Omówienie — implementowanie architektury dostępu uprzywilejowanego

W tym artykule przedstawiono kompleksowe rozwiązanie do implementowania architektury dostępu uprzywilejowanego. Jest ona przeznaczona dla planistów zabezpieczeń i tożsamości oraz implementatorów.

W modelu wdrażania zabezpieczeń Microsoft:

• Rozwiązania implementacji zapewniają normatywne wskazówki dotyczące wdrażania.
• Rozwiązania są dostosowane do scenariuszy biznesowych , które definiują wyniki zabezpieczeń o wysokim priorytcie.

Przed rozpoczęciem implementacji dowiedz się, jak architektura bezpiecznego dostępu uprzywilejowanego odgrywa kluczową rolę w scenariuszu biznesowym — Ochrona krytycznych zasobów biznesowych — zmniejszając to ryzyko i zwiększając kontrolę nad systemami poufnymi.

Cele rozwiązania

Dostęp uprzywilejowany reprezentuje jedno z najwyższych zagrożeń w każdej organizacji, ponieważ zapewnia bezpośrednią kontrolę nad systemami tożsamości, płaszczyznami kontroli chmury i krytycznymi zasobami biznesowymi.

Ten przewodnik definiuje Zero Trust podejście do uprzywilejowanego dostępu, traktując go jako kompleksową ścieżkę dostępu, obejmującą tożsamość, urządzenie, interfejs, zasób docelowy i monitorowanie. Zamiast zabezpieczać poszczególne składniki w izolacji, ten model zapewnia, że cała ścieżka dostępu jest zarządzana i stale weryfikowana.

Celem jest zmniejszenie ryzyka przez:

• Ograniczanie osób, które mogą wykonywać akcje uprzywilejowane.
• Kontrolowanie, gdzie i jak te akcje mogą wystąpić.
• Ciągłe monitorowanie i reagowanie na działania uprzywilejowane.

Zaimplementuj tę architekturę przy użyciu Microsoft Entra ID, Microsoft Intune i Ochrona punktu końcowego w usłudze Microsoft Defender.

Wdróż rozwiązanie w fazach. Zacznij od stworzenia bezpiecznego fundamentu (warstwy kontroli tożsamości i zaufanych urządzeń), wdroż mechanizmy kontroli zasad, a następnie skonfiguruj monitorowanie i reagowanie.

Ryzyko dostępu uprzywilejowanego

Tożsamości uprzywilejowane (ludzkie i nieludzkie) kontrolują zasoby o wysokiej wartości i mechanizmy wymuszania zabezpieczeń. W przypadku naruszenia zabezpieczeń wynikowy wpływ na działalność biznesową jest poważny. Osoby atakujące z dostępem uprzywilejowanym mogą wykonywać następujące czynności:

• Eksfiltruj, szyfruj lub niszcz dane.
• Zamykanie lub zakłócanie operacji biznesowych.
• Wyłącz mechanizmy wykrywania i wymuszania.
• Podważ systemy zarządzania tożsamością i uzyskaj trwały dostęp.

Typowe ataki

Ataki są zgodne z dwoma typowymi wzorcami:

• Docelowa kradzież danych: Cyberattackers lokalizują i eksfiltrują poufne zasoby intelektualne, dane finansowe lub plany strategiczne. Skradzione dane są sprzedawane, wyciekane lub używane w celu uzyskania przewagi konkurencyjnej.
• Oprogramowanie wymuszające okup obsługiwane przez człowieka: Cyberattackers wykorzystują uprzywilejowany dostęp do szyfrowania systemów, zatrzymywania operacji i wymuszenia organizacji - zmuszając decyzje wykonawcze pod skrajną presją czasową.

Dlaczego uprzywilejowany dostęp jest ryzykowny

Ryzyko dostępu uprzywilejowanego jest unikatowe i systemowe z wielu powodów.

