Ontwikkelen met behulp van Zero Trust-principes

Dit artikel helpt u, als ontwikkelaar, om inzicht te hebben in de leidende principes van Zero Trust, zodat u de beveiliging van uw toepassing kunt verbeteren. U speelt een belangrijke rol in de beveiliging van de organisatie; toepassingen en hun ontwikkelaars kunnen er niet langer van uitgaan dat de netwerkperimeter veilig is. Aangetaste toepassingen kunnen van invloed zijn op de hele organisatie.

Organisaties implementeren nieuwe beveiligingsmodellen die zich aanpassen aan complexe moderne omgevingen en de mobiele werknemers omarmen. Nieuwe modellen zijn ontworpen om mensen, apparaten, toepassingen en gegevens te beveiligen, waar ze zich ook bevinden. Organisaties streven ernaar Zero Trust te bereiken, een beveiligingsstrategie en -aanpak voor het ontwerpen en implementeren van toepassingen die voldoen aan deze leidende principes:

• Expliciet verifiëren
• Toegang tot minimale bevoegdheden gebruiken
• Stel dat er sprake is van een schending

In plaats van te geloven dat alles achter de bedrijfsfirewall veilig is, gaat het Zero Trust-model ervan uit dat elke aanvraag wordt geschonden en gecontroleerd alsof deze afkomstig is van een onbeheerd netwerk. Ongeacht waar de aanvraag vandaan komt of tot welke resource deze toegang heeft, vereist het Zero Trust-model dat we nooit vertrouwen, altijd verifiëren.

Begrijp dat Zero Trust geen vervanging is voor de basisprincipes van beveiliging. Met werk dat afkomstig is van elke locatie op elk apparaat, ontwerpt u uw toepassingen om Zero Trust-principes in uw ontwikkelingscyclus op te nemen.

Waarom ontwikkelen met een Zero Trust perspectief?

• We hebben een stijging gezien van het niveau van verfijning van cyberbeveiligingsaanvallen.
• Het 'werk vanaf elke locatie' heeft de beveiligingsperimeter opnieuw gedefinieerd. Gegevens worden buiten het bedrijfsnetwerk geopend en gedeeld met externe medewerkers, zoals partners en leveranciers.
• Bedrijfstoepassingen en -gegevens worden verplaatst van on-premises naar hybride en cloudomgevingen. Traditionele netwerkcontroles kunnen niet meer worden gebruikt voor beveiliging. Besturingselementen moeten worden verplaatst naar de locatie waar de gegevens zich bevinden: op apparaten en in apps.

De ontwikkelingsrichtlijnen in deze sectie helpen u om de beveiliging te verbeteren, de straalstraal van een beveiligingsincident te verminderen en snel te herstellen met behulp van Microsoft-technologie.

Volgende stappen

Abonneer u op onze Rss-feed ontwikkelen met behulp van Zero Trust-principes voor meldingen van nieuwe artikelen.

Overzicht van richtlijnen voor ontwikkelaars

• Wat bedoelen we met Zero Trust-naleving? biedt een overzicht van toepassingsbeveiliging vanuit het perspectief van een ontwikkelaar om de leidende principes van Zero Trust aan te pakken.
• Gebruik best practices voor identiteits- en toegangsbeheer van Zero Trust in de ontwikkelingslevenscyclus van uw toepassing om veilige toepassingen te maken.
• Het gebruik van op standaarden gebaseerde ontwikkelmethoden biedt een overzicht van ondersteunde standaarden (OAuth 2.0, OpenID Verbinding maken, SAML, WS-Federation en SCIM) en de voordelen van het gebruik ervan met MSAL en het Microsoft Identity Platform.
• Ontwikkelaars- en beheerdersverantwoordelijkheden voor toepassingsregistratie, autorisatie en toegang helpen u om beter samen te werken met uw IT-professionals.

