Behörighetsåtkomst: Gränssnitt
En viktig komponent i att skydda privilegierad åtkomst är programmet med en princip utan förtroende för att säkerställa att enheter, konton och måste uppfylla säkerhetskraven innan åtkomst ges.
Den här principen säkerställer att användare och enheter som initierar den inkommande sessionen är kända, betrodda och har åtkomst till resursen (via gränssnittet). Tillämpning av principen utförs av principmotorn för villkorsstyrd åtkomst i Azure AD som utvärderar principen som tilldelats det specifika gränssnittet (till exempel Azure-portalen, Salesforce, Office 365, AWS, Workday med flera).
Den här vägledningen definierar tre säkerhetsnivåer för gränssnittssäkerhet som du kan använda för tillgångar med olika känslighetsnivåer. De här nivåerna konfigureras i den säkra planen för snabb modern åtkomst med hög behörighet (RAMP) och motsvarar säkerhetsnivåer för konton och enheter.
Säkerhetskraven för inkommande sessioner till gränssnitt gäller för konton och källenheten, oavsett om det är en direkt anslutning från fysiska enheter eller en fjärr-/hoppserverled . En person kan acceptera sessioner från personliga enheter för att tillhandahålla säkerhet på företagsnivå (för vissa scenarier), men specialfall eller särskilda fall bör inte tillåta anslutningar från lägre nivåer på grund av deras rollers säkerhetskänsliga natur.
Obs!
Dessa tekniker ger stark fullständig åtkomstkontroll till programgränssnittet, men själva resursen måste också skyddas från bandattacker mot programkoden/funktionerna, ta bort säkerhetsproblem eller konfigurationsfel i det underliggande operativsystemet eller den inbyggda programvaran, för data i vila eller under överföring, leveranskedjor eller andra sätt.
Se till att utvärdera och upptäcka risker för tillgångarna själva för fullständigt skydd. Microsoft tillhandahåller verktyg och vägledning som hjälper dig med detta, inklusive Vägledning för Microsoft Defenderför moln, Microsoft Secure Scoreoch modellering av hot.
Exempel på gränssnitt
Gränssnitt finns i olika former, vanligtvis som:
- Molntjänst-/programwebbplatser som Azure Portal, AWS Office 365
- Skrivbordskonsol som hanterar ett lokalt program (Microsoft Management Console (MMC) eller ett anpassat program)
- Skript-/konsolgränssnitt som Secure Shell (SSH) eller PowerShell
Vissa av dem har direkt stöd för tillämpning av Noll förtroende via principmotorn för villkorlig åtkomst i Azure AD, men vissa måste publiceras via mellanled som Azure AD-appproxy eller hoppserver för fjärrskrivbord.
Gränssnittssäkerhet
Det ultimata målet med gränssnittssäkerhet är att säkerställa att varje inkommande session i gränssnittet är känd, betrodd och tillåten:
- Känt – Användaren autentiseras med stark autentisering och enheten autentiseras (med undantag för personliga enheter som använder en Fjärrskrivbord- eller VDI-lösning för företagsåtkomst)
- Betrodd – Säkerhetshälsa verifieras explicit och tillämpas för konton och enheter somanvänder principmotorn nollförtroende
- Tillåtet – Åtkomst till resurserna följer minsta behörighetsprincip genom en kombination av kontroller för att säkerställa att den bara kan nås
- Av rätt användare
- Vid rätt tidpunkt (bara i tid, inte permanent åtkomst)
- Med rätt arbetsflöde för godkännande (vid behov)
- På en godtagbar risk-/förtroendenivå
Säkerhetskontroller för gränssnitt
Etablering av säkerhet i gränssnittet kräver en kombination av säkerhetskontroller som omfattar:
- Tillämpning av noll förtroendeprincip – använd villkorsstyrd åtkomst för att säkerställa att inkommande sessioner uppfyller kraven för:
- Enhetsförtroende för att säkerställa att enheten är minst:
- Hanteras av företaget
- Har identifiering och åtgärd på slutpunkt på det
- Följer organisationens konfigurationskrav
- Är inte smittad eller under attack under sessionen
- User Trust is high enough based on signals including:
- Användning av multifaktorautentisering vid initial inloggning (eller som läggs till senare för att öka förtroende)
- Om sessionen matchar historiska beteendemönster
- Om kontot eller den aktuella sessionen utlöser alla aviseringar baserat på hotinformation
- Azure AD Identity Protection-risk
- Enhetsförtroende för att säkerställa att enheten är minst:
- Rollbaserad åtkomstkontrollmodell som kombinerar kataloggrupper/behörigheter för företag och programspecifika roller, grupper och behörigheter
- Precis i arbetsflöden för åtkomst av tid som säkerställer specifika krav för behörigheter (peer approvals, audit trail, privileged expiration, etc.) tillämpas innan kontot tillåts.
Säkerhetsnivåer för gränssnitt
Den här vägledningen definierar tre säkerhetsnivåer. Mer information om de här nivåerna finns i Hålla det enkelt – profiler och profiler. Implementeringsvägledning finns i den snabba moderniseringsplanen.
Enterprise-gränssnittet
Säkerhet i Enterprise Interface passar för alla företagsanvändare och produktivitetsscenarier. Enterprise fungerar också som en utgångspunkt för högre känslighetsbelastningar som du stegvis kan bygga på för att nå specialiserade och behöriga åtkomstnivåer av säkerhet.
- Tillämpning av noll förtroendeprincip – på inkommande sessioner med villkorsstyrd åtkomst för att säkerställa att användare och enheter skyddas på företagsnivå eller högre nivå
- Som support kan du ta med dig egna enhetsscenarier (BYOD), personliga enheter och enheter som hanteras av partner om de använder en företagsledd såsom en dedikerad Windows Virtual Desktop (WVD) eller liknande lösning för fjärrskrivbord/hoppserver.
- Role-Based access control (RBAC) – Modellen bör säkerställa att programmet endast administreras av roller på den specialiserade eller privilegierade säkerhetsnivån
Specialiserade gränssnitt
Säkerhetskontroller för specialiserade gränssnitt bör omfatta
- Tillämpning av noll förtroendeprincip – på inkommande sessioner med villkorsstyrd åtkomst för att säkerställa att användare och enheter skyddas på specialnivå eller behörighetsnivå
- Role-Based access control (RBAC) – Modellen bör säkerställa att programmet endast administreras av roller på den specialiserade eller privilegierade säkerhetsnivån
- Precis i tidsarbetsflöden för åtkomst (valfritt) – som tillämpar minst behörighet genom att säkerställa att behörigheter endast används av behöriga användare under den tid de behövs.
Gränssnitt med privilegierad åtkomst
Säkerhetskontroller för specialiserade gränssnitt bör omfatta
- Tillämpning av noll förtroendeprincip – på inkommande sessioner med villkorsstyrd åtkomst för att säkerställa att användare och enheter skyddas på den behörighetsnivån
- Role-Based till Access Control (RBAC) – Modellen bör säkerställa att programmet endast administreras av roller på behörighetsnivån
- Precis i tidsåtkomstarbetsflöden (krävs) som tillämpar minst behörighet genom att säkerställa att behörigheter endast används av behöriga användare under den tid de behövs.