Az összes bérlő és erőforrásaik védelme (Biztonságos jövő kezdeményezés)

Pillér neve: Bérlők védelme és gyártási rendszerek elkülönítése
Minta neve: Az összes bérlő és erőforrásaik védelme

A nem követett bérlők biztonsági kockázatainak és a viszbilitás hiányának csökkentése érdekében a Microsoft implementálta az összes bérlő és az erőforrás-minta biztonságossá tételét. Ez biztosítja az összes bérlő átfogó irányítását és biztonságát, összhangban a zéró megbízhatósági elvekkel.

Környezet és probléma

A bérlői biztonság első lépése a felderítés. Teljes leltár nélkül a biztonság és a szabályozás nem lehet sikeres. Számos szervezet nem ismeri az aktív, örökölt és árnyékbérlelőket, így a nyomon nem követett környezetek ki vannak téve a kihasználtságnak.

A Microsoft nagy mértékben fektetett be az összes bérlő azonosításába és katalogizálásába a környezeteiben. Ez magában foglalja a termelést, a termelékenységet/tesztelést és a rövid élettartamú bérlőket. A robusztus felderítési és életciklus-szabályozás nélkül még a látszólag alacsony kockázatú bérlők is árnyékinfrastruktúramá válhatnak – figyeletlenek, nem felügyeltek és kihasználhatók a támadók számára.

A legfontosabb kockázatok a következők:

• Oldalirányú mozgás a nem éles bérlőkről az éles bérlőkre.
• Elöregedett vagy inaktív bérlők biztonsági alapértékek vagy életciklus-vezérlők nélkül.
• Megosztott titkos kódok és helytelen konfigurációk, amelyek lehetővé teszik a hitelesítő adatok újbóli felhasználását a bérlők között.

Solution

A Biztonságos jövő kezdeményezés (SFI) részeként a Microsoft a bérlői alapkonfigurációk kikényszerítésével, az életciklus-kezelés szabályozásával és a felhőkörnyezetek védelmének szabványosításával valósította meg az összes bérlő és erőforrás biztonságossá tételét.

• Szabványos biztonsági naplózási kódtár: Egységes adatrögzítést biztosít a szolgáltatások között, csökkentve a megfigyelhetőségi hiányosságokat.
• Központosított naplógyűjtés: A specializált nyomozófiókok egységes hozzáférést biztosítanak a szolgáltatásközi naplókhoz, leegyszerűsítve a korrelációt és felgyorsítják a vizsgálatokat.
• Bővített naplómegőrzés: A Microsoft-szolgáltatásokban legfeljebb két évig megőrzött naplók, amelyek lehetővé teszik a hosszú távú támadási minták kriminalisztikai vizsgálatát.
• Fejlett detektálási elemzések: A gépi tanulás és az AI-alapú modellek integrációja javítja az összetett támadási technikák észlelését, és csökkenti a hamis pozitívumokat.
• Bővített ügyfélnaplózás: A Microsoft 365-ügyfelek számára 180 napra növelte a standard naplózási naplók megőrzését, és a hosszabb megőrzési lehetőségeket is lehetővé tette.

A Microsoft megközelítése a következőket tartalmazza:

• Biztonsági alapkonfigurációk: Előre konfigurált bérlői biztonsági sablonok a konzisztencia biztosítása és a megkeményedés felgyorsítása érdekében.
• Bérlőbesorolás és életciklus-szabályozás: A bérlők cél szerinti kategorizálása (termelés, termelékenység, kiegészítő, rövid élettartam) és az alapértelmezett vezérlők ennek megfelelően történő alkalmazása. 
• Feltételes hozzáférés kényszerítése: A hitelesítés és az engedélyezés nagy léptékű szabályozása, beleértve a rövid élettartamú bérlőket és a nem felügyelt fiókokat.
• Biztonságos rendszergazdai munkaállomások (SAW-k):: Hardver által izolált eszközök, amely elkülöníti a kiemelt jogosultságokat a termelékenységhez való hozzáféréstől.
• Monitorozás és elemzés: Központi biztonsági adatok naplózási naplókon, Microsoft Secure Score-on és Defender-integráción keresztül.
• Titkos kódok kezelése és hitelesítő adatok elkülönítése: A bérlők közötti megosztott titkos kódok megakadályozása és az adathalászatnak ellenálló MFA kényszerítése.
• Oldalirányú mozgás megelőzése: Megakadályozta az oldalirányú mozgást az éles és a nem éles bérlők elkülönítésével.
• Örökölt és inaktív bérlők: Az örökölt és inaktív bérlők leszerelése életciklus-auditok révén történt.
• Biztonsági láthatóság: Javult biztonsági állapot láthatósága a Secure Score segítségével a bérlői rendszerflotta számára.
• Bérlői terjeszkedés: Csökkentett bérlői terjeszkedés és szigorú ellenőrzések bevezetése az új bérlők létrehozásával kapcsolatban.

Ezek a lépések biztosítják, hogy az összes bérlő – függetlenül a céltól vagy a forrástól – látható, szabályozott és védett legyen a zéró megbízhatósági alapelveknek megfelelően.