Machtigingen en toegang

• Het bouwen van apps die identiteit beveiligen via machtigingen en toestemming biedt een overzicht van machtigingen en aanbevolen procedures voor toegang.
• Door toepassingen te integreren met Microsoft Entra ID en het Microsoft Identity Platform kunnen ontwikkelaars apps bouwen en integreren die IT-professionals in het bedrijf kunnen beveiligen door apps veilig te integreren met Microsoft Entra ID en het Microsoft Identity Platform.
• Het registreren van toepassingen introduceert ontwikkelaars bij het registratieproces van toepassingen en de bijbehorende vereisten. Het helpt hen ervoor te zorgen dat apps voldoen aan zero Trust-principes van het gebruik van minimale bevoegde toegang en ervan uitgaan dat er inbreuk wordt uitgevoerd.
• In ondersteunde identiteits- en accounttypen voor apps met één en meerdere tenants wordt uitgelegd hoe u kunt kiezen of uw app alleen gebruikers van uw Microsoft Entra-tenant, elke Microsoft Entra-tenant of gebruikers met persoonlijke Microsoft-accounts toestaat.
• Het verifiëren van gebruikers voor Zero Trust helpt ontwikkelaars om aanbevolen procedures te leren voor het verifiëren van toepassingsgebruikers in zero Trust-toepassingsontwikkeling. Hierin wordt beschreven hoe u de beveiliging van toepassingen verbetert met de Zero Trust-principes van minimale bevoegdheden en expliciet verifieert.
• Het verkrijgen van autorisatie voor toegang tot resources helpt u te begrijpen hoe u Zero Trust het beste kunt garanderen bij het verkrijgen van machtigingen voor toegang tot resources voor uw toepassing.
• Het ontwikkelen van een strategie voor gedelegeerde machtigingen helpt u bij het implementeren van de beste benadering voor het beheren van machtigingen in uw toepassing en het ontwikkelen met behulp van Zero Trust-principes.
• Door een strategie voor toepassingsmachtigingen te ontwikkelen, kunt u beslissen over de benadering van uw toepassingsmachtigingen voor referentiebeheer.
• Het aanvragen van machtigingen waarvoor beheerderstoestemming is vereist, beschrijft de machtigings- en toestemmingservaring wanneer toepassingsmachtigingen beheerderstoestemming vereisen.
• Het verminderen van overprivilegeerde machtigingen en apps helpt u te begrijpen waarom toepassingen niet meer machtigingen moeten aanvragen dan ze nodig hebben (te duur) en hoe u bevoegdheden kunt beperken om de toegang te beheren en de beveiliging te verbeteren.
• Het opgeven van toepassingsidentiteitsreferenties wanneer er geen gebruiker is, legt uit waarom de beste zero Trust-clientreferenties voor services (niet-gebruikerstoepassingen) in Azure Beheerde identiteiten zijn voor Azure-resources.
• Door tokens voor Zero Trust te beheren, kunnen ontwikkelaars beveiliging inbouwen in toepassingen met id-tokens, toegangstokens en beveiligingstokens die u van het Microsoft Identity Platform kunt ontvangen.
• Door tokens aan te passen worden de gegevens beschreven die u kunt ontvangen in Microsoft Entra-tokens en hoe u tokens kunt aanpassen.
• Door toepassingen te beveiligen met continue toegangsevaluatie kunnen ontwikkelaars de beveiliging van toepassingen verbeteren met continue toegangsevaluatie. Meer informatie over het garanderen van Zero Trust-ondersteuning in uw apps die autorisatie ontvangen voor toegang tot resources wanneer ze toegangstokens verkrijgen van Microsoft Entra ID.
• Als u groepsclaims en app-rollen in tokens configureert, ziet u hoe u uw apps configureert met app-roldefinities en beveiligingsgroepen toewijst.
• API Protection beschrijft aanbevolen procedures voor het beveiligen van uw API via registratie, het definiëren van machtigingen en toestemming en het afdwingen van toegang om uw Zero Trust-doelstellingen te bereiken.
• Voorbeeld van API die wordt beveiligd door het Microsoft Identity Consent Framework helpt u bij het ontwerpen van strategieën voor toepassingsmachtigingen met minimale bevoegdheden voor de beste gebruikerservaring.
• Als u een API aanroept vanuit een andere API, kunt u ervoor zorgen dat Zero Trust wordt gegarandeerd wanneer u één API hebt die een andere API moet aanroepen. U leert hoe u uw toepassing veilig kunt ontwikkelen wanneer deze namens een gebruiker werkt.
• Met best practices voor autorisatie kunt u de beste autorisatie-, machtigings- en toestemmingsmodellen voor uw toepassingen implementeren.

Zero Trust DevSecOps

• Het beveiligen van DevOps-omgevingen voor Zero Trust beschrijft aanbevolen procedures voor het beveiligen van uw DevOps-omgevingen met een Zero Trust-benadering om te voorkomen dat hackers in gevaar komen voor ontwikkelaarsvakken, releasepijplijnen infecteren met schadelijke scripts en toegang krijgen tot productiegegevens via testomgevingen.
• Door de DevOps-platformomgeving te beveiligen, kunt u Zero Trust-principes implementeren in uw DevOps-platformomgeving en worden aanbevolen procedures voor geheim- en certificaatbeheer gemarkeerd.
• Door de ontwikkelomgeving te beveiligen, kunt u Zero Trust-principes implementeren in uw ontwikkelomgevingen met aanbevolen procedures voor minimale bevoegdheden, vertakkingsbeveiliging en vertrouwende hulpprogramma's, extensies en integraties.
• Door Zero Trust-beveiliging in te sluiten in uw werkstroom voor ontwikkelaars, kunt u snel en veilig innoveren.