Ryzyko	Szczegóły
Działa na płaszczyźnie sterowania	Konta uprzywilejowane działają na płaszczyźnie sterowania, a nie tylko na płaszczyźnie obciążenia. Tożsamości uprzywilejowane mogą modyfikować tożsamość, zmieniać konfiguracje zabezpieczeń, wyłączać lub pomijać mechanizmy kontroli wymuszania oraz modyfikować dane krytyczne dla działania firmy. Gdy osoby atakujące uzyskają uprzywilejowany dostęp, mogą podważyć te mechanizmy, które mają na celu ich wykrywanie i zatrzymywanie. To sprawia, że tradycyjne strategie powstrzymywania są znacznie mniej skuteczne i pozwala, by naruszenie pozostało niewykryte.
Duży wpływ na biznes z założenia	Dostęp uprzywilejowany istnieje do zarządzania systemami krytycznymi, więc nadużycie tego dostępu ma natychmiastowe i poważne konsekwencje. W przypadku dostępu uprzywilejowanego osoby atakujące mogą wykonywać następujące czynności: - Eksfiltrowanie lub niszczenie poufnych danych - Zamykanie lub manipulowanie operacjami biznesowymi - Szyfrowanie całych środowisk w celu wymuszenia okupu (ransomware obsługiwane przez człowieka) - Podważaj systemy w sposób, który może spowodować szkody w świecie rzeczywistym. Te wyniki nie są teoretyczne. Są one obserwowane wielokrotnie w różnych branżach, dzięki czemu uprzywilejowany dostęp jest jednym z najbardziej niezawodnych sposobów, aby osoby atakujące mogły osiągnąć maksymalny wpływ.
Głośne i destrukcyjne	W przeciwieństwie do ukrytej kradzieży danych wiele ataków wykorzystujących uprzywilejowany dostęp — zwłaszcza ataków ransomware prowadzonych przez człowieka — ma celowo destrukcyjny charakter. Zatrzymują operacje, przerywają usługi dostępne dla klientów i wymuszają podejmowanie decyzji na poziomie kadry kierowniczej w skrajnej presji czasowej. Ponieważ wszystkie organizacje są finansowo i operacyjnie motywowane do szybkiego przywracania usług, te ataki są powszechnie stosowane i wysoce skuteczne, niezależnie od branży lub wielkości.
Rośnie ryzyko, nie zmniejsza się	Osoby atakujące są elastyczne i niezależne od technologii. Nie są wymierzone w jeden konkretny produkt ani mechanizm kontroli, lecz wykorzystują tę ścieżkę uprzywilejowanego dostępu, która w danym momencie jest najsłabsza. Powierzchnia ataku uprzywilejowanego dostępu jest szeroka i połączona, obejmująca: - Konta i systemy tożsamości - Stacje robocze i urządzenia - Systemy pośredniczące, takie jak narzędzia dostępu zdalnego i rozwiązania PAM/PIM. — Interfejsy zarządzania, portale, interfejsy API i ścieżki podniesienia uprawnień. Naruszenie zabezpieczeń jednego z tych elementów może zapewnić ścieżkę do pełnej kontroli przedsiębiorstwa, a nowe ścieżki dostępu są stale wprowadzane w miarę rozwoju środowisk.
Podejścia z jednym rozwiązaniem kończą się niepowodzeniem	Wdrożenie tylko jednej klasy kontroli, takiej jak PAM/PIM, ograniczenia sieci lub narzędzia do wykrywania, nie zmniejsza ryzyka. Te kontrolki dotyczą części problemu, a nie systemu. Jeśli uprzywilejowany dostęp nie jest chroniony na całej długości, atakujący po prostu omijają odizolowane zabezpieczenia i wykorzystują niezabezpieczone ogniwo w ścieżce dostępu. Dlatego dostęp uprzywilejowany musi być traktowany jako kompletny system — od zaufania do tożsamości i urządzeń, przez podnoszenie uprawnień i egzekwowanie, po monitorowanie i reagowanie — a nie jako zbiór niezależnych narzędzi.

