Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Ten artykuł jest częścią przewodnika implementowania architektury dostępu uprzywilejowanego .
Dostęp uprzywilejowany stanowi krytyczne zagrożenie bezpieczeństwa w większości organizacji, ponieważ umożliwia bezpośrednią kontrolę nad systemami tożsamości, płaszczyznami kontroli chmury i krytycznymi dla działania firmy.
Dowiedz się, jak architektura bezpiecznego dostępu uprzywilejowanego odgrywa kluczową rolę w scenariuszu biznesowym — Ochrona krytycznych zasobów biznesowych — zmniejszając to ryzyko i zwiększając kontrolę nad systemami poufnymi.
Planowanie jest pierwszym krokiem. Ten artykuł jest skierowany do osób wdrażających oraz architektów bezpieczeństwa, którzy przekładają architekturę dostępu uprzywilejowanego na praktyczny plan wdrożenia (zakres, wymagania wstępne, kolejność działań i zakres odpowiedzialności).
Podczas planowania określisz, które uprzywilejowane ścieżki dostępu mają największe znaczenie, zdecyduj, które ścieżki są dozwolone i które są blokowane, i mapuj te decyzje bezpośrednio na etapową implementację.
Zanim zaczniesz
- Nasz model wdrażania definiuje zestaw krytycznych scenariuszy biznesowych przeznaczonych dla liderów biznesowych i osób podejmujących decyzje. Dowiedz się więcej o rezultacie biznesowym zabezpieczania i nadzorowania uprzywilejowanego dostępu do systemów krytycznych.
- Używamy dyscyplin zabezpieczeń , aby pomóc zespołom w dostarczaniu wyników zabezpieczeń w całej firmie. Dowiedz się więcej o dyscyplinach skojarzonych z architekturą uprzywilejowanego dostępu
Planowanie wyników
Należy zakończyć planowanie za pomocą polecenia:
- Wspólna wiedza o tym, które ścieżki dostępu uprzywilejowanego mają największe znaczenie w danym środowisku.
- Umowa, w sprawie której ścieżki dostępu są dozwolone, ograniczone lub wyeliminowane.
- Zdefiniowana sekwencja implementacji w celu zmniejszenia ryzyka bez przerywania operacji.
- Jasno określona odpowiedzialność za zatwierdzanie, zmianę i przegląd decyzji dotyczących uprzywilejowanego dostępu.
- Bezpośrednie mapowanie od decyzji dotyczących planowania do faz implementacji.
Cele implementacji
Planowanie implementacji przekłada cele projektu na wymuszane decyzje.
Wiele obszarów zabezpieczeń i technologii przyczynia się do rezultatów tego rozwiązania. W poniższej tabeli pokazano, jak cele planowania odnoszą się do dyscyplin i implementacji podrzędnej.
| Cel implementacji | Zaangażowane dyscypliny | Wynik planowania |
|---|---|---|
|
Ograniczanie ujawnienia poświadczeń uprzywilejowanych Zminimalizuj czas, gdzie i jak można używać poświadczeń uprzywilejowanych. |
Strategia i nadzór Dostęp i tożsamość Architektura zabezpieczeń |
Udokumentowana lista ról, akcji i systemów, które stanowią uprzywilejowany dostęp. Jasne zasady określające, kiedy podniesienie uprawnień jest dozwolone, na jak długo i za jaką zgodą. Pomaga wymuszać dostęp dokładnie na czas i eliminuje stałe uprawnienia. |
|
Izolowanie i monitorowanie ścieżek dostępu uprzywilejowanego Wymuś silne uwierzytelnianie i zaufanie do urządzeń. Ciągłe monitorowanie nietypowego zachowania. Nadaj priorytet wykrywaniu i reagowaniu ze względu na duży wpływ. |
Architektura zabezpieczeń Dostęp i tożsamości SecOps |
Jawnie zdefiniowane ścieżki dostępu uprzywilejowanego, które są dozwolone, ograniczone lub wyeliminowane. Na przykład: wyłącznie stacje robocze uprzywilejowanego dostępu (PAW), zatwierdzone portale i interfejsy API, bez przestarzałych protokołów, bez bezpośredniego dostępu administracyjnego z urządzeń osobistych. Zapewnia solidny model zezwalania/blokowania na potrzeby dostępu warunkowego, zabezpieczeń interfejsu i monitorowania. |
|
Zmniejszanie obszaru uprzywilejowanego ataku Zmniejsz obszar ataków, minimalizując liczbę tożsamości uprzywilejowanych, ról i przypisań. |
Strategia, integracja, ład Dostęp i tożsamość Zarządzanie stanem zabezpieczeń. |
Pełna racjonalizacja ról uprzywilejowanych. Które role są wymagane lub można je usunąć, a które przepływy pracy muszą ulec zmianie, aby uniknąć stałych uprawnień. Umowa o tym, które role mają być usuwane z stałego przypisania. Pomiary powodzenia. Na przykład zmniejszenie liczby stałych ról uprzywilejowanych. |
|
Oddzielne przepływy pracy dotyczące produktywności i administracji Oddzielaj przepływy pracy, aby wyeliminować mostek między typowymi wektorami ataków i kontrolą w całym przedsiębiorstwie. |
Architektura zabezpieczeń Infrastruktura Dostęp i tożsamość. |
Decyzje dotyczące miejsca, w którym może wystąpić uprzywilejowana praca. Określa, czy są wymagane dedykowane konta administratora i urządzenia. Które działania są zabronione ze standardowych środowisk zwiększających produktywność. Które przepływy pracy muszą przejść do uprzywilejowanych urządzeń lub sesji. Te decyzje umożliwiają fazę wdrażania urządzeń i wymuszania dostępu bez niejednoznaczności. |
Używanie poziomów zabezpieczeń do planowania
Poziomy zabezpieczeń są używane podczas planowania klasyfikowania ścieżek dostępu uprzywilejowanego, a nie tylko kont lub urządzeń. Do celów planowania używamy trzech poziomów zabezpieczeń podczas przeglądania ścieżek dostępu. Należy pamiętać, że ten przewodnik implementacji koncentruje się tylko na poziomie uprzywilejowanym.
