Enterprise Zugriffsmodell

In diesem Dokument wird ein allgemeines Unternehmenszugriffsmodell beschrieben, das den Kontext dazu enthält, wie eine Privilegierte Zugriffsstrategie passt. Eine Roadmap zur Einführung einer Strategie für privilegierten Zugriff finden Sie im Plan für die schnelle Modernisierung (RaMP).For a roadmap on how to adopt a privileged access strategy, see the rapid modernization plan (RaMP). Implementierungsanleitungen für die Bereitstellung finden Sie unter "Bereitstellung mit privilegiertem Zugriff".

Die Strategie für den privilegierten Zugriff ist Teil einer allgemeinen Strategie zur Zugriffssteuerung im Unternehmen. Dieses Unternehmenszugriffsmodell zeigt, wie privilegierter Zugriff in ein unternehmensweites Zugriffsmodell passt.

Die primären Speicher von Geschäftswerten, die eine Organisation schützen muss, befinden sich auf der Ebene "Daten/Workload":

Data/workload plane

Die Anwendungen und Daten speichern in der Regel einen großen Prozentsatz der Folgenden einer Organisation:

  • Geschäftsprozesse in Anwendungen und Workloads
  • Geistiges Eigentum in Daten und Anwendungen

Die IT-Organisation des Unternehmens verwaltet und unterstützt die Workloads und die Infrastruktur, auf der sie gehostet werden, unabhängig davon, ob sie lokal, in Azure oder einem Drittanbieter-Cloudanbieter gehostet werden, wodurch eine Verwaltungsebene erstellt wird. Um eine konsistente Zugriffssteuerung für diese Systeme im gesamten Unternehmen bereitzustellen, ist eine Steuerungsebene erforderlich, die auf zentralisierten Unternehmensidentitätssystemen basiert, die häufig durch die Netzwerkzugriffssteuerung für ältere Systeme wie Ot-Geräte (Operational Technology) ergänzt wird.

Control, management, and data/workload planes

Jede dieser Flugzeuge hat die Kontrolle über die Daten und Workloads aufgrund ihrer Funktionen und schafft einen attraktiven Weg für Angreifer zu missbrauchen, wenn sie die Kontrolle über beide Flugzeuge erlangen können.

Damit diese Systeme einen geschäftlichen Mehrwert schaffen können, müssen sie für interne Benutzer, Partner und Kunden zugänglich sein, die ihre Arbeitsstationen oder Geräte verwenden (häufig mit Remotezugriffslösungen), wodurch Benutzerzugriffspfade erstellt werden. Sie müssen auch häufig programmgesteuert über ApIs (Application Programming Interfaces) verfügbar sein, um die Prozessautomatisierung zu vereinfachen und Anwendungszugriffspfade zu erstellen.

Adding user and application access pathways

Schließlich müssen diese Systeme von IT-Mitarbeitern, Entwicklern oder anderen Personen in den Organisationen verwaltet und verwaltet werden, wodurch privilegierte Zugriffspfade erstellt werden. Aufgrund der hohen Kontrolle über unternehmenskritische Ressourcen in der Organisation müssen diese Pfade streng vor Kompromittierung geschützt werden.

Privileged access pathway to manage and maintain

Die Bereitstellung einer konsistenten Zugriffssteuerung in der Organisation, die Produktivität ermöglicht und Risiken mindert, erfordert, dass Sie

  • Erzwingen Zero Trust Prinzipien für den gesamten Zugriff
    • Annehmen einer Verletzung anderer Komponenten
    • Explizite Überprüfung der Vertrauensstellung
    • Zugriff mit den geringsten Berechtigungen
  • Umfassende Sicherheits- und Richtlinienerzwingung in allen
    • Interner und externer Zugriff zur Gewährleistung einer konsistenten Richtlinienanwendung
    • Alle Zugriffsmethoden, einschließlich Benutzer, Administratoren, APIs, Dienstkonten usw.
  • Entschärft die Eskalation nicht autorisierter Berechtigungen
    • Hierarchie erzwingen – um die Kontrolle höherer Ebenen von niedrigeren Ebenen zu verhindern (durch Angriffe oder Missbrauch legitimer Prozesse)
      • Steuerebene
      • Verwaltungsebene
      • Daten-/Workloadebene
    • Kontinuierliche Überwachung auf Konfigurationsschwachstellen, die unbeabsichtigte Eskalation ermöglichen
    • Überwachen und Reagieren auf Anomalien, die potenzielle Angriffe darstellen könnten

Weiterentwicklung vom älteren AD-Stufenmodell

Das Unternehmenszugriffsmodell ersetzt und ersetzt das Legacyebenenmodell, das sich auf die Eindämmung der nicht autorisierten Eskalation von Berechtigungen in einer lokalen Windows Server Active Directory-Umgebung konzentrierte.

Legacy AD tier model

Das Unternehmenszugriffsmodell umfasst diese Elemente sowie die Anforderungen an die Vollzugriffsverwaltung eines modernen Unternehmens, das sich über lokale, mehrere Clouds, internen oder externen Benutzerzugriff und vieles mehr erstreckt.

Complete enterprise access model from old tiers

Bereichserweiterung der Stufe 0

Stufe 0 wird zur Steuerungsebene und befasst sich mit allen Aspekten der Zugriffssteuerung, einschließlich Netzwerk, bei dem es sich um die einzige/beste Zugriffssteuerungsoption handelt, z. B. ältere OT-Optionen.

Splits der Stufe 1

Um die Übersichtlichkeit und Umsetzbarkeit zu verbessern, ist die Ebene 1 jetzt in die folgenden Bereiche unterteilt:

  • Managementebene – für unternehmensweite IT-Verwaltungsfunktionen
  • Daten-/Workloadebene – für die Verwaltung pro Workload, die manchmal von IT-Mitarbeitern und manchmal von Geschäftsbereichen durchgeführt wird

Durch diese Aufteilung wird der Fokus auf den Schutz unternehmenskritischer Systeme und administrativer Rollen mit hohem systeminternem Geschäftswert, aber eingeschränkter technischer Kontrolle gelegt. Darüber hinaus ist diese Aufteilung besser für Entwickler und DevOps-Modelle geeignet, anstatt sich zu stark auf klassische Infrastrukturrollen zu konzentrieren.

Splits der Stufe 2

Um die Abdeckung des Anwendungszugriffs und der verschiedenen Partner- und Kundenmodelle sicherzustellen, wurde Stufe 2 in die folgenden Bereiche unterteilt:

  • Benutzerzugriff – einschließlich aller B2B-, B2C- und öffentlichen Zugriffsszenarien
  • App-Zugriff – zur Aufnahme von API-Zugriffspfaden und resultierender Angriffsfläche

Nächste Schritte