Zasady architektury i wyniki

Podejście zalecane przez firmę Microsoft polega na utworzeniu systemu dostępu uprzywilejowanego w zamkniętej pętli, który:

• Zapewnia natychmiastową redukcję ryzyka
• Wspiera stopniowy, zrównoważony postęp
• Unika niepotrzebnej złożoności
• Umożliwia jasne wyniki i kryteria sukcesu

Wyniki architektury

Wdrożenie strategii opartej na tych zasadach tworzy szereg jasnych wyników i kryteriów sukcesu.

Wynik	Architektura	Kryteria sukcesu
Dostęp uprzywilejowany jest egzekwowany jako kompleksowy system	Ryzyko związane z uprzywilejowanym dostępem jest kontrolowane na całej ścieżce dostępu: tożsamość, przypisanie roli, urządzenie, środowisko wykonywania, proces podwyższania uprawnień, systemy pośredniczące, interfejsy zarządzania, monitorowanie i reagowanie. Działania uprzywilejowane odbywają się wyłącznie poprzez wyraźnie określone, autoryzowane ścieżki eskalacji uprawnień z walidacją Zero Trust (potwierdzenie tożsamości, poziom zaufania do urządzenia, kontekst sesji).	Każda sesja sprawdza, czy konto użytkownika i urządzenie są zaufane na odpowiednim poziomie przed zezwoleniem na dostęp. Przykłady wskaźników: % logowań uprzywilejowanych spełniających wymagania, takie jak uwierzytelnianie wieloskładnikowe i wymagany poziom zaufania urządzenia, % działań uprzywilejowanych wykonywanych w procesie podwyższania uprawnień wymagającym zatwierdzenia w porównaniu z uprawnieniami stałymi.
Ochrona i monitorowanie systemów tożsamości	Chroń systemy tożsamości, które hostują lub nadają uprawnienia uprzywilejowane (usługi katalogowe, systemy zarządzania tożsamością, konta administracyjne itp.). Nadzór, egzekwowanie zasad, rejestrowanie i analiza są scentralizowane w celu ograniczenia rozbieżności i poprawy widoczności.	Każdy z tych systemów jest chroniony na poziomie odpowiednim dla potencjalnego wpływu biznesowego kont hostowanych w nim. Przykłady wskaźników: % tożsamości uprzywilejowanych objętych regularnym przeglądem uprawnień dostępu Wskaźnik ukończenia okresowych przeglądów dostępu uprzywilejowanego (kto dokonał przeglądu, kto odwołał).
Ograniczanie ruchu bocznego	Izolowanie uprzywilejowanej pracy ze środowisk o wysokiej ekspozycji. Chroń poświadczenia administratora lokalnego, wpisy tajne kont usług oraz mechanizmy podwyższania uprawnień, aby przejęcie jednego urządzenia, konta lub poświadczenia nie umożliwiło uzyskania szerszego dostępu administracyjnego.	Naruszenie jednego urządzenia nie powoduje natychmiastowego kontrolowania wielu lub wszystkich innych urządzeń w środowisku. Przykład miary: procent uprzywilejowanych akcji wykonywanych wyłącznie z administracyjnych stacji roboczych.
Szybkie reagowanie na zagrożenia	Działanie uprzywilejowane to sygnał priorytetowy do wykrywania i reagowania. Opracuj monitorowanie i reagowanie na incydenty, aby zakłócać wieloetapowe ataki i ograniczać czas obecności przeciwnika w środowisku w przypadku ataków wymierzonych w uprzywilejowany dostęp.	Reagowanie na incydenty może skutecznie powstrzymywać wieloetapowe ataki, zanim uzyskają one uprzywilejowany dostęp, oraz szybko ograniczać niewłaściwe wykorzystanie uprzywilejowanych uprawnień, gdy do niego dojdzie. Przykład wskaźnika: średni czas usuwania incydentów uprzywilejowanych (MTTR) zostaje skrócony do minut zamiast do godzin lub dni. Nieoczekiwane lub nowe uprzywilejowane ścieżki dostępu są szybko identyfikowane i zamykane.

