Kiemelt hozzáférés: Közvetítők

A közbenső eszközök biztonsága a kiemelt hozzáférés biztosításának kritikus összetevője.

A közvetítők hivatkozást adnak a felhasználói vagy rendszergazdai munkamenet Teljes felügyelet garanciáinak láncához, így a munkamenet Teljes felügyelet biztonsági garanciáit fenn kell tartaniuk (vagy javítaniuk kell). A közvetítők közé tartoznak például a virtuális magánhálózatok (VPN-ek), a ugrókiszolgálók, a virtuális asztali infrastruktúra (VDI), valamint a hozzáférési proxykon keresztül történő alkalmazás-közzététel.

What is an intermediary?

A támadók megtámadhatják a közvetítőket, hogy a rajtuk tárolt hitelesítő adatokkal megkísérlik eszkalálni a jogosultságokat, hálózati távelérést szerezzenek a vállalati hálózatokhoz, vagy kihasználhassák az eszköz megbízhatóságát, ha Teljes felügyelet hozzáférési döntésekhez használják őket. A közvetítők megcélzása túl gyakorisá vált, különösen az olyan szervezetek esetében, amelyek nem tartják szigorúan az eszközök biztonsági állapotát. Például a VPN-eszközökről gyűjtött hitelesítő adatok.

Intermediary types and risks

A közvetítők célja és technológiája eltérő, de általában távelérést, munkamenet-biztonságot vagy mindkettőt biztosítanak:

  • Távelérés – A vállalati hálózatokhoz való hozzáférés engedélyezése az internetről
  • Munkamenet biztonsága – A munkamenetek biztonsági védelmének és láthatóságának növelése
    • Nem felügyelt eszközforgatókönyv – Felügyelt virtuális asztal biztosítása, amelyet nem felügyelt eszközök (például személyes alkalmazotti eszközök) és/vagy partner/szállító által felügyelt eszközök érhetnek el.
    • Rendszergazda istrator biztonsági forgatókönyv – A felügyeleti útvonalak összevonása és/vagy a biztonság növelése az időben való hozzáféréssel, a munkamenetek monitorozásával és rögzítésével, valamint hasonló képességekkel.

Annak biztosításához, hogy a biztonsági biztosítékok megmaradjanak a forráseszköztől és a fióktól az erőforrás-interfészen keresztül, ismerni kell a közvetítő és a kockázatcsökkentési lehetőségek kockázati profilját.

Támadói lehetőség és érték

A különböző köztes típusok egyedi funkciókat végeznek, így mindegyik más biztonsági megközelítést igényel, bár vannak olyan kritikus gyakoriságok, mint például a biztonsági javítások gyors alkalmazása berendezésekre, belső vezérlőprogramra, operációs rendszerekre és alkalmazásokra.

Comparing attacker opportunity and value for given intermediaries

A támadói lehetőséget az elérhető támadási felület képviseli, amelyet a támadási operátor a következő célként használhat:

  • Az olyan natív felhőszolgáltatások , mint a Microsoft Entra PIM, az Azure Bastion és a Microsoft Entra alkalmazásproxy korlátozott támadási felületet biztosítanak a támadók számára. Bár a nyilvános internethez vannak elérhetővé téve, az ügyfeleknek (és a támadóknak) nincs hozzáférésük a szolgáltatásokat nyújtó mögöttes operációs rendszerekhez, és általában a felhőszolgáltató automatizált mechanizmusai révén folyamatosan karbantartják és figyelik őket. Ez a kisebb támadási felület korlátozza a támadók számára elérhető lehetőségeket, szemben a klasszikus helyszíni alkalmazásokkal és berendezésekkel, amelyeket az informatikai személyzetnek kell konfigurálnia, javítania és figyelnie, akik gyakran túlterhelik az ütköző prioritásokat és a több biztonsági feladatot, mint amennyit el kell végezniük.
  • A virtuális magánhálózatok (VPN-ek) és a távoli asztali ugrókiszolgálók / gyakran jelentős támadói lehetőségekkel rendelkeznek, mivel az interneten keresztül biztosítják a távelérést, és e rendszerek karbantartását gyakran figyelmen kívül hagyják. Bár csak néhány hálózati port van közzétéve, a támadóknak csak egy nem támogatott szolgáltatáshoz kell hozzáférniük egy támadáshoz.
  • A külső PIM-/PAM-szolgáltatásokat gyakran üzemeltetik a helyszínen vagy virtuális gépként az infrastruktúra szolgáltatásként (IaaS), és általában csak intranetes gazdagépek számára érhetők el. Bár nem érhető el közvetlenül az internet, egyetlen feltört hitelesítő adat lehetővé teheti, hogy a támadók VPN-en vagy más távelérési adathordozón keresztül férhessenek hozzá a szolgáltatáshoz.

