Översikt – Implementera en arkitektur för privilegierad åtkomst

Den här artikeln introducerar en lösning från slutpunkt till slutpunkt för implementering av en arkitektur för privilegierad åtkomst. Det riktar sig till säkerhets- och identitetsplanerare och implementerare.

I Microsoft säkerhetsimplementeringsmodell:

• Implementeringslösningar erbjuder föreskrivande vägledning för driftsättning.
• Lösningarna anpassas till affärsscenarier som definierar högprioriterade säkerhetsresultat.

Innan du börjar implementera får du lära dig hur en säker arkitektur för privilegierad åtkomst spelar en viktig roll i affärsscenariot – Skydda kritiska affärstillgångar – genom att minska den här risken och stärka kontrollen över känsliga system.

Lösningsmål

Privilegierad åtkomst representerar en av de största riskerna i alla organisationer eftersom den ger direkt kontroll över identitetssystem, molnkontrollplan och kritiska affärsresurser.

Den här guiden definierar en Nulová dôvera (Zero Trust) metod för privilegierad åtkomst genom att behandla den som en åtkomstväg från slutpunkt till slutpunkt, som omfattar identitet, enhet, gränssnitt, målresurs och övervakning. I stället för att skydda enskilda komponenter isolerat säkerställer den här modellen att hela åtkomstvägen styrs och valideras kontinuerligt.

Målet är att minska risken genom att:

• Begränsa vem som kan utföra privilegierade åtgärder.
• Kontrollera var och hur dessa åtgärder kan inträffa.
• Övervaka och svara kontinuerligt på privilegierad aktivitet.

Implementera den här arkitekturen med hjälp av Microsoft Entra ID, Microsoft Intune och Microsoft Defender för Endpoint.

Distribuera lösningen i faser. Börja med att upprätta en säker grund (identitetskontrollplan och betrodda enheter), tillämpa principkontroller och konfigurera sedan övervaknings- och svarsåtgärder.

Risk för privilegierad åtkomst

Privilegierade identiteter (mänskliga och icke-mänskliga) styr värdefulla tillgångar och mekanismer för säkerhetstillämpning. När den komprometteras är den resulterande affärspåverkan allvarlig. Med privilegierade åtkomstangreppare kan:

• Exfiltera, kryptera eller förstöra data.
• Stänga av eller störa verksamheten.
• Inaktivera identifierings- och tvingande kontroller.
• Subvertera identitetssystem och skapa beständig åtkomst.

Vanliga attacker

Attacker följer två vanliga mönster:

• Riktad datastöld: Cyberattacker hittar och exfilterar känslig immateriell egendom, finansiella data eller strategiska planer. Stulna data säljs, läckas eller används för konkurrensfördelar.
• Utpressningstrojaner som drivs av människor: Cyberattacker utnyttjar privilegierad åtkomst till krypterade system, stoppar åtgärder och utpressar organisationen – vilket tvingar verkställande beslut under extrem tidspress.

Varför privilegierad åtkomst är riskabel

Risken för privilegierad åtkomst är unik och systemisk av flera skäl.

Risk	Detaljer
Opererar i kontrollplanet	Privilegierade konton fungerar i kontrollplanet, inte bara arbetsbelastningsplanet. Privilegierade identiteter kan ändra identitet, ändra säkerhetskonfigurationer, inaktivera eller kringgå tvingande kontroller och manipulera affärskritiska data. När angripare får privilegierad åtkomst kan de undergräva själva mekanismerna som är utformade för att identifiera och stoppa dem. Detta gör traditionella inneslutningsstrategier mycket mindre effektiva och gör att kompromisser kan bevaras oupptäckta.
Hög affärspåverkan per design	Privilegierad åtkomst finns för att hantera kritiska system, så missbruk av den åtkomsten får omedelbara och allvarliga konsekvenser. Med privilegierad åtkomst kan angripare: – Exfiltera eller förstöra känsliga data – Stänga av eller manipulera affärsåtgärder – Kryptera hela miljöer för utpressning (utpressningstrojaner som drivs av människor) - Undergräva system på sätt som kan orsaka skada i den verkliga världen. Dessa resultat är inte teoretiska. De observeras upprepade gånger i olika branscher, vilket gör privilegierad åtkomst till ett av de mest tillförlitliga sätten för angripare att uppnå maximal påverkan.
Högt och störande	Till skillnad från smygande datastöld är många privilegierade åtkomstattacker – särskilt utpressningstrojaner som drivs av människor – avsiktligt störande. De stoppar verksamheten, bryter kundinriktade tjänster och tvingar beslutsfattande på chefsnivå under extrem tidspress. Eftersom alla organisationer är ekonomiskt och driftsmotiverade för att snabbt återställa tjänsten är dessa attacker universellt tillämpliga och mycket effektiva, oavsett bransch eller storlek.
Risken ökar, inte minskar	Angripare är flexibla och teknikagnostiska. De riktar inte in sig på en enda produkt eller kontroll, men utnyttjar den privilegierade åtkomstvägen som är svagast just nu. Den privilegierade åtkomstangreppsytan är bred och sammankopplad och sträcker sig över: – Konton och identitetssystem – Arbetsstationer och enheter – Mellanliggande system som fjärråtkomstverktyg och PAM/PIM-lösningar. – Hanteringsgränssnitt, portaler, API:er och behörighetseskaleringsvägar. Kompromisser av något av dessa element kan ge en väg till fullständig företagskontroll, och nya åtkomstvägar introduceras kontinuerligt när miljöer utvecklas.
Metoder med en lösning misslyckas	Distribution av endast en kontrollklass, till exempel PAM/PIM, nätverksbegränsningar eller identifieringsverktyg, minskar inte risken tillräckligt. Dessa kontroller löser delar av problemet, inte systemet. Om privilegierad åtkomst inte är skyddad från slutpunkt till slutpunkt dirigerar angripare bara runt isolerade skydd och utnyttjar en oskyddad länk i åtkomstsökvägen. Det är därför privilegierad åtkomst måste behandlas som ett fullständigt system – från identitets- och enhetsförtroende, via utökade privilegier och körning till övervakning och svar – i stället för som en samling oberoende verktyg.

