Изменить

Microsoft Entra IDaaS в операциях безопасности

Microsoft Entra ID
Microsoft Sentinel

Эта архитектура показывает, как команды центра управления безопасностью (SOC) могут включать удостоверения Microsoft Entra и возможности доступа в общую интегрированную и многоуровневую стратегию безопасности без доверия .

Когда все службы и устройства находились в управляемых сетях организаций, в Центре SOC преобладали операции по обеспечению безопасности сети. Однако согласно прогнозам Gartner до 2022 года объем рынка облачных служб будет увеличиваться почти в три раза быстрее, чем общий объем рынка ИТ-услуг. Поскольку все больше компаний переходит на работу с облачными вычислениями, удостоверение пользователя все чаще рассматривается как основная граница безопасности.

Защита удостоверений в облаке является приоритетной задачей.

В рамках модели безопасности "Никому не доверяй" все узлы рассматриваются так, как если бы они имели выход в Интернет, а вся сеть считается потенциально скомпрометированной и враждебной. Цель этого подхода — создание надежных процессов проверки подлинности, авторизации и шифрования, а также предоставление разделенного доступа и повышение операционной гибкости.

Gartner продвигает адаптивную архитектуру безопасности, которая заменяет стратегию, основанную на реагировании на инциденты, моделью предотвращение — обнаружение — реагирование — прогнозирование. В ней контроль доступа, поведенческий мониторинг, управление использованием и обнаружение объединены с непрерывным мониторингом и анализом.

Эталонная архитектура Microsoft Cybersecurity (MCRA) описывает возможности кибербезопасности Майкрософт и их интеграцию с существующими архитектурами безопасности, включая облачные и гибридные среды, которые используют идентификатор Microsoft Entra для удостоверений как службы (IDaaS).

В этой статье описан подход к IDaaS с адаптивной безопасностью, подчеркивающий компоненты, доступные на платформе Microsoft Entra.

Потенциальные варианты использования

  • Проектирование новых решений по обеспечению безопасности
  • Улучшение существующих реализаций или интеграция с ними
  • Обучение команд SOC

Архитектура

Microsoft Entra related security capabilities

Скачайте файл Visio этой архитектуры.

Рабочий процесс

  1. Управление учетными данными контролирует проверку подлинности.
  2. Подготовка и управление правами определяют пакет для доступа, назначают ресурсы пользователям и отправляют данные для аттестации.
  3. Механизм авторизации оценивает политику доступа для определения доступа. Он также оценивает обнаружения рисков, в том числе данные аналитики поведения пользователей и сущностей (UEBA), и проверяет соответствие устройства для управления конечными точками.
  4. Прошедший авторизацию пользователь или устройство получает доступ к политикам и элементам управления условного доступа.
  5. Если авторизация завершилась ошибкой, пользователи могут выполнить исправление в режиме реального времени, чтобы разблокировать себя.
  6. Все данные сеанса регистрируются в журнале для последующего анализа и отчетности.
  7. Система управления информационной безопасностью и событиями безопасности и событиями (SIEM) команды SOC получает все данные журналов, данные обнаружения рисков и данные UEBA от облачных и локальных удостоверений.

Компоненты

Следующие процессы и компоненты безопасности способствуют этой архитектуре Microsoft Entra IDaaS.

Управление учетными данными

Управление учетными данными включает в себя службы, политики и методики, которые предоставляют, отслеживают и обновляют доступ к ресурсам или службам. Управление учетными данными Microsoft Entra включает следующие возможности:

  • Самостоятельный сброс пароля (SSPR) — пользователи могут самостоятельно обслуживать и сбрасывать свои потерянные, забытые или скомпрометированные пароли. SSPR не только снижает число обращений в службу поддержки, но и обеспечивает большую гибкость и безопасность пользователей.

  • Обратная запись паролей — синхронизация паролей, измененных в облаке, с локальными каталогами в режиме реального времени.

  • Запрещенные пароли анализируют данные телеметрии, предоставляющие часто используемые слабые или скомпрометированные пароли, а также запрещает их использование во всем мире по идентификатору Microsoft Entra. Эту функцию можно настроить для имеющейся среды и включить список пользовательских паролей, которые запрещены в организации.