A támadó értéke azt jelzi, hogy a támadó mit nyerhet egy közvetítő kompromittáló használatával. A biztonsági rést olyan támadóként definiáljuk, aki teljes körű ellenőrzést szerez az alkalmazás/virtuális gép és/vagy a felhőszolgáltatás ügyfélpéldányának rendszergazdája felett.

A támadók által a támadás következő szakaszában begyűjthető összetevők a következők:

  • Hálózati kapcsolat lekérése a nagyvállalati hálózatokon lévő legtöbb vagy az összes erőforrással való kommunikációhoz. Ezt a hozzáférést általában VPN-ek és távoli asztali/jumpkiszolgáló-megoldások biztosítják. Bár az Azure Bastion és a Microsoft Entra alkalmazásproxy (vagy hasonló külső megoldások) is biztosítják a távelérést, ezek a megoldások általában alkalmazás- vagy kiszolgálóspecifikus kapcsolatok, és nem biztosítanak általános hálózati hozzáférést
  • Eszközidentitás megszemélyesítése – legyőzheti Teljes felügyelet mechanizmusokat, ha egy eszköz szükséges a hitelesítéshez, és/vagy a támadók a célhálózatok intelligenciájának gyűjtésére használják. A biztonsági műveleti csapatok gyakran nem figyelik szorosan az eszközfiókok tevékenységeit, és csak a felhasználói fiókokra összpontosítanak.
  • Fiók hitelesítő adatainak ellopása az erőforrásokhoz való hitelesítéshez, amely a támadók számára a legértékesebb eszköz, mivel lehetővé teszi a jogosultságok emelésének lehetőségét a végső cél eléréséhez vagy a támadás következő szakaszához. A távoli asztali / jump-kiszolgálók és a külső PIM/PAM a legvonzóbb célpontok, és a "Minden tojás egy kosárban" dinamikus, nagyobb támadói értékkel és biztonsági kockázatokkal:
    • A PIM-/PAM-megoldások általában a legtöbb vagy az összes kiemelt szerepkör hitelesítő adatait tárolják a szervezetben, így rendkívül jövedelmező célpontok a biztonság és a fegyverzet szempontjából.
    • A Microsoft Entra PIM nem teszi lehetővé a támadók számára a hitelesítő adatok ellopásának lehetőségét, mivel feloldja az MFA-t vagy más munkafolyamatokat használó fiókhoz már hozzárendelt jogosultságokat, de a rosszul megtervezett munkafolyamatok lehetővé tehetik a támadók számára a jogosultságok eszkalálását.
    • A rendszergazdák által használt távoli asztali/ jumpkiszolgálók olyan gazdagépet biztosítanak, amelyen keresztül számos vagy minden bizalmas munkamenet áthalad, így a támadók szabványos hitelesítőadat-lopási támadási eszközöket használhatnak a hitelesítő adatok ellopásához és újbóli felhasználásához.
    • A VPN-ek a megoldásban tárolhatják a hitelesítő adatokat, így a támadók potenciálisan emelhetik a jogosultságok eszkalálódását, ami azt eredményezi, hogy a Microsoft Entra ID-t érdemes használni a hitelesítéshez a kockázat csökkentése érdekében.

Köztes biztonsági profilok

Ezeknek a biztosítékoknak a megállapításához biztonsági ellenőrzések kombinációjára van szükség, amelyek közül néhány sok közvetítő esetében gyakori, és amelyek némelyike a közvetítő típusára jellemző.

