Alkalmazásbiztonság növelése Teljes felügyelet alapelvek használatával
A kifejlesztett alkalmazások körüli biztonságos hálózati szegély nem feltételezhető. Szinte minden kifejlesztett alkalmazás a tervek szerint a hálózat peremhálózatán kívülről lesz elérhető. Az alkalmazások nem garantálhatók biztonságossá a fejlesztésük során, vagy az üzembe helyezés után is így maradnak. Az alkalmazásfejlesztő felelőssége, hogy ne csak az alkalmazás biztonságát maximalizálja, hanem az alkalmazás sérülése esetén az alkalmazás által okozott károkat is minimalizálja.
Emellett a felelősség magában foglalja az ügyfelek és felhasználók változó igényeinek támogatását is, akik elvárják, hogy az alkalmazás megfeleljen Teljes felügyelet biztonsági követelményeknek. Ismerje meg a Teljes felügyelet modell alapelveit, és fogadja el a gyakorlatokat. Az alapelvek elsajátításával és elfogadásával olyan alkalmazásokat fejleszthet, amelyek biztonságosabbak, és minimalizálják azokat a károkat, amelyeket a biztonság megszakadása esetén okozhatnak.
A Teljes felügyelet modell az implicit megbízhatóság helyett az explicit ellenőrzés kultúráját írja elő. A modell három fő vezérelv alapján van rögzítve:
- Explicit ellenőrzés
- A legkevésbé kiemelt hozzáférés használata
- A szabálysértés feltételezése
ajánlott eljárások Teljes felügyelet
Ezeket az ajánlott eljárásokat követve Teljes felügyelet-kész alkalmazásokat hozhat létre a Microsoft Identitásplatform és eszközeivel.
Explicit ellenőrzés
A Microsoft Identitásplatform hitelesítési mechanizmusokat kínál az erőforráshoz hozzáférő személy vagy szolgáltatás személyazonosságának ellenőrzéséhez. Alkalmazza az alább ismertetett ajánlott eljárásokat az adatokhoz vagy erőforrásokhoz való hozzáféréshez szükséges entitások explicit ellenőrzéséhez.
| Ajánlott eljárások | Az alkalmazásbiztonság előnyei |
|---|---|
| Használja a Microsoft Hitelesítési kódtárakat (MSAL). | Az MSAL microsoftos hitelesítési kódtárak készlete fejlesztők számára. Az MSAL használatával a felhasználók és alkalmazások hitelesíthetők, és jogkivonatok is beszerezhetők a vállalati erőforrások eléréséhez csupán néhány sornyi kóddal. Az MSAL modern protokollokat (OpenID Csatlakozás és OAuth 2.0) használ, amelyek nem igénylik, hogy az alkalmazások közvetlenül kezeljék a felhasználó hitelesítő adatait. A hitelesítő adatok kezelése jelentősen javítja a felhasználók és az alkalmazások biztonságát, mivel az identitásszolgáltató lesz a biztonsági szegély. Emellett ezek a protokollok folyamatosan fejlődnek az identitásbiztonság új paradigmáinak, lehetőségeinek és kihívásainak kezelése érdekében. |
| Szükség esetén továbbfejlesztett biztonsági bővítményeket, például a folyamatos hozzáférés-kiértékelést (CAE) és a feltételes hozzáférés hitelesítési környezetét alkalmazhatja. | A Microsoft Entra-azonosítóban a leggyakrabban használt bővítmények közé tartozik a feltételes hozzáférés, a feltételes hozzáférés hitelesítési környezete és a CAE. Az olyan továbbfejlesztett biztonsági funkciókat használó alkalmazásokat, mint a CAE és a feltételes hozzáférés hitelesítési környezete, kódoltnak kell lenniük a jogcímekkel kapcsolatos problémák kezeléséhez. A nyílt protokollok lehetővé teszik, hogy a jogcímekkel kapcsolatos kihívások és jogcímkérelmek további ügyfélképességek meghívására használhatók legyenek. Lehetséges, hogy a Microsoft Entra-azonosítóval folytatott interakció folytatódik, például anomália vagy a felhasználói hitelesítési feltételek változása esetén. Ezek a bővítmények kódolódhatnak egy alkalmazásba anélkül, hogy megzavarnák a hitelesítés elsődleges kódfolyamatait. |
