Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Berlaku untuk Power Platform rekomendasi daftar periksa Well-Architected Security:
| SE:04 | Buat segmentasi dan perimeter yang disengaja dalam desain arsitektur Anda dan jejak beban kerja pada platform. Strategi segmentasi harus mencakup jaringan, peran dan tanggung jawab, identitas beban kerja, dan organisasi sumber daya. |
|---|
Strategi segmentasi menentukan bagaimana Anda memisahkan beban kerja dari beban kerja lain dengan serangkaian persyaratan dan ukuran keamanannya sendiri.
Panduan ini menjelaskan rekomendasi untuk membangun strategi segmentasi terpadu. Dengan menggunakan perimeter dan batasan isolasi dalam beban kerja, Anda dapat merancang pendekatan keamanan yang sesuai untuk Anda.
Definisi
| Istilah | Devinisi |
|---|---|
| Penahanan | Suatu teknik untuk membatasi radius ledakan jika penyerang memperoleh akses ke suatu segmen. |
| Akses dengan hak istimewa paling rendah | Prinsip Zero Trust yang bertujuan meminimalkan serangkaian izin untuk menyelesaikan fungsi pekerjaan. |
| Perimeter | Batasan kepercayaan di sekitar suatu segmen. |
| Organisasi sumber daya | Suatu strategi untuk mengelompokkan sumber daya terkait berdasarkan aliran dalam suatu segmen. |
| Peran | Seperangkat izin yang dibutuhkan untuk menyelesaikan fungsi pekerjaan. |
| Segmen | Unit logis yang terisolasi dari entitas lain dan dilindungi oleh serangkaian tindakan keamanan. |
Strategi desain utama
Konsep segmentasi umumnya digunakan untuk jaringan. Namun, prinsip dasar yang sama dapat digunakan di seluruh solusi, termasuk segmentasi sumber daya untuk tujuan manajemen dan kontrol akses.
Segmentasi membantu Anda merancang pendekatan keamanan yang menerapkan pertahanan berlapis berdasarkan prinsip model Zero Trust. Pastikan penyerang yang melanggar satu segmen tidak dapat memperoleh akses ke segmen lain dengan mengelompokkan beban kerja dengan kontrol identitas yang berbeda. Dalam sistem yang aman, atribut yang berbeda, seperti jaringan dan identitas, digunakan untuk memblokir akses tidak sah dan menyembunyikan aset agar tidak terekspos.
Berikut adalah beberapa contoh segmen:
- Kontrol platform yang menentukan batasan jaringan
- Lingkungan yang mengisolasi beban kerja suatu organisasi
- Solusi yang mengisolasi aset beban kerja
- Lingkungan penerapan yang mengisolasi penerapan berdasarkan tahapan
- Tim dan peran yang mengisolasi fungsi pekerjaan yang terkait dengan pengembangan dan manajemen beban kerja
- Tingkatan aplikasi yang diisolasi berdasarkan utilitas beban kerja
- Layanan mikro yang mengisolasi satu layanan dari layanan lainnya
Pertimbangkan elemen-elemen kunci segmentasi berikut untuk memastikan Anda membangun strategi pertahanan yang komprehensif dan mendalam:
Batas atau perimeter adalah tepi masuk segmen tempat Anda menerapkan kontrol keamanan. Kontrol perimeter harus memblokir akses ke segmen tersebut kecuali diizinkan secara tegas. Sasarannya adalah untuk mencegah penyerang menerobos perimeter dan menguasai sistem. Misalnya, pengguna mungkin memiliki akses ke suatu lingkungan tetapi hanya dapat meluncurkan aplikasi tertentu di lingkungan tersebut berdasarkan izin mereka.
Penahanan adalah tepi keluar suatu segmen yang mencegah pergerakan lateral dalam sistem. Tujuan penahanan adalah untuk meminimalkan dampak pelanggaran. Misalnya, jaringan virtual dapat digunakan untuk mengonfigurasi perutean dan grup keamanan jaringan agar hanya mengizinkan pola lalu lintas yang Anda harapkan, menghindari lalu lintas ke segmen jaringan yang sembarangan.
Isolasi adalah praktik pengelompokan entitas dengan jaminan serupa bersama-sama untuk melindunginya dengan batasan. Sasarannya adalah kemudahan pengelolaan dan penahanan serangan dalam suatu lingkungan. Misalnya, Anda dapat mengelompokkan sumber daya yang berkaitan dengan beban kerja tertentu ke dalam satu Power Platform lingkungan atau satu solusi, lalu menerapkan kontrol akses sehingga hanya tim beban kerja tertentu yang dapat mengakses lingkungan tersebut.
Penting untuk memperhatikan perbedaan antara perimeter dan isolasi. Perimeter mengacu pada titik lokasi yang harus diperiksa. Isolasi adalah tentang pengelompokan. Secara aktif menahan serangan dengan menggunakan konsep-konsep ini bersama-sama.