Intermediaries as a link in the Zero Trust chain

A közvetítő egy hivatkozás a Teljes felügyelet láncban, amely egy felületet jelenít meg a felhasználók/eszközök számára, majd engedélyezi a hozzáférést a következő felülethez. A biztonsági vezérlőknek foglalkozniuk kell a bejövő kapcsolatokkal, magának a közvetítő eszköznek/alkalmazásnak/szolgáltatásnak a biztonságával, és (ha vannak) Teljes felügyelet biztonsági jeleket kell megadniuk a következő interfészhez.

Gyakori biztonsági vezérlők

A közvetítők közös biztonsági elemei a nagyvállalati és specializált szintek megfelelő biztonsági higiéniáinak fenntartására összpontosítanak, a jogosultsági biztonságra vonatkozó további korlátozásokkal.

Common security controls for intermediaries

Ezeket a biztonsági ellenőrzéseket minden közvetítőtípusra alkalmazni kell:

  • Bejövő kapcsolat biztonságának kényszerítése – A Microsoft Entra-azonosító és a feltételes hozzáférés használatával biztosíthatja, hogy az eszközök és fiókok bejövő kapcsolatai ismertek, megbízhatók és engedélyezettek legyenek. További információkért tekintse meg a nagyvállalati és specializált eszközökre és fiókokra vonatkozó követelmények részletes definícióinak szekvenálási emelt szintű felületeit ismertető cikket.
  • Megfelelő rendszerkarbantartás – Minden közvetítőnek a megfelelő biztonsági higiéniai eljárásokat kell követnie, beleértve a következőket:
    • Biztonságos konfiguráció – Kövesse a gyártói vagy iparági biztonsági konfigurációk alapkonfigurációit és ajánlott eljárásait mind az alkalmazás, mind az alapul szolgáló operációs rendszerek, felhőszolgáltatások vagy egyéb függőségek esetében. A Microsoft vonatkozó útmutatása tartalmazza az Azure biztonsági alapkonfigurációját és a Windows alapkonfigurációit.
    • Gyors javítás – A gyártók biztonsági frissítéseit és javításait a kiadás után gyorsan alkalmazni kell.
  • A szerepköralapú hozzáférés-vezérlési (RBAC) modelleket a támadók visszaélhetik a jogosultságok eszkalálása érdekében. A közvetítő RBAC-modelljét gondosan át kell vizsgálni annak biztosítása érdekében, hogy csak a specializált vagy emelt szintű védelem alatt álló személyek kapjanak rendszergazdai jogosultságokat. Ennek a modellnek tartalmaznia kell minden mögöttes operációs rendszert vagy felhőszolgáltatást (fő fiókjelszó, helyi rendszergazdai felhasználók/csoportok, bérlői rendszergazdák stb.).
  • Végpontészlelés és válasz (Végponti észlelés és reagálás) és kimenő megbízhatósági jel – A teljes operációs rendszert tartalmazó eszközöket monitorozni és védeni kell egy Végponti észlelés és reagálás, például Végponthoz készült Microsoft Defender. Ezt a vezérlőt úgy kell konfigurálni, hogy eszközmegfelelési jeleket biztosítson a feltételes hozzáféréshez, hogy a szabályzat érvényesíthesse ezt a követelményt a felületeken.

A kiemelt közvetítők további biztonsági vezérlőket igényelnek:

  • Szerepköralapú hozzáférés-vezérlés (RBAC) – a Rendszergazda istrative jogosultságokat csak olyan kiemelt szerepkörökre kell korlátozni, amelyek megfelelnek a munkaállomások és fiókok szabványának.
  • Dedikált eszközök (nem kötelező) – a kiemelt munkamenetek rendkívüli érzékenysége miatt a szervezetek dönthetnek úgy, hogy dedikált köztes függvénypéldányokat implementálnak a kiemelt szerepkörökhöz. Ez a vezérlő további biztonsági korlátozásokat tesz lehetővé ezekre a kiemelt közvetítőkre, valamint a kiemelt szerepkörök tevékenységének szorosabb monitorozását.