Arkitekturprinciper och resultat

Microsoft rekommenderade metoden är att skapa ett privilegierat åtkomstsystem med sluten loop som:

• Ger omedelbar riskreduktion
• Stöder inkrementell, hållbar utveckling
• Undviker onödig komplexitet
• Möjliggör tydliga resultat och framgångskriterier

Arkitektoniska resultat

Genom att genomföra strategin utifrån dessa principer skapas ett antal tydliga resultat och framgångskriterier.

Resultat	Arkitektur	Framgångsvillkor
Privilegierad åtkomst upprätthålls genom ett heltäckande system	Risker kopplade till privilegierad åtkomst kontrolleras längs hela åtkomstkedjan: identitet, rolltilldelning, enhet, körningsmiljö, arbetsflöde för behörighetshöjning, mellanliggande system, hanteringsgränssnitt, övervakning och incidenthantering. Arbete med privilegier sker endast via uttryckliga, auktoriserade vägar för behörighetshöjning med Nulová dôvera (Zero Trust)-validering (identitetssäkring, enhetstillit, sessionskontext).	Varje session verifierar att användarkontot och enheten är betrodda på en tillräcklig nivå innan åtkomst tillåts. Måttexempel: % av privilegierade inloggningar uppfyller krav som MFA och obligatoriskt enhetsförtroende. % av privilegierade åtgärder som utförs via arbetsflödet för utökade godkännanden jämfört med stående privilegier.
Skydda och övervaka identitetssystem	Skydda identitetssystem som är värdar för eller ger behörighet (kataloger, identitetshantering, administratörskonton osv.). Styrning, principframtvingande, loggning och analys är centraliserade för att minska driften och förbättra synligheten.	Vart och ett av dessa system skyddas på en nivå som är lämplig för den potentiella affärspåverkan av konton som finns i det. Måttexempel: % av privilegierade identiteter som omfattas av regelbunden åtkomstgranskning Slutförandefrekvens för periodiska privilegierade åtkomstgranskningar (som granskade, vem som återkallade).
Begränsa sidledes förflyttning	Isolera privilegierat arbete från miljöer med hög exponering. Skydda autentiseringsuppgifter för lokala administratörskonton, hemligheter för tjänstkonton och mekanismer för privilegiehöjning så att en kompromettering av en enskild enhet, ett konto eller en autentiseringsuppgift inte möjliggör mer omfattande administrativ kontroll.	Att kompromettera en enskild enhet leder inte omedelbart till kontroll över många eller alla andra enheter i miljön. Exempel på mått: % privilegierade åtgärder endast från administratörsarbetsstationer.
Svara snabbt på hot	Privilegierad aktivitet är en prioritetssignal för identifiering och svar. Utforma övervakning och incidenthantering för att störa flerstegsattacker och begränsa angripares uppehållstid för privilegierad åtkomst.	Ditt incidentsvar kan på ett tillförlitligt sätt stoppa flerstegsattacker innan de når privilegierad åtkomst och kan innehålla privilegierat missbruk snabbt när det inträffar. Måttexempel: Genomsnittlig tid för att åtgärda privilegierade MTTR-incidenter minskas till minuter i stället för timmar eller dagar. Oväntade eller nya privilegierade åtkomstsökvägar identifieras och stängs snabbt.

