企业访问模型

本文档介绍一个整体企业访问模型,其中包含 特权访问策略 适合的上下文。 有关如何采用特权接入策略的路线图,请参阅 RaMP) (快速现代化计划 。 有关部署此操作的实现指南,请参阅 特权访问部署

特权访问策略是整个企业访问控制策略的一部分。 此企业访问模型显示特权访问如何适应整个企业访问模型。

组织必须保护的业务价值的主要存储位于数据/工作负荷平面中:

Data/workload plane

应用程序和数据通常存储组织的很大一部分:

  • 应用程序和工作负载中的业务流程
  • 数据和应用程序中的知识产权

企业 IT 组织管理和支持工作负载及其托管的基础结构,无论是本地、Azure 上还是第三方云提供商,都可创建 管理平面。 在整个企业中为这些系统提供一致的访问控制需要基于集中式企业标识系统 () 的 控制平面 ,通常由旧系统(如操作技术 (OT) 设备)的网络访问控制补充。

Control, management, and data/workload planes

每架飞机都凭借其功能控制数据和工作负载,为攻击者提供了一个有吸引力的途径,让他们能够控制任一飞机。

为使这些系统能够创建业务价值,必须让内部用户、合作伙伴和客户使用其工作站或设备访问它们, (通常使用远程访问解决方案) - 创建 用户访问 途径。 它们还必须经常通过应用程序编程接口 (API) 以编程方式提供,以促进进程自动化,从而创建 应用程序访问 途径。

Adding user and application access pathways

最后,这些系统必须由 IT 人员、开发人员或组织中的其他人进行管理和维护,从而创建 特权访问 途径。 由于它们对组织中业务关键资产提供的高度控制,必须严格保护这些途径,防止泄露。

Privileged access pathway to manage and maintain

在组织中提供一致的访问控制,使工作效率和降低风险需要你

  • 对所有访问强制执行零信任原则
    • 假定违反其他组件
    • 明确验证信任
    • 最低特权访问权限
  • 跨区域实施普遍的安全性和策略
    • 内部和外部访问,以确保策略应用程序一致
    • 所有访问方法,包括用户、管理员、API、服务帐户等。
  • 缓解未经授权的特权升级
    • 强制层次结构 – 防止通过攻击或滥用合法流程 (控制更低的平面)
      • 控制平面
      • 管理平面
      • 数据/工作负荷平面
    • 持续审核配置漏洞,从而实现无意升级
    • 监视和响应可能表示潜在攻击的异常

从旧 AD 层模型演变

企业访问模型取代和替换旧层模型,该模型侧重于在本地 Windows Server Active Directory 环境中包含未经授权的特权提升。

Legacy AD tier model

企业访问模型包含这些元素以及跨本地、多云、内部或外部用户访问等的新式企业的完全访问管理要求。

Complete enterprise access model from old tiers

第 0 层范围扩展

第 0 层扩展为控制平面并解决访问控制的所有方面,包括网络(其中唯一/最佳访问控制选项),例如旧版 OT 选项

第 1 层拆分

为了提高清晰度和可操作性,第 1 层现在分为以下几个方面:

  • 管理平面 - 适用于企业范围的 IT 管理函数
  • 数据/工作负荷平面 – 用于每工作负荷管理,有时由 IT 人员执行,有时由业务部门执行

此拆分可确保重点用于保护具有高内部业务价值但技术控制有限的业务关键系统和管理角色。 此外,这种拆分更适合开发人员和 DevOps 模型,而过于注重经典基础结构角色。

第 2 层拆分

为了确保应用程序访问以及各种合作伙伴和客户模型的覆盖范围,第 2 层分为以下几个方面:

  • 用户访问 - 包括所有 B2B、B2C 和公共访问方案
  • 应用访问 - 以适应 API 访问路径和生成的攻击面

后续步骤