Biztonsági útmutató az egyes közvetítőtípusokhoz

Ez a szakasz az egyes közvetítőtípusokra egyedi biztonsági útmutatást tartalmaz.

Privileged Access Management /Privileged Identity Management

A kifejezetten a biztonsági használati esetekre tervezett közvetítők egyik típusa a kiemelt identitáskezelés/ emelt szintű hozzáférés-kezelési (PIM/PAM) megoldások.

Esetek és forgatókönyvek használata a PIM-hez/PAM-hoz

A PIM/PAM-megoldások célja, hogy növeljék a speciális vagy kiemelt profilokkal lefedett bizalmas fiókok biztonsági garanciáit, és általában elsősorban az informatikai rendszergazdákra összpontosítanak.

Bár a funkciók eltérőek a PIM-/PAM-szállítók között, számos megoldás nyújt biztonsági képességeket a következőkhöz:

  • Szolgáltatásfiókok kezelésének és jelszóváltásának egyszerűsítése (kritikus fontosságú képesség)

  • Speciális munkafolyamatok biztosítása a megfelelő időben (JIT) való hozzáféréshez

  • Felügyeleti munkamenetek rögzítése és figyelése

    Fontos

    A PIM/PAM képességek kiváló megoldásokat nyújtanak bizonyos támadások esetén, de nem foglalkoznak számos privielged hozzáférési kockázattal, különösen az eszközök sérülésének kockázatával. Míg egyes gyártók azt támogatják, hogy a PIM/PAM-megoldás egy "ezüstjeles" megoldás, amely mérsékelheti az eszköz kockázatát, az ügyfélesemények vizsgálatával kapcsolatos tapasztalataink következetesen bizonyították, hogy ez a gyakorlatban nem működik.

    A munkaállomás vagy eszköz vezérlésével rendelkező támadók használhatják ezeket a hitelesítő adatokat (és a hozzájuk rendelt jogosultságokat), miközben a felhasználó be van jelentkezve (és gyakran ellophatják a hitelesítő adatokat későbbi használatra is). A PIM-/PAM-megoldások önmagukban nem tudják következetesen és megbízhatóan látni és csökkenteni ezeket az eszközkockázatokat, ezért különálló eszköz- és fiókvédelemmel kell rendelkezniük, amelyek kiegészítik egymást.

Biztonsági kockázatok és javaslatok a PIM-hez/PAM-hoz

Az egyes PIM-/PAM-szállítók képességei eltérőek a biztonságuk módjától, ezért tekintse át és kövesse a gyártó konkrét biztonsági konfigurációs javaslatait és ajánlott eljárásait.

Megjegyzés:

Győződjön meg arról, hogy beállít egy második személyt az üzleti szempontból kritikus munkafolyamatokban, hogy segítsen csökkenteni a belső kockázatokat (növeli a költségeket/súrlódást az insider fenyegetésekkel való lehetséges összejátszáshoz).

Végfelhasználói virtuális magánhálózatok

A virtuális magánhálózatok (VPN-ek) olyan közvetítők, amelyek teljes hálózati hozzáférést biztosítanak a távoli végpontokhoz, általában megkövetelik a végfelhasználó hitelesítését, és helyileg tárolhatják a hitelesítő adatokat a bejövő felhasználói munkamenetek hitelesítéséhez.

Megjegyzés:

Ez az útmutató csak a felhasználók által használt "pont–hely" VPN-ekre vonatkozik, nem pedig a "helyek közötti" VPN-ekre, amelyeket általában az adatközpontok/alkalmazások kapcsolatára használnak.

Esetek és forgatókönyvek használata VPN-ekhez

A VPN-ek távoli kapcsolatot létesítenek a vállalati hálózattal, hogy lehetővé tegyék az erőforrás-hozzáférést a felhasználók és rendszergazdák számára.

Biztonsági kockázatok és javaslatok VPN-ekhez

A VPN-közvetítők számára a legkritikusabb kockázat a karbantartás elhanyagolása, a konfigurációs problémák és a hitelesítő adatok helyi tárolása.