| Használja a megfelelő hitelesítési folyamatot alkalmazástípus szerint. Webalkalmazások esetén mindig próbáljon meg bizalmas ügyfélfolyamatokat használni. Mobilalkalmazások esetén próbáljon meg közvetítőket vagy a rendszerböngészőt használni a hitelesítéshez. | A titkos (bizalmas) ügyfeleket tartalmazó webalkalmazások folyamatai biztonságosabbnak tekinthetők, mint a nyilvános ügyfelek (például asztali és konzolalkalmazások). Ha a rendszer webböngészője egy mobilalkalmazás hitelesítésére szolgál, a biztonságos egyszeri bejelentkezés (SSO) lehetővé teszi az alkalmazásvédelmi szabályzatok használatát. |
A legkevésbé kiemelt hozzáférés használata
A fejlesztő a Microsoft Identitásplatform használja engedélyek (hatókörök) megadására, és annak ellenőrzésére, hogy a hívó megfelelő engedélyt kapott-e a hozzáférés engedélyezése előtt. A legkevésbé kiemelt hozzáférés kényszerítése az alkalmazásokban olyan részletes engedélyek engedélyezésével, amelyek lehetővé teszik a szükséges legkisebb hozzáférés biztosítását. Vegye figyelembe az alábbi eljárásokat, amelyek biztosítják, hogy betartsák a minimális jogosultság elvét:
- Értékelje ki a kért engedélyeket, hogy meggyőződjön arról, hogy az abszolút legkevésbé kiemelt jogosultság be van állítva a feladat elvégzéséhez. Ne hozzon létre "catch-all" engedélyeket a teljes API-felülethez való hozzáféréssel.
- API-k tervezésekor adjon részletes engedélyeket a legkevésbé kiemelt hozzáférés engedélyezéséhez. Először osztja el a funkciókat és az adathozzáférést olyan szakaszokra, amelyek hatókörök és alkalmazásszerepkörök használatával vezérelhetők. Ne adjon hozzá API-kat a meglévő engedélyekhez úgy, hogy az módosítsa az engedély szemantikáját.
- Csak olvasási engedélyeket kínál.
Writehozzáférési jogosultságokat tartalmaz a létrehozási, frissítési és törlési műveletekhez. Az ügyfélnek soha nem kell írási hozzáférést kérnie csak olvasási adatokhoz. - Delegált és alkalmazásengedélyeket is kínál. Az alkalmazásengedélyek kihagyása nehéz követelményeket teremthet az ügyfelek számára az olyan gyakori forgatókönyvek eléréséhez, mint az automatizálás, a mikroszolgáltatások és egyebek.
- Fontolja meg a "standard" és a "teljes" hozzáférési engedélyeket, ha bizalmas adatokkal dolgozik. Korlátozza a bizalmas tulajdonságokat, hogy például "standard" hozzáférési engedéllyel
Resource.Readne lehessen elérni őket. Ezután implementáljon egy "teljes" hozzáférési engedélyt, példáulResource.ReadFullaz összes elérhető tulajdonságot, beleértve a bizalmas információkat is.
A szabálysértés feltételezése
Az Microsoft Identitásplatform alkalmazásregisztrációs portál az elsődleges belépési pont azoknak az alkalmazásoknak, amelyek a platformot kívánják használni a hitelesítéshez és a kapcsolódó igényekhez. Az alkalmazások regisztrálása és konfigurálása során kövesse az alábbi eljárásokat, hogy minimalizálja azokat a károkat, amelyek biztonsági incidens esetén okozhatnak. További információkért tekintse meg a Microsoft Entra alkalmazásregisztrációs biztonsági ajánlott eljárásait.
Fontolja meg a következő műveleteket, amelyek megakadályozzák a biztonsági incidenseket:
- Megfelelően definiálja az alkalmazás átirányítási URI-jait. Ne használja ugyanazt az alkalmazásregisztrációt több alkalmazáshoz.
- Ellenőrizze az alkalmazásregisztrációban használt átirányítási URI-kat a tulajdonjog érdekében, és hogy elkerülje a tartományátvételeket. Csak akkor hozza létre az alkalmazást több-bérlősként, ha az a rendeltetése. |
- Győződjön meg arról, hogy az alkalmazás- és szolgáltatásnév-tulajdonosok mindig meg vannak határozva és karbantartva a bérlőben regisztrált alkalmazásokhoz.