Aanvullende Documentatie voor Zero Trust

Gebruik aanvullende Zero Trust-inhoud op basis van een documentatieset of de rollen in uw organisatie.

Documentatieset

Volg deze tabel voor de beste Zero Trust-documentatiesets voor uw behoeften.

Documentatieset	Helpt u...	Rollen
Acceptatieframework voor fase- en staprichtlijnen voor belangrijke bedrijfsoplossingen en -resultaten	Zero Trust-beveiliging van de C-suite toepassen op de IT-implementatie.	Beveiligingsarchitecten, IT-teams en projectmanagers
Concepten en implementatiedoelstellingen voor algemene implementatierichtlijnen voor technologiegebieden	Pas Zero Trust-beveiligingen toe die zijn afgestemd op technologiegebieden.	IT-teams en beveiligingspersoneel
Zero Trust voor kleine bedrijven	Pas Zero Trust-principes toe op klanten van kleine bedrijven.	Klanten en partners die werken met Microsoft 365 voor Bedrijven
Zero Trust Rapid Modernization Plan (RaMP) voor richtlijnen en controlelijsten voor projectmanagement voor eenvoudige overwinningen	Implementeer snel belangrijke lagen van Zero Trust-beveiliging.	Beveiligingsarchitecten en IT-implementers
Zero Trust-implementatieplan met Microsoft 365 voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen	Zero Trust-beveiliging toepassen op uw Microsoft 365-tenant.	IT-teams en beveiligingspersoneel
Zero Trust voor Microsoft Copilots voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen	Zero Trust-beveiliging toepassen op Microsoft Copilots.	IT-teams en beveiligingspersoneel
Zero Trust voor Azure-services voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen	Zero Trust-beveiliging toepassen op Azure-workloads en -services.	IT-teams en beveiligingspersoneel
Partnerintegratie met Zero Trust voor ontwerprichtlijnen voor technologiegebieden en specialisaties	Zero Trust-beveiliging toepassen op microsoft-cloudoplossingen van partners.	Partnerontwikkelaars, IT-teams en beveiligingspersoneel

Uw rol

Volg deze tabel voor de beste documentatiesets voor uw rol in uw organisatie.

Role	Documentatieset	Helpt u...
Beveiligingsarchitect IT-projectmanager IT-implementeerfunctie	Acceptatieframework voor fase- en staprichtlijnen voor belangrijke bedrijfsoplossingen en -resultaten	Zero Trust-beveiliging van de C-suite toepassen op de IT-implementatie.
Lid van een IT- of beveiligingsteam	Concepten en implementatiedoelstellingen voor algemene implementatierichtlijnen voor technologiegebieden	Pas Zero Trust-beveiligingen toe die zijn afgestemd op technologiegebieden.
Klant of partner voor Microsoft 365 voor Bedrijven	Zero Trust voor kleine bedrijven	Pas Zero Trust-principes toe op klanten van kleine bedrijven.
Beveiligingsarchitect IT-implementeerfunctie	Zero Trust Rapid Modernization Plan (RaMP) voor richtlijnen en controlelijsten voor projectmanagement voor eenvoudige overwinningen	Implementeer snel belangrijke lagen van Zero Trust-beveiliging.
Lid van een IT- of beveiligingsteam voor Microsoft 365	Zero Trust-implementatieplan met Microsoft 365 voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen voor Microsoft 365	Zero Trust-beveiliging toepassen op uw Microsoft 365-tenant.
Lid van een IT- of beveiligingsteam voor Microsoft Copilots	Zero Trust voor Microsoft Copilots voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen	Zero Trust-beveiliging toepassen op Microsoft Copilots.
Lid van een IT- of beveiligingsteam voor Azure-services	Zero Trust voor Azure-services voor stapsgewijze en gedetailleerde ontwerp- en implementatierichtlijnen	Zero Trust-beveiliging toepassen op Azure-workloads en -services.
Partnerontwikkelaar of lid van een IT- of beveiligingsteam	Partnerintegratie met Zero Trust voor ontwerprichtlijnen voor technologiegebieden en specialisaties	Zero Trust-beveiliging toepassen op microsoft-cloudoplossingen van partners.