Śledź te wskaźniki co miesiąc, aby monitorować postępy, i dokonuj ich kwartalnego przeglądu w ramach zarządzania dostępem uprzywilejowanym.

Omówienie ścieżek dostępu uprzywilejowanego

Uprzywilejowane ścieżki dostępu to ścieżki dostępu, które tworzą kompletny łańcuch prowadzący od tożsamości do wykonania, jak pokazano na poniższym diagramie.

Jeśli jakikolwiek link w łańcuchu jest słaby, cała ścieżka jest podatna na zagrożenia.

Path	Składniki	Ryzyko
Ścieżki dostępu użytkowników Ścieżki dostępu użytkowników obsługują standardową produktywność i operacje biznesowe, takie jak poczta e-mail, współpraca, przeglądanie internetu i aplikacje biznesowe.	Ścieżka dostępu użytkownika zwykle obejmuje: - Tożsamość: standardowe konto użytkownika - Urządzenie: stacja robocza ogólnego przeznaczenia - Pośrednik: opcjonalni pośrednicy, tacy jak sieć VPN lub dostęp zdalny. - Interfejs: interakcja z aplikacjami i usługami dla przedsiębiorstw.	Chociaż naruszenie ścieżki dostępu użytkownika może spowodować szkodę, potencjalny wpływ jest ograniczony w porównaniu z uprzywilejowanym dostępem.
Ścieżki dostępu uprzywilejowanego Ścieżki dostępu uprzywilejowanego zarządzają tożsamościami, infrastrukturą, mechanizmami kontroli zabezpieczeń i systemami krytycznymi dla działania firmy.	Ścieżki dostępu uprzywilejowanego zwykle składają się z następujących elementów: - Tożsamość: konto wykonujące uprzywilejowaną pracę. - Urządzenie: stacja robocza lub urządzenie punktu końcowego używane przez sesję uprzywilejowaną. - Pośrednik: dowolny system lub broker usług lub hostowanie uprzywilejowanej sesji, takich jak dostęp zdalny lub narzędzia do zarządzania. - Interfejs: powierzchnia zarządzania, na której jest wykonywane uprzywilejowane sterowanie. Na przykład portale, interfejsy API, narzędzia wiersza polecenia lub automatyzacja.	Chociaż składniki techniczne wydają się podobne do ścieżki dostępu użytkownika, potencjalne szkody związane z naruszeniem są znacznie wyższe. W związku z tym ścieżki dostępu uprzywilejowanego muszą być następujące: - Mniejsza liczba - Jawnie zdefiniowane — Odizolowane od ścieżek dostępu użytkowników - Chronione przy użyciu najsilniejszych dostępnych zabezpieczeń.

Przykładowa ścieżka

W typowej ścieżce dostępu uprzywilejowanego:

1. Loguje się dedykowana tożsamość administratora.
2. Logowanie odbywa się z utwardzonej stacji roboczej uprzywilejowanego dostępu (PAW).
3. Zalogowanie aktywuje rolę za pośrednictwem usługi Privileged Identity Management (PIM).
4. Logowanie korzysta z określonego interfejsu administracyjnego, takiego jak portal, interfejs API lub interfejs wiersza polecenia.
5. Tożsamość zalogowana wykonuje akcję uprzywilejowaną.

Składniki rozwiązania

Rozwiązanie dostępu uprzywilejowanego opiera się na trzech ściśle powiązanych elementach, które zapewniają - uprzywilejowane akcje przez odpowiednie tożsamości, z zaufanych urządzeń, w wymuszonych warunkach.

