特権アクセスの実装を計画する

この記事は、「 特権アクセス アーキテクチャの実装 」ソリューション ガイドの一部です。

特権アクセスでは、ID システム、クラウドコントロール プレーン、ビジネスクリティカルな資産を直接制御できるため、ほとんどの組織で重大なセキュリティ リスクが発生します。

セキュリティで 保護された特権アクセス アーキテクチャ が、このリスクを軽減し、機密性の高いシステムに対する制御を強化することで、ビジネス シナリオ ( 重要なビジネス資産の保護 ) で重要な役割を果たすしくみについて説明します。

計画は最初のステップです。 この記事は、特権アクセス アーキテクチャを実際のロールアウト 計画 (スコープ、前提条件、シーケンス処理、所有権) に変換する実装者とセキュリティ アーキテクトを対象としています。

計画中に、最も重要な特権アクセス パスを特定し、許可されるパスとブロックされるパスを決定し、それらの決定を従う段階的な実装に直接マップします。

開始する前に

• 導入モデルでは、ビジネス リーダーと意思決定者を対象とした一連の重要なビジネス シナリオを定義します。 重要なシステムへの特権アクセスのセキュリティ保護と管理に関するビジネス成果の詳細について説明します。
• Microsoft では 、セキュリティ規範を 使用して、チームがビジネス全体でセキュリティの成果を提供できるようにします。 特権アクセス アーキテクチャに関連付けられている規範について説明します

計画の結果

次の方法で計画を完了する必要があります。

• 環境内で最も重要な特権アクセス パスの共有理解。
• アクセス パスが許可、制限、または削除される契約。
• 操作を中断することなくリスクを軽減するための定義済みの実装シーケンス。
• 特権アクセスに関する決定の承認、変更、レビューにおける責任の所在を明確にします。
• 計画の決定から実装フェーズへの直接マッピング。

実装の目標

実装計画は、設計目標を強制可能な決定に変換します。

複数のセキュリティ規範とテクノロジによって、このソリューションの成果が促進されます。 次の表は、計画の目標が規範とダウンストリームの実装にどのように関連しているかを示しています。

実装の目標	関連する規範	計画の結果
特権資格情報の公開を制限する 特権資格情報を使用できるタイミング、場所、方法を最小限に抑えます。	戦略とガバナンス アクセスとアイデンティティ セキュリティ アーキテクチャ	特権アクセスを構成するロール、アクション、およびシステムのドキュメントに記載されている一覧。 昇格が許可されるタイミング、期間、および承認に関する規則をクリアします。 ジャストインタイム アクセスの徹底を支援し、恒常的な特権を排除します。
特権アクセス パスの分離と監視 強力な認証とデバイスの信頼を強制します。 異常な動作を継続的に監視します。 影響が大きいため、検出と対応に優先順位を付けます。	セキュリティ アーキテクチャ アクセスと ID SecOps	許可、制限、または削除される明示的に定義された特権アクセス パス。 たとえば、PAW のみ、承認されたポータルと API、レガシ プロトコルなし、個人用デバイスからの直接管理者アクセスなしなどです。 条件付きアクセス、インターフェイス のセキュリティ、および監視のための堅牢な許可/ブロック モデルを提供します。
特権攻撃対象領域を減らす 特権 ID、ロール、割り当ての数を最小限に抑えることで、攻撃対象領域を減らします。	戦略、統合、ガバナンス アクセスとアイデンティティ セキュリティ体制管理。	特権ロールの合理化を完了します。 必須のロールと削除可能なロール、および常時特権を回避するために変更が必要なワークフロー。 永続的な割り当てから削除するロールについての合意。 成功指標。 たとえば、永続的な特権ロールの削減などです。
生産性と管理ワークフローを分離する ワークフローを分離して、一般的な攻撃ベクトルとエンタープライズ全体の制御の間の橋渡しを排除します。	セキュリティ アーキテクチャ インフラストラクチャ アクセスと ID。	特権作業を実行できる場所に関する決定。 専用の管理者アカウントとデバイスが必要かどうか。 標準的な生産性環境で禁止されているアクティビティ。 特権デバイスまたはセッションに移動する必要があるワークフロー。 これらの決定により、デバイスの展開とアクセスの強制フェーズがあいまいさを伴わずに有効になります。

