą lub zarządzaną stacją roboczą osobistą/partnerem
  • Scenariusz — skoncentrowany na aplikacjach zwiększających produktywność użytkowników lub na scenariuszach administracyjnych, często nazywanych "serwerem przesiadkowym"

Przypadki użycia i zalecenia dotyczące zabezpieczeń dla pulpitu zdalnego/serwera przesiadkowego

Najczęstsze konfiguracje to:

  • Protokół RDP (Direct Remote Desktop Protocol) — ta konfiguracja nie jest zalecana w przypadku połączeń internetowych, ponieważ protokół RDP jest protokołem, który ma ograniczoną ochronę przed nowoczesnymi atakami, takimi jak spray haseł. Bezpośrednie połączenie RDP powinno zostać przekonwertowane na jedną z następujących:
    • RDP za pośrednictwem bramy opublikowanej przez serwer proxy aplikacji usługi Azure AD
    • Azure Bastion
  • RDP za pośrednictwem bramy przy użyciu
    • Usługi pulpitu zdalnego (RDS) zawarte w systemie Windows Server. Publikowanie za pomocą serwera proxy aplikacji usługi Azure AD.
    • Windows Virtual Desktop (WVD) — postępuj zgodnie z najlepszymi rozwiązaniami dotyczącymi zabezpieczeń usługi Windows Virtual Desktop.
    • VDI innych firm — postępuj zgodnie z najlepszymi rozwiązaniami producenta lub branży lub dostosuj wskazówki dotyczące usługi WVD do rozwiązania
  • Serwer Secure Shell (SSH) — zapewnia zdalne powłoki i skrypty dla działów technologii i właścicieli obciążeń. Zabezpieczanie tej konfiguracji powinno obejmować następujące elementy:
    • Zgodnie z najlepszymi rozwiązaniami branżowymi/producentami, aby bezpiecznie je skonfigurować, zmienić domyślne hasła (jeśli ma to zastosowanie) i używać kluczy SSH zamiast haseł oraz bezpiecznie przechowywać klucze SSH i zarządzać nimi.
    • Używanie komunikacji zdalnej usługi Azure Bastion for SSH z zasobami hostowanymi na platformie Azure — nawiązywanie połączenia z maszyną wirtualną z systemem Linux przy użyciu usługi Azure Bastion

Azure Bastion

Usługa Azure Bastion to pośrednik, który jest przeznaczony do zapewnienia bezpiecznego dostępu do zasobów platformy Azure przy użyciu przeglądarki i witryny Azure Portal. Usługa Azure Bastion udostępnia zasoby dostępu na platformie Azure, które obsługują protokoły RDP (Remote Desktop Protocol) i Secure Shell (SSH).

Przypadki użycia i scenariusze dla usługi Azure Bastion

Usługa Azure Bastion skutecznie udostępnia elastyczne rozwiązanie, które może być używane przez pracowników działu operacji IT i administratorów obciążeń spoza działu IT do zarządzania zasobami hostowanymi na platformie Azure bez konieczności pełnego połączenia sieci VPN ze środowiskiem.

Zagrożenia bezpieczeństwa i zalecenia dotyczące usługi Azure Bastion

Dostęp do usługi Azure Bastion jest uzyskiwany za pośrednictwem witryny Azure Portal, dlatego upewnij się, że interfejs witryny Azure Portal wymaga odpowiedniego poziomu zabezpieczeń dla zasobów w nim i ról korzystających z niej, zwykle uprzywilejowanych lub wyspecjalizowanych.

Dodatkowe wskazówki są dostępne w dokumentacji usługi Azure Bastion

Następne kroki