  • Смарт-блокировка — сравнение допустимых попыток проверки подлинности с попытками методом подбора для получения неавторизованного доступа. Согласно политике смарт-блокировки по умолчанию учетная запись блокируется на одну минуту после 10 неудачных попыток входа в систему. По мере того как попытки входа в систему завершаются неудачей, время блокировки учетной записи увеличивается С помощью политик можно настроить соответствующие параметры, чтобы обеспечить оптимальное сочетание безопасности и удобства использования в организации.

  • Многофакторная проверка подлинности (MFA) требует нескольких форм проверки подлинности, когда пользователи пытаются получить доступ к защищенным ресурсам. Для доступа к ресурсам большинство пользователей привыкло использовать что-то известное им, например пароль. MFA просит пользователей продемонстрировать то, что у них есть, например доступ к доверенному устройству, или то, чем они являются, например биометрический идентификатор. MFA может использовать различные способы проверки подлинности, такие как телефонные звонки, текстовые сообщения или уведомления через приложение Authenticator.

  • Проверка подлинности без пароля заменяет пароль в рабочем процессе проверки подлинности смартфоном или аппаратным токеном, биометрическим идентификатором или ПИН-кодом. Проверка подлинности Без пароля Майкрософт может работать с ресурсами Azure, такими как Windows Hello для бизнеса, и приложением Microsoft Authenticator на мобильных устройствах. Кроме того, можно включить проверку подлинности без пароля с помощью ключей безопасности, совместимых с FIDO2, которые используют WebAuthn и протокол КЛИЕНТА и CTAP в Альянсе FIDO.

Подготовка приложений и предоставление прав

  • Управление правами — это функция управления удостоверениями Microsoft Entra, которая позволяет организациям управлять жизненным циклом идентификации и доступа в большом масштабе. Управление правами автоматизирует рабочие процессы запросов на доступ, назначения доступа, проверки и истечение срока действия.

  • Подготовка Microsoft Entra позволяет автоматически создавать удостоверения пользователей и роли в приложениях, которым пользователям требуется доступ. Вы можете настроить подготовку Microsoft Entra для сторонних приложений программного обеспечения как услуга (SaaS), таких как SuccessFactors, Workday и многое другое.

  • Простой единый вход (SSO) автоматически выполняет проверку подлинности пользователей в облачных приложениях после их входа в системы корпоративных устройств. Вы можете использовать простой единый вход Microsoft Entra с синхронизацией хэша паролей или сквозной проверкой подлинности.

  • Аттестация с помощью проверок доступа Microsoft Entra помогает соответствовать требованиям к мониторингу и аудиту. Проверки доступа позволяют быстро определять количество пользователей-администраторов, проверять возможность доступа новых сотрудников к необходимым ресурсам или изучать активность пользователей, чтобы определять, нужен ли им все еще доступ.

Политики и элементы управления условного доступа

Политика условного доступа — это инструкция с условиями для назначений и управления доступом. Вы определяете ответ ("сделать это") на причину активации политики ("если это"), позволяя механизму авторизации принимать решения, обеспечивающие соблюдение политик организации. С помощью условного доступа Microsoft Entra вы можете управлять доступом авторизованных пользователей к вашим приложениям. Средство Microsoft Entra ID What If может помочь понять, почему политика условного доступа была или не применена, или если политика будет применяться к пользователю в определенном обстоятельстве.

Элементы управления условным доступом работают вместе с политиками условного доступа, чтобы обеспечить соблюдение политики организации. Элементы управления условным доступом Microsoft Entra позволяют реализовать безопасность на основе факторов, обнаруженных во время запроса доступа, а не одномерного подхода. Объединяя элементы управления условным доступом с условиями доступа, вы минимизируете необходимость создания дополнительных средств управления безопасностью. Вот типичный пример: вы можете разрешить пользователям устройств, подключенных к домену, получать доступ к ресурсам с помощью SSO, но требовать MFA для пользователей вне сети или пользователей личных устройств.