計画にセキュリティ レベルを使用する

セキュリティ レベルは、アカウントやデバイスだけでなく、特権アクセス パスを分類する計画中に使用されます。 計画の目的で、アクセス パスを確認するときに 3 つのセキュリティ レベルを使用します。 この実装ガイドでは、特権レベルのみに焦点を当てています。

セキュリティ レベル	Purpose
エンタープライズ	すべてのユーザーとデバイスに対する基本的なセキュリティ。
専門的	高権限で、ビジネスへの影響が大きいロールの保護を強化しました。
特権	コントロール プレーンとテナント全体にわたる管理を最大限に保護。

特権アクセスを計画する場合は、セキュリティ レベルを使用して次の回答を行います。

• 最も強力な保護が必要なアクセス パスはどれですか?
• 最新化中に一時的に低いレベルを維持できるパスはどれですか?
• 特権のある作業が許可される前に、保護を必須にする必要がある場所

主要な計画の原則:

• セキュリティ レベルは、ID だけでなく、アクセス パスにも適用されます。
• 特権アクセス パスを使用して作業を実行する場合、そのパスは必要なセキュリティ レベルを満たす必要があります。
• セキュリティ レベル ガイド:
  • 適用パターン
  • 構成プロファイル
  • 条件付きアクセスの決定
  • 実装シーケンス

これにより、最もリスクの高いパスが最初に対処されるようにしながら、特権アクセスを段階的に最新化できます。

リスクを軽減するためのシーケンス実装

特権アクセスの最新化では、操作を中断することなくリスクを軽減する必要があります。 計画により、実装が従うシーケンス処理が確立されます。

一般的な計画の順序は次のとおりです。

1. 新しい特権リスクの作成を停止します。 計画と監査を実施している間も、特権操作が安全でない経路で継続しないようにします。
   • 新しい永続的な特権ロールの割り当てはありません。
   • 新しい安全でないアクセス パスはありません。
2. 最も影響の大きいアクセス パスを最初にセキュリティで保護する: ID コントロール プレーン (テナント管理者とサブスクリプション管理者) から始めます。 コア インフラストラクチャと運用システムに進む。
3. 安全な基盤を確立する。 特権 ID を定義した後、専用特権デバイスと承認されたアクセス パスを構成します。
4. カバレッジを段階的に拡張します。 監視と検証が成熟するにつれて、適用を強化します。 検出を使用して、新しいパスまたは未承認のパスを特定して修復します。

このシーケンス処理により、コントロールが強化される前に保護が存在するため、監査、適用、修復が有効になります。

計画を実装にマップする

実装では、設計と計画中に生成された決定が強制されます。

プランニング出力	実装の強制
特権ロールの定義とスコープ	フェーズ 1: ID コントロール プレーンをセキュリティで保護します。 セキュリティで保護されたロールの割り当て、PIM の構成、承認ワークフロー、監査。
特権デバイスの要件	フェーズ 2: デバイスをセキュリティで保護する。 堅牢化された特権アクセス ワークステーション (PAW) を導入し、その使用を徹底する
承認されたアクセス パスとブロックされたアクセス パス	フェーズ 3: ポリシーを構成します。 条件付きアクセス、インターフェイスの制限、プロトコルのブロックを構成します。
受け入れられたトレードオフと例外	フェーズ 1: ID コントロール プレーンをセキュリティで保護 し、 フェーズ 3: ポリシーを構成します。 ログ、レビューワークフロー、ブレークグラス アカウント。
特権アクセスの監視	フェーズ 4: 監視と脅威の検出。 検出ルール、アラートの優先順位付け、承認されたパスの検証。

各フェーズを実装する前に、対応する計画アクションが完了していることを確認してください。

次のステップ

フェーズ 1 で実装を開始する - ID コントロール プレーンを構成します。 このフェーズでは、特権 ID、ロールの割り当て、および承認された昇格パスを定義して保護する基盤を確立します。

後続のすべてのデバイス、ポリシー、および監視制御は、このフェーズによって異なります。