Skapa appar med en Zero Trust-metod för identitet

Noll förtroende är ett säkerhetsramverk som inte förlitar sig på det implicita förtroende som ges till interaktioner bakom en säker nätverksperimeter. I stället använder den principerna för explicit verifiering, minst privilegierad åtkomst och förutsätter intrång för att hålla användare och data säkra samtidigt som vanliga scenarier som åtkomst till program utanför nätverksperimetern tillåts.

Apputvecklare kan förbättra appsäkerheten, minimera effekten av överträdelser och se till att deras program uppfyller kundernas säkerhetskrav genom att anta noll förtroendeprinciper. Det här dokumentet handlar om hur utvecklare kan använda en Noll förtroende-metod för identitet, som omfattar autentisering, auktorisering och identitetshantering.

Implementeringen av Zero Trust utvecklas fortfarande och varje organisations resa är unik. Men en logisk plats att börja på för de flesta kunder är identitet. Följande är några av de principer och kontroller som vi ser organisationer prioritera när de distribuerar Zero Trust:

  • Organisationer begränsar användarens medgivande till behörigheter med låg risk för utgivarverifierade appar. IT-administratörer använder principen om att verifiera uttryckligen genom att kräva verifiering av utgivare och principen om lägsta behörighet genom att endast tillåta användarmedgivande för behörigheter med låg risk. Innan din organisation eller kund ger sitt medgivande utvärderar administratörer de behörigheter som appen begär och appens pålitlighet.
  • Organisationer konfigurerar principer för autentiseringshygien och rotation för appar och tjänster. Om en apps autentiseringsuppgifter komprometteras kan angriparen sedan hämta token under sken av appens identitet, så att den kan få åtkomst till känsliga data, flytta i sidled eller upprätta beständighet.
  • Organisationer distribuerar stark autentisering. IT-administratörer förväntar sig att kunna ange principer som kräver multifaktorautentisering och lösenordslösa FIDO2-enheter.
  • Organisationer blockerar äldre protokoll och API:er. Detta omfattar blockering av äldre autentiseringsprotokoll som "Grundläggande autentisering" och krav på moderna protokoll som OpenID Connect och OAuth 2.0. Microsoft meddelade slutet av den 30 juni 2022 för Azure Active Directory (Azure AD) Graph och det äldre Azure Active Directory Authentication Library (ADAL). Organisationer ser till att program som de är beroende av är förberedda.

De främsta rekommendationerna för Noll förtroende

Följande metodtips är nyckeln till att skydda dina appar. Vi har också publicerat ett white paper som går igenom dessa metodtips i detalj.

Använd ett betrott standardbaserat autentiseringsbibliotek. När du använder ett bibliotek sparar du tiden för att utveckla en lösning på egen hand. Men ännu viktigare är att den kommer att hålla sig uppdaterad och vara lyhörd för de senaste teknikerna och hoten. Microsoft tillhandahåller flera autentiseringsbibliotek, inklusive Microsoft Authentication Library (MSAL),Microsoft Identity Web Authentication Library och Azure SDK:er för hanterade identiteter. Dessa ger dig åtkomst till funktioner som villkorlig åtkomst, enhetsregistrering och hantering samt de senaste nyheterna som lösenordslös och FIDO2-autentisering utan att behöva skriva någon extra kod.

Följ metodtipsen för säkerhet förAzure AD-programregistrering. En Azure AD-programregistrering är en viktig del av ditt affärsprogram. Eventuella felkonfigurationer eller förfall i hygienen för ditt program kan leda till driftstopp eller kompromisser.

Håll autentiseringsuppgifterna borta från koden. Detta möjliggör rotation av autentiseringsuppgifter av IT-administratörer utan att ta bort eller distribuera om en app. Du kan använda en tjänst som Azure Key Vault eller Azure Managed Identities.

Utforma för minst privilegierad åtkomst. Det här är en viktig grundsats i Noll förtroende. Du bör alltid ange den lägsta behörighet som krävs för att användaren ska kunna utföra sitt jobb. Du kan till exempel använda inkrementellt medgivande för att bara begära behörigheter när de behövs. Ett annat exempel är att använda detaljerade omfång i Microsoft Graph. Du kan utforska omfång med hjälp av Graph Explorer för att anropa ett API och undersöka vilka behörigheter som krävs. De visas i ordning från lägsta till högsta behörighet. Om du väljer lägsta möjliga behörighet blir programmet mindre sårbart för attacker. Mer information finns i metodtips för minst privilegierad åtkomst för program.

Stödför utvärdering av kontinuerlig åtkomst (CAE). MED CAE kan Microsoft Graph snabbt återkalla en aktiv session som svar på en säkerhetshändelse. Till exempel: När ett användarkonto tas bort eller inaktiveras aktiveras Multi-Factor Authentication (MFA) för en användare, en administratör återkallar uttryckligen utfärdade token för en användare eller en användare identifieras utgöra en risk. När CAE är aktiverat är dessutom token som utfärdats för Microsoft Graph giltiga i 24 timmar i stället för standard en timme. Detta är bra för återhämtning eftersom din app kan fortsätta att fungera utan att gå tillbaka till Azure Active Directory för en ny token varje timme.

Definiera approller för IT som ska tilldelas till användare och grupper.Approller hjälper dig att implementera rollbaserad åtkomstkontroll (RBAC) i dina program. Vanliga exempel på approller är roller som "Administratör", "Läsare" och "Deltagare", som gör att ditt program kan begränsa känsliga åtgärder till användare eller grupper som tilldelats till en roll. Om du använder approller kan du även använda andra funktioner som Azure AD:s PIM-funktion (Privileged Identity Management), som ger användare just-in-time- och tidsbunden åtkomst till känsliga roller, vilket minskar risken för att en obehörig aktör får den åtkomsten eller en obehörig användare som oavsiktligt påverkar en känslig resurs.

Bli enverifierad utgivare. När ett program markeras som utgivare verifierat innebär det att utgivaren har verifierat sin identitet med hjälp av ett Microsoft Partner Network-konto som har slutfört en etablerad verifieringsprocess. Detta är bra för utvecklare av appar för flera klientorganisationer eftersom det hjälper till att skapa förtroende hos IT-administratörer i kundklientorganisationer.

Nästa steg