1. Tożsamości uprzywilejowane

   • Dedykowane konta administratora, które mogą wykonywać akcje uprzywilejowane.
   • Tożsamości chronione za pomocą silnego uwierzytelniania i, jeśli to możliwe, uwierzytelniania bez hasła.
   • Ograniczone przypisanie uprzywilejowanych ról.
   • Podwyższanie uprawnień na żądanie po zatwierdzeniu.

2. Stacje robocze z dostępem uprzywilejowanym (PAW)

   • Urządzenia ze wzmocnionymi zabezpieczeniami, restrykcyjnymi.
   • Zmniejszona powierzchnia ataków na urządzeniach.
   • Ochrona przed zagrożeniami poświadczeń i złośliwym oprogramowaniem.
   • Izolowane od aktywności użytkowników wysokiego ryzyka.

3. Wymuszanie i monitorowanie zasad

   • Dostęp warunkowy weryfikuje tożsamość, urządzenie i kontekst sesji.
   • Ścieżki uprzywilejowanego podwyższania uprawnień są jawnie zdefiniowane.
   • Wszystkie uprzywilejowane działania są rejestrowane, monitorowane i możliwe do przejrzenia.

Systemy tożsamości i ścieżki podniesienia uprawnień

Systemy tożsamości i ścieżki podniesienia uprawnień są podstawowymi składnikami każdej uprzywilejowanej ścieżki dostępu. Określają, gdzie są tworzone tożsamości uprzywilejowane, jak są przypisywane role administracyjne i jak użytkownicy przechodzą ze stanu nieuprzywilejowanego do wykonywania akcji uprzywilejowanych.

Te wytyczne wdrożeniowe traktują systemy tożsamości i ścieżki eskalacji uprawnień jako część uprzywilejowanej powierzchni ataku i płaszczyzny sterowania tożsamością.

Area	Szczegóły	Ograniczanie ryzyka
Systemy tożsamości	Miejsce definiowania uprzywilejowanych tożsamości, ról i uprawnień administracyjnych oraz zarządzania nimi. Ta definicja obejmuje katalogi, przypisania ról, grupy administracyjne i konfigurację na poziomie dzierżawy.	Tożsamości uprzywilejowane działają na płaszczyźnie sterowania. W przypadku naruszenia zabezpieczeń systemów tożsamości osoby atakujące mogą tworzyć, modyfikować lub utrwalać uprzywilejowany dostęp — pomijając mechanizmy kontroli urządzeń, warunki dostępu i monitorowanie. Zabezpieczanie płaszczyzny kontroli tożsamości jest najwyższym priorytetem implementacji.
Dozwolone ścieżki podwyższania uprawnień	Jak użytkownik przechodzi ze stanu nieuprzywilejowanego w celu wykonywania akcji uprzywilejowanych. Na przykład czasowo ograniczona aktywacja roli, przepływy pracy zatwierdzania i sesje administracyjne o ograniczonym zakresie.	Zapewnia, że podniesienie uprawnień wymaga silnego uwierzytelniania, a podniesienie uprawnień jest zamierzone, tymczasowe, monitorowane i odbywa się tylko z zatwierdzonych urządzeń i interfejsów. Wymuszając eskalację uprawnień za pośrednictwem zatwierdzonych przepływów pracy, urządzeń i interfejsów, zapobiegasz stałym uprawnieniom oraz ograniczasz nadużycia, ruch lateralny i ukrytą persystencję.

Fazy rozwiązania

Wdróż architekturę dostępu uprzywilejowanego z wykorzystaniem etapowego modelu wdrażania zgodnego z najlepszymi praktykami firmy Microsoft.

