Ayrıcalıklı erişim stratejisi için başarı ölçütleri
Bu belgede, ayrıcalıklı erişim stratejisinin başarı ölçütleri açıklandı. Bu bölümde, ayrıcalıklı bir erişim stratejisi için stratejik başarı bakış açıları açıkmektedir. Bu stratejinin benimsenmiş olduğu bir yol haritası için, hızlı bir modernleştirme planına (RaMP) bakın. Uygulama kılavuzu için bkz. ayrıcalıklı erişim dağıtımı
Sıfır Güven yaklaşımlarını kullanarak holist bir strateji uygulamak, erişim denetimi üzerinden ayrıcalıklı erişim için, saldırganlara karşı savunmayı olan bir "son" oluşturur. Bu strateji, yalnızca belirli birkaç patikaya erişmek için sınırlandırılarak ve sonra bu yetkili patikaları yakın bir şekilde korumak ve izlemekle işler.
Dört farklı girişim de dahil olmak üzere ayrıcalıklı erişim iş akışlarını kesmeyi başaran başarılı bir strateji, saldırganların kullanabileceği tüm noktalara hitap edelemektedir:
- Ayrıcalıklı Access iş akışı öğeleri, temel alınan cihazlar, işletim sistemleri, uygulamalar ve kimlikler de içinde olmak üzere ayrıcalıklı erişim iş akışı öğeleri
- Ayrıcalıklı hesapları, grupları ve hesaplarda yer alan ayrıcalıklara sahip diğer yapıları barındıran kimlik sistemleri
- Kullanıcı erişimi iş akışı ve ayrıcalıklı erişime neden olan yetkili yükseltme yolları
- Sıfır güven erişim ilkesi zorunlu kılınan ve rol tabanlı erişim denetimi (RBAC) ayrıcalıklar vermek üzere yapılandırılan uygulama arabirimleri
Not
Tam bir güvenlik stratejisi ayrıca, veri yedeklemeleri ve uygulamanın kendisine saldırılara karşı korumalar, temel işletim sistemi ve donanım, uygulama veya hizmet tarafından kullanılan hizmet hesapları ve rest veya geçiş sırasındaki veriler gibi erişim denetimi kapsamı dışında olan varlık korumalarını da içerir. Bulut için güvenlik stratejisini modernleştirme hakkında daha fazla bilgi için Güvenlik stratejisi tanımlama makalesine bakın.
Bir saldırı, otomasyondan ve bir kuruluşa saldırıya açık komut dosyaları kullanan insan saldırganlardan oluşur, bu insanların izlemesi gereken süreçler ve bu kuruluşların kullanmakta olduğu teknolojilerden oluşur. Hem saldırganların hem de savunmacıların karmaşıklığı nedeniyle, strateji tüm kişi, süreç ve teknoloji yollarına karşı güvenlik güvencelerinin istemeden az daledilen yöntemlere karşı çok yönlü olması gerekir.
Sürdürülebilir uzun vadeli başarı sağlamak için aşağıdaki ölçütleri karşılayın:
- Önceliklendirmeye önceliklendirme
- Güvenlik ve üretkenliği dengele
- Kuruluş içindeki güçlü ortaklıklar
- Kesintiye neden olan yatırım getirisini kesintiye karşı çekme
- Temiz kaynak ilkesine uyma
Önceliklendirmeye önceliklendirme
Önceliklendirme, bu çabalar önceden var olan planlara, kitaplıklara ve alışkanlıklara uymasa bile, en hızlı değere sahip en hızlı zamanda en etkili eylemler uygulama uygulamasıdır. Bu strateji, birçok büyük siber güvenlik olayında bir dizi kez öğrenilen adımların bir dizisini ortaya koyuyor. Bu olaylardan edinilen eğitimler, kuruluşların bu criseler tekrar tekrar yaşanmaması için atması gereken adımları oluşturmaz.
Güvenlik uzmanlarının, ağ güvenliği ve güvenlik duvarları gibi tanıdık varolan denetimleri daha yeni saldırılar için iyileştirmeyi denemesi her zaman cazip olsa da, bu yol sürekli başarısız olmaya neden olur. Microsoft'un Algılama ve Yanıt Ekibi (ATL) neredeyse her bir yıl devam ediyor ve bu klasik güvenlik yaklaşımlarının bu saldırılarını algılayama veya durdurma başarısız olması nedeniyle ayrıcalıklı erişim saldırılarını yanıtlamaktadır. Ağ güvenliği gerekli ve önemli temel güvenlik güvenliğini sağlarken, bu alışkanlıkları kesmeli ve gerçek dünya saldırılarını azaltacak veya engel olacak risklere odaklanmak çok önemlidir.
Var olan varsayımları zorlasa ve insanları yeni beceriler öğrenmeye zorlasa bile, bu stratejide önerilen güvenlik denetimlerine büyük önem ve öncelikleri belirleme.