A Microsoft a VPN-közvetítők vezérlőinek kombinációját javasolja:

  • A Microsoft Entra-hitelesítés integrálása – a helyileg tárolt hitelesítő adatok kockázatának csökkentése vagy kiküszöbölése (valamint a karbantartásukhoz szükséges többletterhelés), valamint Teljes felügyelet szabályzatok kényszerítése feltételes hozzáféréssel rendelkező bejövő fiókokra/eszközökre. Az integrációval kapcsolatos útmutatásért lásd:
  • Gyors javítás – Győződjön meg arról, hogy minden szervezeti elem támogatja a gyors javítást, beleértve a következőket:
    • Szervezeti szponzorálás és vezetői támogatás a követelményekhez
    • A VPN-ek minimális vagy nulla állásidővel történő frissítésének szabványos technikai folyamatai . Ennek a folyamatnak tartalmaznia kell a VPN-szoftvereket, berendezéseket, valamint az alapul szolgáló operációs rendszereket vagy belső vezérlőprogramokat
    • Kritikus biztonsági frissítések gyors üzembe helyezésének vészhelyzeti folyamatai
    • Irányítás a kihagyott elemek folyamatos felderítéséhez és szervizeléséhez
  • Biztonságos konfiguráció – Az egyes VPN-szállítók képességei eltérőek a biztonságossá tételük módjától, ezért tekintse át és kövesse a gyártó konkrét biztonsági konfigurációs javaslatait és ajánlott eljárásait
  • Továbblépés a VPN-en – A VPN-eket idővel biztonságosabb lehetőségekre cserélheti, például a Microsoft Entra alkalmazásproxyt vagy az Azure Bastiont, mivel ezek csak közvetlen alkalmazás- és kiszolgálóhozzáférést biztosítanak a teljes hálózati hozzáférés helyett. Emellett a Microsoft Entra alkalmazásproxy lehetővé teszi a munkamenet-figyelést a Felhőhöz készült Microsoft Defender Apps szolgáltatással való további biztonság érdekében.

Modernize VPN authentication and move apps to modern access

Microsoft Entra alkalmazásproxy

A Microsoft Entra-alkalmazásproxy és a hasonló külső képességek távoli hozzáférést biztosítanak a helyszínen vagy a felhőben található IaaS virtuális gépeken üzemeltetett örökölt és egyéb alkalmazásokhoz.

Esetek és forgatókönyvek használata a Microsoft Entra alkalmazásproxyhoz

Ez a megoldás alkalmas régi végfelhasználói hatékonyságnövelő alkalmazások közzétételére a jogosult felhasználók számára az interneten keresztül. Egyes felügyeleti alkalmazások közzétételére is használható.

Biztonsági kockázatok és javaslatok a Microsoft Entra alkalmazásproxyhoz

A Microsoft Entra alkalmazásproxy hatékonyan átalakítja a modern Teljes felügyelet szabályzatkényszerítést a meglévő alkalmazásokra. További információ: A Microsoft Entra alkalmazásproxy biztonsági szempontjai

A Microsoft Entra alkalmazásproxy a Felhőhöz készült Microsoft Defender-alkalmazásokkal is integrálható a feltételes hozzáférésű alkalmazásvezérlő munkamenet-biztonságának hozzáadásához a következőhöz:

  • Adatkiszivárgás megakadályozása
  • Védelem letöltés után
  • Címkézetlen fájlok feltöltésének megakadályozása
  • Felhasználói munkamenetek figyelése a megfelelőség érdekében
  • Hozzáférés letiltása
  • Egyéni tevékenységek letiltása

További információ: Felhőhöz készült Defender-alkalmazások feltételes hozzáférésű alkalmazásvezérlésének üzembe helyezése Microsoft Entra-alkalmazásokhoz

Amikor alkalmazásokat tesz közzé a Microsoft Entra alkalmazásproxyján keresztül, a Microsoft azt javasolja, hogy az alkalmazástulajdonosok a biztonsági csapatokkal együttműködve kövessék a minimális jogosultságot, és biztosítsák, hogy az egyes alkalmazásokhoz való hozzáférés csak az azt igénylő felhasználók számára legyen elérhető. Ha így több alkalmazást helyez üzembe, előfordulhat, hogy el tudja ellensúlyozni a végfelhasználói pont és a hely VPN-használatát.