Spåra dessa mått varje månad för förlopp och granska kvartalsvis som en del av styrningen av privilegierad åtkomst.

Förstå privilegierade åtkomstvägar

Sökvägar för privilegierad åtkomst är åtkomstsökvägar som bildar en komplett kedja från identitet till körning, vilket illustreras i följande diagram.

Om någon länk i kedjan är svag är hela sökvägen sårbar.

Path	Components	Risk
Sökvägar för användaråtkomst Sökvägar för användaråtkomst stöder standardproduktivitet och affärsåtgärder, till exempel e-post, samarbete, webbsurfning och verksamhetsspecifika program.	En sökväg för användaråtkomst omfattar vanligtvis: - Identitet: Ett standardanvändarkonto - Enhet: En arbetsstation för generell användning - Mellanhand: Valfria mellanhänder som VPN eller fjärråtkomst. - Gränssnitt: Interaktion med företagsprogram och -tjänster.	Även om komprometterande av en användaråtkomstsökväg kan orsaka skada, är den potentiella effekten begränsad jämfört med privilegierad åtkomst.
Privilegierade åtkomstsökvägar Privilegierade åtkomstvägar hanterar identiteter, infrastruktur, säkerhetskontroller och affärskritiska system.	Privilegierade åtkomstsökvägar består vanligtvis av: - Identitet: Ett konto som utför privilegierat arbete. - Enhet: Den slutpunktsarbetsstation eller enhet som används av den privilegierade sessionen. - Mellanhand: Varje system eller tjänst som förmedlar eller är värd för den privilegierade sessionen, till exempel verktyg för fjärråtkomst eller hantering. - Gränssnitt: Hanteringsytan där privilegierad kontroll utövas. Till exempel portaler, API:er, kommandoradsverktyg eller automatisering.	Även om de tekniska komponenterna liknar en åtkomstväg för användare, är den potentiella skadan avsevärt större om de äventyras. Privilegierade åtkomstsökvägar måste därför vara: - Färre i antal – Uttryckligen definierad – Isolerad från användaråtkomstsökvägar – Skyddad med de starkaste tillgängliga kontrollerna.

Exempelsökväg

I en typisk privilegierad åtkomstväg:

1. En dedikerad administratörsidentitet loggar in.
2. Inloggningen kommer från en säkerhetshärdad arbetsstation för privilegierad åtkomst (PAW).
3. Inloggningen aktiverar en roll via Privileged Identity Management (PIM).
4. Inloggningen använder ett specifikt administrativt gränssnitt, till exempel en portal, ETT API eller CLI.
5. Den inloggade identiteten utför en privilegierad åtgärd.

Lösningskomponenter

Den privilegierade åtkomstlösningen bygger på tre nära kopplade element som säkerställer – privilegierade åtgärder av rätt identiteter, från betrodda enheter, under framtvingade villkor.

1. Privilegierade identiteter

   • Dedikerade administratörskonton som tillåts utföra privilegierade åtgärder.
   • Identiteter som skyddas med stark autentisering och, där det är möjligt, lösenordslös autentisering.
   • Begränsad privilegierad rolltilldelning.
   • Just-in-time-behörighetshöjning med godkännande.

2. Arbetsstationer för privilegierad åtkomst (PAW)

   • Härdade, restriktiva enheter.
   • Minskad attackyta på enheter.
   • Skydd mot hot mot autentiseringsuppgifter och skadlig kod.
   • Isolerad från högriskanvändaraktivitet.

3. Principframtvingande och övervakning

   • Villkorsstyrd åtkomst verifierar identitets-, enhets- och sessionskontext.
   • Sökvägar för privilegiehöjning är explicit definierade.
   • All privilegierad aktivitet loggas, övervakas och kan granskas.

Identitetssystem och eskaleringsvägar

Identitetssystemen och eskaleringsvägarna är grundläggande komponenter i varje väg för privilegierad åtkomst. De definierar var privilegierade identiteter skapas, hur administrativa roller tilldelas och hur användare övergår från ett icke-privilegierat tillstånd till att utföra privilegierade åtgärder.

Den här implementeringsvägledningen behandlar identitetssystem och privilegieeskaleringsvägar som en del av den privilegierade attackytan och identitetsstyrningsplanet.

