Acesso privilegiado: interfaces

Artigo
02/07/2024

Um componente crítico para proteger o acesso privilegiado é a aplicação da política de Confiança Zero para garantir que os dispositivos, as contas e os intermediários atendam aos requisitos de segurança antes de fornecer acesso.

Essa política garante que os usuários e dispositivos que iniciam a sessão de entrada sejam conhecidos, confiáveis e tenham permissão para acessar o recurso (por meio da interface). A imposição de política é executada pelo mecanismo de política de acesso condicional do Microsoft Entra, que avalia a política atribuída à interface de aplicativo específica (como portal do Azure, Salesforce, Office 365, AWS, Workday e outros).

Protecting resources by protecting interfaces

Essa orientação define três níveis de segurança para segurança de interface que você pode usar para ativos com diferentes níveis de confidencialidade. Esses níveis são configurados no RAMP (plano de modernização rápida de acesso privilegiado) e correspondem aos níveis de segurança de contas e dispositivos.

Os requisitos de segurança para sessões de entrada para interfaces se aplicam a contas e ao dispositivo de origem, seja uma conexão direta de dispositivos físicos ou um intermediário de área de trabalho remota/servidor de salto. Os intermediários podem aceitar sessões de dispositivos pessoais para fornecer nível de segurança empresarial (para alguns cenários), mas intermediários especializados ou privilegiados não devem permitir conexões de níveis inferiores devido à natureza sensível à segurança de suas funções.

Observação

Essas tecnologias oferecem um forte controle de acesso de ponta a ponta à interface do aplicativo, mas o próprio recurso também deve ser protegido contra ataques fora de banda no código/funcionalidade do aplicativo, vulnerabilidades sem patches ou erros de configuração no sistema operacional ou firmware subjacente, em dados inativos ou em trânsito, cadeias de fornecimento ou outros meios.

Avalie e descubra os riscos para os próprios ativos para proteção completa. A Microsoft oferece ferramentas e diretrizes para ajudá-lo a fazer isso, incluindo o Microsoft Defender para Nuvem, o Microsoft Secure Score e as diretrizes de modelagem de ameaças.

Exemplos de interface

As interfaces são apresentadas em diferentes formatos, normalmente como:

Serviços de nuvem/sites de aplicativos, como portal do Azure, AWS, Office 365
Console de desktop gerenciando um aplicativo local [MMC (Console de Gerenciamento Microsoft) ou aplicativo personalizado)
Script/interface do console, como Secure Shell (SSH) ou PowerShell

Embora algumas delas ofereçam suporte diretamente à imposição de Confiança Zero por meio do mecanismo da política de acesso condicional do Microsoft Entra, algumas delas precisarão ser publicadas por meio de um intermediário, como proxy de aplicativo Microsoft Entra ou área de trabalho remota/servidor de salto.

Segurança da interface

O objetivo final da segurança da interface é garantir que cada sessão de entrada para a interface seja conhecida, confiável e permitida:

Conhecida: o usuário é autenticado com autenticação forte e o dispositivo é autenticado (com exceções para dispositivos pessoais usando uma solução de Área de Trabalho Remota ou VDI para acesso empresarial)
Confiável: a integridade da segurança é validada e imposta explicitamente para contas e dispositivos usando um mecanismo de política de Confiança Zero
Permitida: o acesso aos recursos segue o princípio de privilégio mínimo usando uma combinação de controles para garantir que ele só possa ser acessado
- Pelos usuários certos
- No momento certo (acesso just-in-time, acesso não permanente)
- Com o fluxo de trabalho de aprovação correto (conforme necessário)
- Com um nível de confiança/risco aceitável

Controles de segurança de interface

O estabelecimento de garantias de segurança da interface requer uma combinação de controles de segurança, incluindo:

Imposição de diretiva de Confiança Zero: usando o acesso condicional para garantir que as sessões de entrada atendam aos requisitos para:
- Confiança do dispositivo para garantir que o dispositivo, no mínimo:
  - Seja gerenciado pela empresa
  - Tenha detecção de ponto de extremidade e resposta
  - Esteja em conformidade com os requisitos de configuração de organizações
  - Não esteja infectado ou sob ataque durante a sessão
- A confiança do usuário seja alta o suficiente com base em sinais, incluindo:
  - Uso da autenticação multifator durante o logon inicial (ou adicionada posteriormente para aumentar a confiança)
  - Se essa sessão corresponde aos padrões de comportamento histórico
  - Se a conta ou a sessão atual dispara alertas com base na inteligência contra ameaças
  - Risco do Microsoft Entra ID Protection
RBAC (Modelo de controle de acesso baseado em função) que combina grupos de diretório/permissões e funções específicas de aplicativo, grupos e permissões específicos de aplicativos
Fluxos de trabalho de acesso just-in-time que garantem requisitos específicos de privilégios (aprovações de pares, trilha de auditoria, expiração privilegiada etc.) são impostos antes de permitir os privilégios para os quais a conta está qualificada.

Níveis de segurança de interface

Essa orientação define três níveis de segurança. Para obter mais informações sobre esses níveis, confira Simplificar: personas e perfis. Para obter diretrizes de implementação, confira o plano de modernização rápida.

Controlling resources access to specific interface security levels

Interface empresarial

A interface empresarial é adequada para todos os usuários corporativos e cenários de produtividade. A empresa também serve como ponto de partida para cargas de trabalho de confidencialidade mais altas que você pode aumentar de maneira incremental para alcançar níveis de garantia de acesso especializados e privilegiados.

Imposição de diretiva de Confiança Zero: em sessões de entrada usando o acesso condicional para garantir que os usuários e dispositivos sejam protegidos no nível empresarial ou superior
- Para oferecer suporte a cenários de BYOD (Traga seu próprio dispositivo), dispositivos pessoais e dispositivos gerenciados por parceiros poderão ser conectados se usarem um intermediário corporativo, como uma WVD (área de trabalho virtual) dedicada do Windows ou uma solução de área de trabalho remota/servidor de salto semelhante.
RBAC (Controle de acesso baseado em função): o modelo deve garantir que o aplicativo seja administrado somente por funções no nível de segurança especializado ou privilegiado

Interface especializada

Os controles de segurança para interfaces especializadas devem incluir

Imposição de política de Confiança Zero: em sessões de entrada usando o acesso condicional para garantir que os usuários e dispositivos sejam protegidos no nível especializado ou privilegiado
RBAC (Controle de acesso baseado em função): o modelo deve garantir que o aplicativo seja administrado somente por funções no nível de segurança especializado ou privilegiado
Fluxos de trabalho de acesso just-in-time (opcional): que impõem privilégios mínimos, garantindo que os privilégios sejam usados somente por usuários autorizados durante o tempo necessário.

Interface privilegiada