Isolasi tidak berarti menciptakan silo dalam organisasi. Strategi segmentasi terpadu memberikan keselarasan antara tim teknis dan menetapkan garis tanggung jawab yang jelas. Kejelasan mengurangi risiko kesalahan manusia dan kegagalan otomatisasi yang dapat menyebabkan kerentanan keamanan, waktu henti operasional, atau keduanya. Misalkan pelanggaran keamanan terdeteksi dalam komponen sistem perusahaan yang kompleks. Penting bagi setiap orang untuk memahami siapa yang bertanggung jawab atas sumber daya tersebut sehingga orang yang tepat dapat dimasukkan dalam tim triase. Organisasi dan pemangku kepentingan dapat dengan cepat mengidentifikasi cara menanggapi berbagai jenis insiden dengan membuat dan mendokumentasikan strategi segmentasi yang baik.
Kompromi: Segmentasi menimbulkan kompleksitas karena adanya overhead dalam manajemen.
Risiko: Mikro-segmentasi yang melampaui batas wajar akan menghilangkan manfaat isolasi. Bila Anda membuat terlalu banyak segmen, akan sulit untuk mengidentifikasi titik komunikasi atau menyediakan jalur komunikasi yang valid dalam segmen tersebut.
Identitas sebagai perimeter
Berbagai identitas seperti orang, komponen perangkat lunak, atau perangkat mengakses segmen beban kerja. Identitas adalah perimeter yang seharusnya menjadi garis pertahanan utama mengotentikasi dan mengotorisasi akses melintasi batas isolasi, terlepas dari mana permintaan akses berasal. Gunakan identitas sebagai perimeter untuk:
Tetapkan akses berdasarkan peran. Identitas hanya memerlukan akses ke segmen yang diperlukan untuk melakukan tugasnya. Minimalkan akses anonim dengan memahami peran dan tanggung jawab identitas yang meminta sehingga Anda mengetahui entitas yang meminta akses ke suatu segmen dan untuk tujuan apa.
Suatu identitas mungkin memiliki cakupan akses yang berbeda di segmen yang berbeda. Pertimbangkan pengaturan lingkungan yang umum, dengan segmen terpisah untuk setiap tahap. Identitas yang dikaitkan dengan peran pengembang memiliki akses baca-tulis ke lingkungan pengembangan. Saat penerapan beralih ke tahap persiapan, izin tersebut dibatasi. Pada saat beban kerja dipromosikan ke produksi, ruang lingkup bagi pengembang dikurangi menjadi akses baca saja.
Pertimbangkan identitas aplikasi dan manajemen secara terpisah. Pada sebagian besar solusi, pengguna memiliki tingkat akses yang berbeda dari pengembang atau operator. Dalam beberapa aplikasi, Anda mungkin menggunakan sistem identitas atau direktori yang berbeda untuk setiap jenis identitas. Pertimbangkan untuk membuat peran terpisah untuk setiap identitas.
Tetapkan akses dengan hak istimewa paling rendah. Jika identitas diizinkan akses, tentukan tingkat aksesnya. Mulailah dengan hak istimewa paling sedikit untuk setiap segmen dan perluas cakupan itu hanya bila diperlukan.
Dengan menerapkan hak istimewa paling sedikit, Anda membatasi dampak negatif jika identitas tersebut suatu saat dikompromikan. Jika akses dibatasi oleh waktu, permukaan serangan akan semakin berkurang. Akses terbatas waktu terutama berlaku untuk akun penting, seperti administrator atau komponen perangkat lunak yang identitasnya telah disusupi.
Untuk informasi tentang kontrol identitas, lihat Rekomendasi untuk manajemen identitas dan akses.
Berbeda dengan kontrol akses jaringan, identitas memvalidasi kontrol akses pada waktu akses. Sangat disarankan untuk melakukan tinjauan akses rutin dan memerlukan alur kerja persetujuan untuk mendapatkan hak istimewa untuk akun dampak penting.
Jaringan sebagai perimeter
Perimeter identitas bersifat agnostik jaringan sedangkan perimeter jaringan menambah identitas tetapi tidak pernah menggantikannya. Perimeter jaringan dibuat untuk mengontrol radius ledakan, memblokir akses yang tidak terduga, dilarang, dan tidak aman, serta mengaburkan sumber daya beban kerja.
Meskipun fokus utama perimeter identitas adalah hak istimewa paling sedikit, Anda harus berasumsi akan ada pelanggaran saat Anda merancang perimeter jaringan.
Buat perimeter yang ditentukan perangkat lunak dalam jejak jaringan Anda menggunakan Power Platform dan layanan dan fitur Azure. Saat beban kerja (atau bagian dari beban kerja tertentu) ditempatkan ke dalam segmen terpisah, Anda mengontrol lalu lintas dari atau ke segmen tersebut untuk mengamankan jalur komunikasi. Jika segmen disusupi, segmen tersebut terkandung dan dicegah menyebar secara lateral ke seluruh jaringan Anda.
