Dela via


Modell för företagsåtkomst

Det här dokumentet beskriver en övergripande företagsåtkomstmodell som innehåller kontexten för hur en strategi för privilegierad åtkomst passar in. En översikt över hur du antar en strategi för privilegierad åtkomst finns i den snabba moderniseringsplanen (RaMP). Implementeringsvägledning för att distribuera detta finns i Privilegierad åtkomstdistribution

Strategin för privilegierad åtkomst är en del av en övergripande strategi för åtkomstkontroll för företag. Den här företagsåtkomstmodellen visar hur privilegierad åtkomst passar in i en övergripande företagsåtkomstmodell.

De primära butikerna för affärsvärde som en organisation måste skydda finns i data-/arbetsbelastningsplanet:

Data/workload plane

Program och data lagrar vanligtvis en stor andel av en organisations:

  • Affärsprocesser i program och arbetsbelastningar
  • Immateriella rättigheter i data och program

Företagets IT-organisation hanterar och stöder de arbetsbelastningar och den infrastruktur som de finns på, oavsett om det är lokalt, i Azure eller en molnleverantör från tredje part, som skapar ett hanteringsplan. För att tillhandahålla konsekvent åtkomstkontroll till dessa system i hela företaget krävs ett kontrollplan baserat på centraliserade företagsidentitetssystem, som ofta kompletteras med nätverksåtkomstkontroll för äldre system som ot-enheter (operational technology).

Control, management, and data/workload planes

Vart och ett av dessa plan har kontroll över data och arbetsbelastningar på grund av sina funktioner, vilket skapar en attraktiv väg för angripare att missbruka om de kan få kontroll över något av plan.

För att dessa system ska kunna skapa affärsvärde måste de vara tillgängliga för interna användare, partner och kunder som använder sina arbetsstationer eller enheter (ofta med hjälp av fjärråtkomstlösningar) – vilket skapar användaråtkomstvägar . De måste också ofta vara tillgängliga programmatiskt via programprogrammeringsgränssnitt (API:er) för att underlätta processautomatisering och skapa programåtkomstvägar .

Adding user and application access pathways

Slutligen måste dessa system hanteras och underhållas av IT-personal, utvecklare eller andra i organisationerna, vilket skapar privilegierade åtkomstvägar . På grund av den höga kontrollnivå som de ger över affärskritiska tillgångar i organisationen måste dessa vägar skyddas strikt mot kompromisser.

Privileged access pathway to manage and maintain

Att tillhandahålla konsekvent åtkomstkontroll i organisationen som möjliggör produktivitet och minimerar risker kräver att du

  • Framtvinga Nolltillit principer för all åtkomst
    • Anta intrång i andra komponenter
    • Explicit verifiering av förtroende
    • Åtkomst med minst behörighet
  • Genomgripande säkerhet och principframtvingande i hela
    • Intern och extern åtkomst för att säkerställa konsekvent principprogram
    • Alla åtkomstmetoder, inklusive användare, administratörer, API:er, tjänstkonton osv.
  • Minimera obehörig behörighetseskalering
    • Framtvinga hierarki – för att förhindra kontroll av högre plan från lägre plan (via attacker eller missbruk av legitima processer)
      • Kontrollplan
      • Hanteringsplanet
      • Data/arbetsbelastningsplan
    • Kontinuerligt granska för konfigurationsrisker som möjliggör oavsiktlig eskalering
    • Övervaka och svara på avvikelser som kan representera potentiella attacker

Utveckling från den äldre AD-nivåmodellen

Företagsåtkomstmodellen ersätter och ersätter den äldre nivåmodellen som var inriktad på att innehålla obehörig eskalering av privilegier i en lokal Windows Server Active Directory-miljö.

Legacy AD tier model

Företagsåtkomstmodellen innehåller dessa element samt fullständiga krav på åtkomsthantering för ett modernt företag som sträcker sig över lokalt, flera moln, intern eller extern användaråtkomst med mera.

Complete enterprise access model from old tiers

Expansion av nivå 0-omfång

Nivå 0 expanderar till att bli kontrollplanet och hanterar alla aspekter av åtkomstkontroll, inklusive nätverk där det är det enda/bästa åtkomstkontrollalternativet, till exempel äldre OT-alternativ

Delningar på nivå 1

För att öka tydligheten och åtgärdsbarheten delas det som var nivå 1 nu upp i följande områden:

  • Hanteringsplan – för företagsomfattande IT-hanteringsfunktioner
  • Data/arbetsbelastningsplan – för hantering per arbetsbelastning, som ibland utförs av IT-personal och ibland av affärsenheter

Den här uppdelningen säkerställer fokus för att skydda affärskritiska system och administrativa roller som har högt inbyggt affärsvärde, men begränsad teknisk kontroll. Dessutom passar den här uppdelningen bättre för utvecklare och DevOps-modeller jämfört med att fokusera för mycket på klassiska infrastrukturroller.

Nivå 2-delningar

För att säkerställa täckning för programåtkomst och de olika partner- och kundmodellerna delades nivå 2 upp i följande områden:

  • Användaråtkomst – som omfattar alla scenarier för B2B, B2C och offentlig åtkomst
  • Appåtkomst – för att hantera API-åtkomstvägar och resulterande attackyta

Nästa steg