1. Rozpoczynanie wdrażania przy użyciu ustrukturyzowanego modelu wdrażania. Wskazówki dotyczące wdrażania pomagają liderom biznesowym identyfikować krytyczne wyniki biznesowe dotyczące bezpiecznej tożsamości oraz zrozumieć dyscyplinę dostępu i tożsamości, w tym zespoły i wysiłki potrzebne do kierowania inicjatywami dotyczącymi tożsamości, takimi jak uprzywilejowany dostęp.
2. Zaplanuj rozwiązanie. Planowanie ułatwia identyfikowanie celów projektu, przypisywanie poziomów zabezpieczeń do określania strategii dostępu uprzywilejowanego i planowanie wdrożenia.
3. Postępuj zgodnie z fazami wdrożenia przedstawionymi w poniższej tabeli. Każda faza ma określony cel i jest implementowana przy użyciu konkretnych kroków konfiguracji w odpowiednich artykułach.

Fazy implementacji

Faza	Ograniczanie ryzyka	Stosuj zasady Zero Trust
Faza 1. Zabezpiecz płaszczyznę sterowania tożsamością Utwórz: — Tożsamości dedykowanego administratora. Grupy zabezpieczeń na potrzeby przypisywania ról. - Awaryjne konta dostępu, jeśli jeszcze ich nie masz.	Zmniejsza ryzyko kradzieży poświadczeń, nieprawidłowego użycia uprawnień i nieautoryzowanego podniesienia uprawnień.	Weryfikowanie jawnie Użyj silnego uwierzytelniania. Użyj najniższych uprawnień Ogranicz role administracyjne/włącz uprawnienia nadawane na żądanie. Załóż wystąpienie naruszenia. Do odzyskania należy używać kont typu break-glass.
Faza 2. Wdrażanie i wzmacnianie zabezpieczeń uprzywilejowanych urządzeń dostępu Aprowizuj dedykowane stacje robocze z dostępem uprzywilejowanym (PAW). Zastosuj utwardzanie systemu operacyjnego i bazowe ustawienia zabezpieczeń. Wymuszanie stosowania poprawek, ochrony punktu końcowego i szyfrowania dysków. Zminimalizuj instalacje aplikacji i usług.	Zmniejsza ryzyko naruszenia poświadczeń i ataków opartych na urządzeniach.	Weryfikowanie jawnie Przed udzieleniem dostępu upewnij się, że urządzenia są zarejestrowane, zaufane i zgodne. Załóż naruszenie Zminimalizuj potencjalne ścieżki naruszenia, wzmacniając zabezpieczenia urządzeń i izolując poświadczenia administracyjne. Użyj dostępu z najniższymi uprawnieniami. Ogranicz możliwości administratorów na tych dedykowanych urządzeniach.
Faza 3. Wymuszanie zasad dostępu uprzywilejowanego Konfigurowanie dostępu warunkowego dla ról uprzywilejowanych. Wymagaj zgodnych urządzeń i silnego uwierzytelniania. Wymuszaj warunki dostępu zależne od kontekstu. Ogranicz dostęp do zatwierdzonych interfejsów.	Zapobiega nieautoryzowanemu dostępowi i powtarzaniu poświadczeń.	Załóż wystąpienie naruszenia. Zapobiegaj niewłaściwemu używaniu poświadczeń, jeśli konta są skradzione, ograniczając miejsce i sposób udzielenia dostępu. Użyj najniższych uprawnień. Wymuszaj uprawnienia oparte na rolach i uwzględniające kontekst.
Faza 4. Monitorowanie i ciągłe weryfikowanie Szybkie badanie zdarzeń i korygowanie. Stale ponownie oceniaj poziom zaufania i zakres pokrycia.	Wykrywanie, badanie i reagowanie na uprzywilejowane zagrożenia. Monitoruj aktywacje i sesje ról uprzywilejowanych. Wykrywanie anomalii i podejrzanych wzorców. Zmniejsz skutki niewykrytego naruszenia bezpieczeństwa i wydłużonego czasu obecności atakującego w środowisku.	Przyjmij naruszenie. Ciągłe monitorowanie aktywności osoby atakującej i nietypowego zachowania. Weryfikuj jawnie. Oceniaj zaufanie w sposób ciągły i analizuj podejrzane wzorce dostępu.

Następne kroki

Teraz rozpocznij planowanie strategii implementacji.