Berpikir seperti penyerang untuk mencapai pijakan dalam beban kerja dan tetapkan kontrol untuk meminimalkan ekspansi lebih lanjut. Kontrol harus mendeteksi, menahan, dan menghentikan penyerang mendapatkan akses ke seluruh beban kerja. Berikut adalah beberapa contoh kontrol jaringan sebagai perimeter:
- Tentukan perimeter tepi Anda antara jaringan publik dan jaringan tempat beban kerja Anda ditempatkan. Batasi garis pandang dari jaringan publik ke jaringan Anda sebanyak mungkin.
- Buat batasan berdasarkan niat. Misalnya, mengelompokkan jaringan fungsional beban kerja dari jaringan operasional.
Peran dan tanggung jawab
Segmentasi yang mencegah kebingungan dan risiko keamanan dicapai dengan mendefinisikan garis tanggung jawab dengan jelas dalam tim beban kerja.
Dokumentasikan dan bagikan peran dan fungsi untuk menciptakan konsistensi dan memfasilitasi komunikasi. Tunjuk grup atau peran individu yang bertanggung jawab atas fungsi utama. Pertimbangkan peran Power Platform bawaan sebelum membuat peran kustom untuk objek.
Pertimbangkan konsistensi saat mengakomodasi beberapa model organisasi saat menetapkan izin untuk segmen. Model-model ini dapat berkisar dari satu grup TI terpusat hingga sebagian besar tim TI dan DevOps independen.
Organisasi sumber daya
Segmentasi memungkinkan Anda untuk mengisolasi sumber daya beban kerja dari bagian lain dari organisasi atau bahkan di dalam tim. Power Platform Konstruksi, seperti lingkungan dan solusi, adalah cara mengatur sumber daya Anda yang mempromosikan segmentasi.
Example
Tinjau arsitektur referensi tentang cara mengamankan akses Power Platform ke sumber daya di dalam jaringan virtual Anda. Artikel ini memberikan contoh skenario dan contoh arsitektur umum untuk mengilustrasikan cara mengamankan Power Platform akses ke sumber daya Azure dengan Azure Virtual Network.
Power Platform Fasilitasi
Bagian berikut menjelaskan Power Platform fitur dan kemampuan yang dapat Anda gunakan untuk menerapkan strategi segmentasi.
Identitas
Semua Power Platform produk menggunakan Microsoft Entra ID (sebelumnya Azure Active Directory atau Azure AD) untuk manajemen identitas dan akses. Anda dapat menggunakan peran keamanan bawaan, akses bersyarat, manajemen identitas istimewa, dan manajemen akses grup di Entra ID untuk menentukan perimeter identitas Anda.
Microsoft Dataverse Menggunakan keamanan berbasis peran untuk mengelompokkan kumpulan hak istimewa. Peran keamanan ini dapat dikaitkan secara langsung dengan pengguna, atau mereka dapat dikaitkan dengan tim dan unit bisnis Dataverse. Untuk informasi selengkapnya, lihat Konsep keamanan di. Microsoft Dataverse
Jaringan
Dengan dukungan Azure Virtual Network untuk, Anda dapat berintegrasi Power Platformdengan sumber daya di Power Platform dalam jaringan virtual Anda tanpa mengeksposnya melalui internet publik. Dukungan Jaringan Virtual menggunakan delegasi subnet Azure untuk mengelola lalu lintas keluar dari Power Platform saat runtime. Menggunakan delegasi menghindari kebutuhan akan sumber daya yang dilindungi untuk bepergian melalui internet untuk berintegrasi Power Platform. Virtual Network, Dataverse, dan Power Platform komponen dapat memanggil sumber daya yang dimiliki oleh perusahaan Anda di dalam jaringan Anda, baik yang dihosting di Azure atau lokal, dan menggunakan plug-in dan konektor untuk melakukan panggilan keluar. Untuk informasi selengkapnya, lihat Dukungan Jaringan Virtual untuk gambaran Power Platform umum.
Firewall IP untuk Power Platform lingkungan membantu melindungi data Anda dengan membatasi akses pengguna hanya Dataverse dari lokasi IP yang diizinkan.
Microsoft Azure ExpressRoute menyediakan cara lanjutan untuk menyambungkan jaringan lokal Anda ke layanan cloud Microsoft dengan menggunakan konektivitas privat. Satu koneksi ExpressRoute dapat digunakan untuk mengakses beberapa layanan online; misalnya, Microsoft Power Platform, Dynamics 365, Microsoft 365, dan Azure.
Informasi terkait
Daftar periksa keamanan
Lihat rangkaian lengkap rekomendasi.