| Poziom zabezpieczeń | Przeznaczenie |
|---|---|
| Przedsiębiorstwo | Zabezpieczenia linii bazowej dla wszystkich użytkowników i urządzeń. |
| wyspecjalizowane | Zwiększona ochrona ról o podwyższonym poziomie i dużym wpływie na działalność biznesową. |
| Uprzywilejowane | Maksymalna ochrona płaszczyzny sterowania oraz administracji całą dzierżawą. |
Podczas planowania dostępu uprzywilejowanego użyj poziomów zabezpieczeń, aby odpowiedzieć:
- Które ścieżki dostępu wymagają najsilniejszych zabezpieczeń?
- Które ścieżki mogą pozostać tymczasowo na niższym poziomie podczas modernizacji?
- Gdzie muszą być obowiązkowe zabezpieczenia, zanim będzie dozwolona jakakolwiek praca uprzywilejowana?
Kluczowe zasady planowania:
- Poziomy zabezpieczeń dotyczą ścieżek dostępu, a nie tylko tożsamości.
- Jeśli praca jest wykonywana za pośrednictwem ścieżki dostępu uprzywilejowanego, ta ścieżka musi spełniać wymagany poziom zabezpieczeń.
- Przewodnik po poziomach zabezpieczeń:
- Wzorce wymuszania
- Profile konfiguracji
- Decyzje dotyczące dostępu warunkowego
- Sekwencjonowanie implementacji
Dzięki temu można stopniowo modernizować uprzywilejowany dostęp przy jednoczesnym zapewnieniu, że najpierw zostaną rozwiązane ścieżki o najwyższym ryzyku.
Implementacja sekwencji w celu zmniejszenia ryzyka
Modernizacja dostępu uprzywilejowanego musi zmniejszyć ryzyko bez zakłócania operacji. Planowanie określa kolejność działań, według której przebiega wdrożenie.
Typowa sekwencja planowania:
-
Przestań tworzyć nowe uprzywilejowane ryzyko. Nie pozwól, aby działania uprzywilejowane były kontynuowane za pośrednictwem niezabezpieczonych ścieżek w trakcie planowania i audytu.
- Brak nowych stałych przypisań ról uprzywilejowanych.
- Brak nowych niezabezpieczonych ścieżek dostępu.
- Najpierw zabezpiecz najważniejsze ścieżki dostępu: zacznij od warstwy kontroli tożsamości (administratorów dzierżawy i subskrypcji). Przejdź do podstawowych systemów infrastruktury i produkcji.
- Ustanowienie bezpiecznych podstaw. Zdefiniuj tożsamości uprzywilejowane, a następnie skonfiguruj dedykowane urządzenia uprzywilejowane i zatwierdzone ścieżki dostępu.
- Stopniowo rozszerzaj zakres. Zaostrz egzekwowanie w miarę dojrzewania mechanizmów monitorowania i walidacji. Wykrywanie służy do identyfikowania i korygowania nowych lub niezatwierdzonych ścieżek.
Sekwencjonowanie zapewnia, że inspekcje, wymuszanie i korygowanie są prawidłowe, ponieważ zabezpieczenia istnieją przed zaostrzeniem kontroli.
Od planowania do wdrożenia
Implementacja wymusza decyzje generowane podczas projektowania i planowania.
| Dane wyjściowe planowania | Wymuszanie implementacji |
|---|---|
| Definicje ról uprzywilejowanych i zakres | Faza 1: Zabezpiecz płaszczyznę sterowania tożsamością. Bezpieczne przypisania ról, konfiguracja usługi PIM, przepływy pracy zatwierdzania i inspekcja. |
| Wymagania dotyczące urządzeń uprzywilejowanych | Faza 2. Zabezpieczanie urządzeń. Wdrażanie i wymuszanie używania stacji roboczych z dostępem uprzywilejowanym ze wzmocnionymi zabezpieczeniami (PAW) |
| Zatwierdzone i zablokowane ścieżki dostępu | Faza 3. Konfigurowanie zasad. Konfigurowanie dostępu warunkowego, ograniczeń interfejsu, blokowania protokołu. |
| Zaakceptowane kompromisy i wyjątki | Faza 1. Zabezpieczanie płaszczyzny kontroli tożsamości i fazy 3: Konfigurowanie zasad. Rejestrowanie, przeglądanie przepływów pracy, konta z break-glass. |
| Monitorowanie dostępu uprzywilejowanego | Faza 4. Monitorowanie i wykrywanie zagrożeń. Reguły wykrywania, priorytetyzacja alertów, walidacja zatwierdzonych ścieżek. |
Przed wdrożeniem każdej fazy upewnij się, że zostały wykonane odpowiednie akcje planowania.
Następne kroki
Rozpocznij wdrażanie od Fazy 1 — skonfiguruj płaszczyznę sterowania tożsamością . Ta faza określa podstawę, w której są definiowane i chronione uprzywilejowane tożsamości, przypisania ról i autoryzowane ścieżki podniesienia uprawnień.
Wszystkie kolejne mechanizmy kontroli dotyczące urządzeń, zasad i monitorowania opierają się na tym etapie.