Area	Detaljer	Riskminimering
Identitetssystem	Där privilegierade identiteter, roller och administrativa behörigheter definieras och hanteras. Den här definitionen omfattar kataloger, rolltilldelningar, administrativa grupper och konfiguration på klientorganisationsnivå.	Privilegierade identiteter fungerar i kontrollplanet. Om identitetssystem komprometteras kan angripare skapa, ändra eller bevara privilegierad åtkomst – kringgå enhetskontroller, åtkomstvillkor och övervakning. Att skydda identitetskontrollplanet är den högsta implementeringsprioriteten.
Auktoriserade eskaleringsvägar	Hur en användare övergår från ett icke-privilegierat tillstånd för att utföra privilegierade åtgärder. Till exempel tidsbunden rollaktivering, arbetsflöden för godkännande och begränsade administrativa sessioner.	Säkerställer att utökade privilegier kräver stark autentisering och att privilegierad höjning är avsiktlig, tillfällig, övervakad och endast sker från godkända enheter och gränssnitt. Genom att framtvinga privilegiehöjning via godkända arbetsflöden, enheter och gränssnitt förhindrar du ständiga privilegier och minskar missbruk, sidoförflyttning och dold persistens.

Lösningsfaser

Implementera arkitekturen för privilegierad åtkomst med hjälp av en stegvis implementeringsmodell som är anpassad efter Microsoft bästa praxis.

1. Starta implementeringen med hjälp av den strukturerade implementeringsmodellen. Implementeringsvägledning hjälper företagsledare att identifiera viktiga resultat på affärsnivå för säker identitet och förstå åtkomst- och identitetsområdet, inklusive de team och insatser som krävs för att driva identitetsinitiativ som privilegierad åtkomst.
2. Planera lösningen. Planering hjälper dig att identifiera designmål, tilldela säkerhetsnivåer för att fastställa en strategi för privilegierad åtkomst och planera för implementering.
3. Följ implementeringsfaserna som sammanfattas i följande tabell. Varje fas har ett specifikt mål och implementeras med hjälp av konkreta konfigurationssteg i motsvarande artiklar.

Implementeringsfaser

Fas	Minimera risker	Tillämpa Nulová dôvera (Zero Trust)-principer
Fas 1. Skydda identitetskontrollplanet Skapa: – Dedikerade administratörsidentiteter. Säkerhetsgrupper för rolltilldelning. - Nödkonton för break-glass-situationer om du inte har dem.	Minskar risken för stöld av autentiseringsuppgifter, missbruk av privilegier och obehörig höjning.	Verifiera tydligt Använd stark autentisering. Använd minsta möjliga behörighet Begränsa administratörsroller/aktivera just-in-time-behörighet. Utgå från intrång. Använd break-glass-konton för återställning.
Fas 2. Distribuera och härda privilegierade åtkomstenheter Etablera dedikerade arbetsstationer för privilegierad åtkomst (PAWs). Tillämpa härdning av operativsystem och säkerhetsbaslinjer. Framtvinga korrigering, slutpunktsskydd och diskkryptering. Minimera installationer av appar och tjänster.	Minskar risken för intrång i autentiseringsuppgifter och enhetsbaserade attacker.	Verifiera tydligt Se till att enheterna är registrerade, betrodda och kompatibla innan du beviljar åtkomst. Anta intrång Minimera potentiella kompromissvägar genom att härda enheter och isolera administrativa autentiseringsuppgifter. Använd åtkomst med minst privilegier. Begränsa vad administratörer kan göra på dessa dedikerade enheter.
Fas 3. Framtvinga principer för privilegierad åtkomst Konfigurera villkorlig åtkomst för privilegierade roller. Kräv kompatibla enheter och stark autentisering. Framtvinga kontextmedvetna åtkomstvillkor. Begränsa åtkomsten till godkända gränssnitt.	Förhindrar obehörig åtkomst och återuppspelning av autentiseringsuppgifter.	Utgå från intrång. Förhindra missbruk av autentiseringsuppgifter om konton blir stulna genom att begränsa var och hur åtkomst beviljas. Använd minsta privilegium. Framtvinga rollbaserade och kontextmedvetna behörigheter.
Fas 4. Övervaka och validera kontinuerligt Undersök incidenter och åtgärda snabbt. Utvärderar kontinuerligt förtroende och täckning på nytt.	Identifiera, undersöka och svara på privilegierade hot. Övervaka privilegierade rollaktiveringar och sessioner. Identifiera avvikelser och misstänkta mönster. Minska effekten av oupptäckta kompromisser och längre tid för angriparens uppehåll.	Anta intrång. Övervaka kontinuerligt för attacker och avvikande beteende. Verifiera explicit. Utvärdera förtroendet kontinuerligt och undersöka misstänkta åtkomstmönster.

Nästa steg

Börja nu planera en implementeringsstrategi.