Güvenlik ve üretkenliği dengele
Güvenlik stratejisinin tüm öğeleri gibi, ayrıcalıklı erişim de hem üretkenlik hem de güvenlik hedeflerinin karşılıtlı olduğundan emin olmaktadır.
Güvenliği dengeleme, aşağıdakiler ile kuruluş için riskler oluşturan aşırı uçlardan kaçınarak:
- Kullanıcıların güvenli ilkelerin, patikaların ve sistemlerin dışına gitmelerine neden olan aşırı sıkı güvenliklerden kaçının.
- Destek verenlerin kuruluşun kolayca güvenliğini tehlikeye atmalarına izin vererek, üretkenliği zarar veren zayıf güvenlikten kaçının.
Güvenlik stratejisi hakkında daha fazla bilgi için Güvenlik stratejisi tanımlama makalesine bakın.
İşletmenin güvenlik denetimlerinden olumsuz etkisini en aza indirmek için, kullanıcı iş akışlarını geliştiren görünmez güvenlik denetimlerine önceliklerini belirlemeli veya en azından kullanıcı iş akışlarını önlemiyor veya değiştirmelisiniz. Güvenlikle ilgili hassas roller, güvenlik güvenceleri sağlamak için günlük iş akışlarını değiştirmeye yönelik görünür güvenlik önlemlerine ihtiyaçlasa da, kullanılabilirliği ve kapsamı mümkün olduğunca sınırlı olacak şekilde iyi düşünerek bu uygulamanın yapılması gerekir.
Bu strateji üç profil tanımlayarak bu kılavuza takip eder (daha sonra Basit Tutma - Kişilikler ve Profiller konusunda ayrıntılı olarak açıklanmıştır)
Kuruluş içindeki güçlü ortaklıklar
Başarılı olması için kuruluş içinde ortak çalışmalı ve güvenlik birlikte çalışmalı. "Hiçbiri bizim kadar akıllı değil" diye zamansız gerçeklere ek olarak, güvenliğin doğası bir başkasının kaynaklarını korumak için destek işlevi olmaktır. Güvenlik, korumaya yardımcı olduğu kaynaklara (kârlılık, çalışma süresi, performans, vb.) sorumlu değildir, güvenlik, kuruluş için önemli olan fikri mülkiyet ve iş işlevselliğini korumaya yardımcı olmak için uzman tavsiyeleri ve hizmetler sağlayan bir destek işlevidir.
Güvenlik her zaman iş ve görev hedeflerine destek olmak için bir iş ortağı olarak çalışmalı. Güvenlik, yüksek riski kabul etmeye yönelik önerilerde gibi doğrudan öneriler vermeye utanmasa da, güvenlik ayrıca, iş riski açısından kaynak sahipleri tarafından yönetilen diğer risklere ve fırsatlara göre tavsiyeleri her zaman çerçeveleyecektir.
Güvenliğin bazı bölümleri büyük ölçüde güvenlik kuruluşu içinde planlansa ve başarılı bir şekilde yürütüle çalışsa da, ayrıcalıklı erişimin güvenliğini sağlama gibi pek çok şey, hangi rollerin korunmasını sağlayacak rolleri anlamak ve hem güvenli olduğundan emin olmak hem de kişilerin işlerini yapmalarına izin vermek için iş akışlarını güncelleştirmek ve yeniden tasarlamaya yardımcı olmak için, IT ve iş kuruluşlarıyla yakın bir çalışma gerektirir. Bu fikir hakkında daha fazla bilgi için güvenlik stratejisi kılavuz makalesinde Dönüşümler, fikir kümeleri ve beklentileri bölümüne bakın.
Kesintiye neden olan yatırım getirisini kesintiye karşı çekme
Savunma önlemlerinin sizi saldırıya karşı başarılı bir şekilde saldırıya neden olma olasılığına, saldırganın size başarılı bir şekilde saldırı olasılığına karşı maliyet ve engeli artırmaya devam etme olasılığına karşı tedbirsizce odaklanın. Savunma önlemlerinin savunmanın saldırı maliyetini nasıl etkiley olacağını değerlendirmek, hem saldırganlar perspektifinden odaklanmak için sağlam bir anımsatıcı hem de farklı risk azaltma seçeneklerinin etkisini karşılaştırmak için yapılandırılmış bir mekanizma sağlar.
Amacınız, saldırganların maliyetini en aza indirerek kendi güvenlik yatırım düzeyinizi en aza indirmektir:
Ayrıcalıklı erişim oturumunun öğelerine saldırı maliyetini artırarak saldırganların yatırım getirisini (ROI) kesintiye düşürecek. Bu kavram, ayrıcalıklı erişim stratejisi için başarı ölçütleri makalesinde daha ayrıntılı olarak açıklanmıştır.