Távoli asztal / jump server

Ez a forgatókönyv egy vagy több alkalmazást futtató teljes asztali környezetet biztosít. Ez a megoldás számos különböző változatot tartalmaz, például:

  • Élmények – Teljes asztal egy ablakban vagy egyetlen alkalmazás által előrejelzett felületen
  • Távoli gazdagép – lehet megosztott virtuális gép vagy dedikált asztali virtuális gép a Windows Virtual Desktop (WVD) vagy egy másik VDI-megoldás használatával.
  • Helyi eszköz – lehet mobileszköz, felügyelt munkaállomás vagy személyes/partner által felügyelt munkaállomás
  • Forgatókönyv – a felhasználói hatékonyságnövelő alkalmazásokra vagy a felügyeleti forgatókönyvekre összpontosít, amelyet gyakran "jump servernek" is neveznek

Esetek és biztonsági javaslatok használata távoli asztalhoz/ jump serverhez

A leggyakoribb konfigurációk a következők:

  • Közvetlen távoli asztali protokoll (RDP) – Ez a konfiguráció nem ajánlott internetkapcsolatokhoz, mert az RDP egy olyan protokoll, amely korlátozott védelmet nyújt a modern támadások, például a jelszópermet ellen. A közvetlen RDP-t a következőre kell konvertálni:
    • RDP a Microsoft Entra alkalmazásproxy által közzétett átjárón keresztül
    • Azure Bastion
  • RDP átjárón keresztül
    • A Windows Server tartalmazza a Távoli asztali szolgáltatásokat (RDS). Közzététel a Microsoft Entra alkalmazásproxyval.
    • Windows Virtual Desktop (WVD) – Kövesse a Windows Virtual Desktop biztonsági ajánlott eljárásait.
    • Külső VDI – Gyártói vagy iparági ajánlott eljárások követése, vagy A WVD útmutatójának adaptálása a megoldáshoz
  • Secure Shell-kiszolgáló (SSH) – távoli rendszerhéj és szkriptelés biztosítása a technológiai részlegek és a számítási feladatok tulajdonosai számára. A konfiguráció biztonságossá tételének a következőket kell tartalmaznia:
    • Az iparági/gyártói ajánlott eljárásokat követve biztonságosan konfigurálhatja azt, módosíthatja az alapértelmezett jelszavakat (ha vannak), és jelszavak helyett SSH-kulcsokat használhat, valamint biztonságosan tárolhatja és kezelheti az SSH-kulcsokat.
    • Az Azure Bastion használata SSH-remotáláshoz az Azure-ban üzemeltetett erőforrásokra – Csatlakozás Linux rendszerű virtuális gépre az Azure Bastion használatával

Azure Bastion

Az Azure Bastion egy közvetítő, amely úgy lett kialakítva, hogy biztonságos hozzáférést biztosítson az Azure-erőforrásokhoz egy böngésző és az Azure Portal használatával. Az Azure Bastion olyan hozzáférési erőforrásokat biztosít az Azure-ban, amelyek támogatják a Távoli asztali protokoll (RDP) és a Secure Shell (SSH) protokollokat.

Esetek és forgatókönyvek használata az Azure Bastionhoz

Az Azure Bastion hatékonyan biztosít egy rugalmas megoldást, amelyet az informatikai üzemeltetési személyzet és a számítási feladatok rendszergazdái az it-n kívül is használhatnak az Azure-ban üzemeltetett erőforrások kezeléséhez anélkül, hogy teljes VPN-kapcsolatot kellene létesítenie a környezettel.

Biztonsági kockázatok és javaslatok az Azure Bastionhoz

Az Azure Bastion az Azure Portalon keresztül érhető el, így győződjön meg arról, hogy az Azure Portal felülete megfelelő szintű biztonságot igényel a benne lévő erőforrásokhoz és az azt használó szerepkörökhöz, általában emelt szintű vagy speciális szinten.

További útmutatás az Azure Bastion dokumentációjában érhető el

Következő lépések