Útmutatás

A szervezetek a következő végrehajtható eljárásokkal alkalmazhatnak hasonló mintát:

Felhasználási eset	Javasolt művelet	Resource
Alapkonfiguráció biztonsági vezérlői	Alkalmazza a Microsoft biztonsági alapértelmezett beállításait az összes bérlőre, majd a Nagyvállalati szintű megkeményítéshez a Microsoft 365 Lighthouse alapkonfigurációival bővítse ki.	A Microsoft Entra ID biztonsági alapértelmezett beállításainak konfigurálása A Microsoft 365 Lighthouse alapkonfigurációinak standard bérlőkonfigurációk üzembe helyezéséhez való használatának áttekintése Architektúrastratégiák biztonsági alapkonfiguráció létrehozásához
Feltételes hozzáférés	Alapszintű feltételes hozzáférési (CA) szabályzatok üzembe helyezése: tiltsa le az örökölt hitelesítést, követelje meg az MFA-t minden felhasználó számára, és kényszerítse ki a kiemelt szerepkörök eszközmegfelelőségét. Terjeszkedjen kockázatalapú és helyérzékeny szabályzatok alkalmazásával.	Feltételes hozzáférési szabályzatsablonok – Microsoft Entra-azonosító A Microsoft Entra feltételes hozzáférés üzembe helyezésének megtervezése Ajánlott eljárások a Microsoft Entra-azonosítóval való védelemhez
Kiváltságos hozzáférés-kezelés	Használja a Privileged Identity Management (PIM) szolgáltatást az "igény szerinti hozzáférés" (JIT) és a "csak a szükséges szintű hozzáférés" (JEA) biztosítására, hogy minimalizálja a folyamatos rendszergazdai jogosultságokat.	Privileged Identity Management-telepítés megtervezése Microsoft Entra-szerepkörök aktiválása a PIM-ben – Microsoft Entra ID Governance
Bérlők elkülönítése	Elkülöníti a termelési és a nem termelési bérlőket. A megosztott rendszergazdai fiókok és alkalmazásregisztrációk kiküszöbölése a környezetekben. Különböző feltételes hozzáférési alapkonfigurációk alkalmazása bérlőtípusonként.	Erőforrások elkülönítése több bérlő esetén a Microsoft Entra ID biztonságával Bérlőközi bejövő és kimenő hozzáférés korlátozása – Power Platform
Monitorozás és fenyegetésészlelés	A Microsoft Defender for Identity (helyszíni AD-jelek) és a Microsoft Entra ID Protection (felhőalapú kockázati jelek) kombinálása. Központosítsa a monitorozást az oldalirányú mozgás, a tokenlopás és a rendellenes bejelentkezési viselkedés észleléséhez.	A Microsoft Defender for Identity üzembe helyezése – áttekintés Mi a Microsoft Entra ID Protection? Mik azok a kockázatészlelések? – Microsoft Entra ID védelem

Előnyök

• Szabványosított keményítés: A biztonsági alapkonfigurációk biztosítják, hogy minden bérlő megfeleljen a minimális védelmi küszöbértékeknek.
• Csökkentett támadási felület: Az örökölt, árnyékolt és nem használt bérlőket rendszeresen kivonjuk.
• Továbbfejlesztett irányítás: A központi leltár és besorolás a folyamatos megfelelőséget és felügyeletet támogatja.
• Szabályozott hozzáférés: A feltételes hozzáférés, a szerepköralapú hozzáférés-vezérlés (RBAC) és a többtényezős hitelesítés (MFA) védi az identitásokat, és korlátozza a külső megosztási kockázatokat.
• Továbbfejlesztett észlelés és válasz: Az integrált biztonsági adatok és naplók minden bérlő számára láthatóságot biztosítanak.

Kompromisszumok

Ennek a megközelítésnek a megvalósítása a következőt igényli:

• A bérlői életciklus-szabályzatok központosított tulajdonjogának létrehozása. 
• Befektetés az automatizálásba (alapértelmezett szabályzatalkalmazás, lejárati munkafolyamatok).
• A hozzáférési modellek lehetséges újraarchitektúrája (például a prod/nem prod elkülönítése). A SAW bevezetése az eszközök kezdeti összetettségét és költségeit mutatja be.
• Az árnyékbérlelők és a hitelesítő adatok újbóli felhasználásának megszüntetéséhez szükséges betanítás és kényszerítés.

Főbb sikertényezők

A siker nyomon követéséhez mérje a következőket:

• A kikényszerített biztonsági alapkonfigurációkkal rendelkező bérlők százalékos aránya
• A leszerelt örökölt vagy árnyékbérlelők száma
• Központosított leltár- és megfelelőségi jelentések lefedettsége
• Az engedélyezett MFA-val rendelkező identitások százalékos aránya
• Biztonságos pontszám javítása a Microsoft Biztonságos pontszám metrikáiban
• Blokkolt előző hitelesítési kísérletek vagy illegális megosztási események mennyisége

Összefoglalás

Az összes bérlő és erőforrásaik biztonságossá tétele a Microsoft SFI-pilléreihez tartozik: a biztonságos tervezés, az alapértelmezés szerinti biztonság és a biztonságos műveletek.

Az alapszintű szabályzatok, az életciklus-szabályozás és a folyamatos felügyelet révén a szervezetek csökkenthetik a kockázatokat, konzisztens védelmet alkalmazhatnak, és megakadályozhatják, hogy az árnyékinfrastruktúra aláássa a biztonságot. Nagy léptékben ez biztosítja, hogy minden személyazonosság, hozzáférési pont és bérlő már a tervezéskor biztosítva van.