Önemli
Ayrıcalıklı bir erişim stratejisi kapsamlı ve kapsamlı bir savunma olmalıdır, ancak derinlikli harcamadan kaçınmalı ve defenders yalnızca anlamlı bir güvenlik değeri ekleyiş noktasının üzerinden daha fazla (tanıdık) tür denetimine (çoğunlukla ağ güvenlik duvarları/filtreler) yığılmalıdır.
RoI saldırgan ROI'sı hakkında daha fazla bilgi için, kısa videoya ve ayrıntılı tartışmaYazdırma'nın yatırım getirisini kesintiye yollama .
Temiz kaynak ilkesi
Temiz kaynak ilkesi, güvenli nesne kadar güvenilir olması için tüm güvenlik bağımlılıklarını gerektirir.
Nesnenin denetiminde olan her konu, o nesnenin güvenlik bağımlılığıdır. Karşıt, hedef nesnenin denetiminde olan her şeyi denetimine sahipse, o hedef nesneyi de denetimine sahip olabilir. Bu tehdit nedeniyle, tüm güvenlik bağımlılıklarının güvencelerinin nesnenin kendisinde istenen güvenlik düzeyinde veya üzerinde olduğundan emin olmak gerekir. Bu ilke birçok denetim ilişkisi türü için geçerlidir:
Basit bir ilkeye göre, çoğu kuruluş on yıllık yıllara göre sade bir şekilde sahip olduğu ve yine birbirinin üzerine gelecek binlerce denetim ilişkisine sahip olduğu için, gerçek dünyada bu kavram kolayca karmaşık hale geliyor, ikisinde de geri dönüyor veya her ikisi de. Bu denetim ilişkileri web'i, genellikle otomatik araçlarla bir saldırganin saldırı sırasında keşfeder ve gezinebilirsiniz birçok erişim yolu sağlar.
Microsoft'un önerilen ayrıcalıklı erişim stratejisi, hedefe erişime izin vermeden önce kaynağın temiz olduğunu açıkça doğru belirterek, önce Sıfır Güven yaklaşımını kullanarak bu düğümün en önemli parçalarının daha kolay çözülecek bir plandır.
Her durumda, kaynağın güven düzeyi hedefle aynı veya daha yüksek olmalı.
- Bu ilkenin tek önemli istisnası, kurumsal senaryolarda yönetimi olmayan kişisel cihazların ve iş ortağı cihazlarının kullanımına izin vermedir. Bu özel durum, kurumsal işbirliğini ve esnekliği sağlar ve kurumsal varlıkların düşük göreli değeri nedeniyle çoğu kuruluş için kabul edilebilir bir düzeye taşıyor olabilir. BYOD güvenliği hakkında daha fazla bağlam için, BYOD ilkesi kamu sektöründeki güvenlik riskini azaltma ile ilgili blog gönderilerine bakın.
- Aynı özel durum, bu varlıklara ait güvenlik duyarlılığı nedeniyle özel güvenlik ve ayrıcalıklı güvenlik düzeylerine genişletilemez. Bazı PIM/PAM satıcıları, çözümlerinin alt düzey cihazlardaki cihaz riskini azaltıcı bir çözüm olarak desteklese de, olayları araştıran deneyimimize dayanarak bu onaylara saygılı bir şekilde katılmıyoruz. Organizasyonu kullanan varlık sahipleri, özel veya ayrıcalıklı kaynaklara erişmek için kurumsal güvenlik düzeyi cihazları kullanma riskini kabul etmeye seçebilir, ancak Microsoft bu yapılandırmayı önerilmez. Daha fazla bilgi için, Ayrıcalıklı Erişim Yönetimi / Ayrıcalıklı Kimlik yönetimi aracı kılavuzuna bakın.
Ayrıcalıklı erişim stratejisi öncelikli olarak, arabirimlerde ve aracılarda gelen oturumlarda Koşullu Erişim ile Sıfır Güven ilkesini zorlayarak bu ilkeyi tamamlar. Temiz kaynak ilkesi, işletim sistemi sürümü, güvenlik taban çizgisi yapılandırması ve dağıtım için Windows Autopilot'un kullanımı gibi diğer gereksinimler gibi güvenlik özelliklerinize yerleşik olarak sağlanan bir OEM'den yeni bir cihaz almakla başlar.
İsteğe bağlı olarak, temiz kaynak ilkesi tedarik zincirinde işletim sistemleri ve uygulamalar için yükleme medyası da dahil olmak üzere her bileşeni son derece sıkı bir incelemeye kadar uzatmış olabilir. Bu ilke son derece gelişmiş bir saldırganla karşı karşıya olan kuruluşlar için uygun olsa da, bu kılavuzda yer alan diğer denetimlerden daha düşük öncelikli olmalıdır.