Идентификатор Microsoft Entra может использовать следующие элементы управления условным доступом с политиками условного доступа:

Обнаружение риска

Защита идентификации Azure включает в себя несколько политик с помощью которых организации могут управлять ответными мерами на подозрительные действия пользователей. Риск пользователя — это вероятность того, что удостоверение пользователя скомпрометировано. Риск при входе — вероятность того, что запрос на вход в систему исходит не от пользователя. Идентификатор Microsoft Entra вычисляет оценки рисков входа на основе вероятности запроса на вход, исходящий от фактического пользователя, на основе аналитики поведения.

  • Обнаружения рисков Microsoft Entra используют адаптивные алгоритмы машинного обучения и эвристики для обнаружения подозрительных действий, связанных с учетными записями пользователей. Каждое обнаруженное подозрительное действие сохраняется в виде записи, называемой событием риска. Идентификатор Microsoft Entra вычисляет вероятность риска входа пользователей и входа с помощью этих данных, улучшенных с помощью внутренних и внешних источников аналитики угроз Майкрософт и сигналов.

  • API обнаружения рисков Защиты идентификации в Microsoft Graph позволяют раскрывать информации о рискованных пользователях и входах.

  • Устранение рисков в режиме реального времени позволяет пользователям разблокировать себя с помощью SSPR и MFA, чтобы самостоятельно устранить некоторые обнаруженные риски.

Рекомендации

Имейте в виду эти моменты при использовании этого решения.

Ведение журнала

Отчеты аудита Microsoft Entra обеспечивают трассировку действий Azure с помощью журналов аудита, журналов входа и рискованных отчетов пользователей. Данные журнала можно фильтровать и выполнять в них поиск на основе нескольких параметров, включая службу, категорию, действие и состояние.

Данные журнала идентификатора Microsoft Entra можно направлять в такие конечные точки, как:

Вы также можете использовать API отчетов Microsoft Graph для получения и использования данных журнала идентификатора Microsoft Entra в собственных скриптах.

Рекомендации по локальным и гибридным сценариям

Способы проверки подлинности имеют критическое значение для защиты удостоверений организации в гибридном сценарии. Корпорация Майкрософт предоставляет конкретные рекомендации по выбору метода гибридной проверки подлинности с идентификатором Microsoft Entra.

Microsoft Defender для удостоверений могут использовать сигналы локальная служба Active Directory для выявления, обнаружения и изучения расширенных угроз, скомпрометированных удостоверений и вредоносных действий предварительной оценки. Defender для удостоверений использует UEBA для выявления внутренних угроз и флага риска. Даже если удостоверение скомпрометировано, Defender для удостоверений может помочь определить компромисс на основе необычного поведения пользователя.

Defender для удостоверений интегрирован с Defender для облака Apps для расширения защиты облачных приложений. С помощью Defender for Cloud Apps можно создать политики сеансов, защищающие файлы при скачивании. Например, вы можете автоматически задать разрешения только для просмотра для любого файла, скачаемого определенными типами пользователей.

Вы можете настроить локальное приложение в идентификаторе Microsoft Entra для использования Defender для облака Apps для мониторинга в режиме реального времени. Microsoft Defender for Cloud Apps использует Управление условным доступом к приложениям для мониторинга сеансов и управления ими в режиме реального времени на основе политик условного доступа. Эти политики можно применить к локальным приложениям, используюющим прокси приложения в идентификаторе Microsoft Entra.

Microsoft Entra Application Proxy позволяет пользователям получать доступ к локальным веб-приложениям из удаленных клиентов. С помощью Application Proxy можно отслеживать все действия входа для приложений в одном месте.

Вы можете использовать Defender для удостоверений с Защита идентификации Microsoft Entra для защиты удостоверений пользователей, синхронизированных с Azure с microsoft Entra Подключение.

Если некоторые из приложений уже используют существующий контроллер доставки или сетевой контроллер для предоставления доступа вне сети, их можно интегрировать с идентификатором Microsoft Entra. Несколько партнеров, включая Akamai, Citrix, F5 Networks и Zscaler, предлагают решения и рекомендации по интеграции с Идентификатором Microsoft Entra.

Оптимизация затрат

Цены Microsoft Entra варьируются от бесплатных функций, таких как единый вход и MFA, до Premium P2, для таких функций, как PIM и управление правами. Сведения о ценах см. в разделе о ценах Microsoft Entra.

Следующие шаги