Güvenlik hızlı modernleştirme planı

  • Makale

Bu hızlı modernleştirme planı (RAMP), Microsoft'un önerilen ayrıcalıklı erişim stratejisini hızla benimsemenize yardımcı olur.

Bu yol haritası, ayrıcalıklı erişim dağıtımı kılavuzunda oluşturulan teknik denetimleri temel alır. Bu adımları tamamlayın ve ardından kuruluşunuza yönelik denetimleri yapılandırmak için bu RAMP'daki adımları kullanın.

Privileged access RAMP summary

Not

Kuruluşların genellikle zaten dağıtılan veya yapılandırılmış hesaplarda güvenlik riskleri olduğundan, bu adımların birçoğu yeşil/kahverengi alan dinamiklerine sahip olacaktır. Bu yol haritası öncelikle yeni güvenlik risklerinin birikmesine öncelik verir ve daha sonra zaten birikmiş olan kalan öğeleri temizler.

Yol haritasında ilerledikçe, yolculuktaki birçok öğeyi izlemek ve zaman içinde benzer kuruluşlardaki diğer kişilerle karşılaştırmak için Microsoft Güvenli Puan'ı kullanabilirsiniz. Güvenli puana genel bakış makalesinde Microsoft Güvenli Puanı hakkında daha fazla bilgi edinin.

Bu RAMP'daki her öğe, hedefler ve önemli sonuçlar (OKR) metodolojisini temel alan bir biçim kullanılarak izlenecek ve yönetilecek bir girişim olarak yapılandırılmıştır. Her öğe ne (hedef), neden, kim, nasıl ve nasıl ölçülecek (önemli sonuçlar) içerir. Bazı öğeler işlemlerde ve insanların bilgilerinde/becerilerinde değişiklik yapılmasını gerektirirken, diğerleri daha basit teknoloji değişiklikleridir. Bu girişimlerin birçoğu, kuruluşunuzla başarıyla tümleştirilmelerini sağlamak için bu değişikliklerin karar alınmasına ve uygulanmasına dahil edilmesi gereken geleneksel BT Departmanı dışındaki üyeleri içerecektir.

Bir kuruluş olarak birlikte çalışmak, ortaklıklar oluşturmak ve geleneksel olarak bu sürecin bir parçası olmayan insanları eğitmek çok önemlidir. Birçok proje başarısız olmadan kuruluş genelinde satın alma oluşturmak ve sürdürmek kritik önem taşır.

Ayrıcalıklı hesapları ayırma ve yönetme

Acil durum erişim hesapları

  • Ne: Acil bir durumda Microsoft Entra kuruluşunuzda yanlışlıkla kilitlenmediğinizden emin olun.
  • Neden: Acil durum erişim hesapları nadiren kullanılır ve tehlikeye atılırsa kuruluş için yüksek oranda zarar verir, ancak bunların kuruluşta kullanılabilirliği de gerektiğinde birkaç senaryo için kritik önem taşır. Hem beklenen hem de beklenmeyen olayları kapsayan bir erişim sürekliliği planınız olduğundan emin olun.
  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.
  • Nasıl yapılır: Microsoft Entra Id'de acil durum erişim hesaplarını yönetme makalesindeki yönergeleri izleyin.
  • Önemli sonuçları ölçme:
    • Oluşturulan Acil durum erişim süreci, kuruluş gereksinimlerini karşılayan Microsoft rehberliği temelinde tasarlanmıştır
    • Bakımlı Acil durum erişimi son 90 gün içinde gözden geçirildi ve test edildi

Microsoft Entra Privileged Identity Management'u etkinleştirme

  • Ne: Ayrıcalıklı hesapları bulmak ve güvenliğini sağlamak için Microsoft Entra Privileged Identity Management'ı (PIM) Microsoft Entra üretim ortamınızda kullanın
  • Neden: Privileged Identity Management aşırı, gereksiz veya hatalı erişim izinlerinin risklerini azaltmak için zamana dayalı ve onay tabanlı rol etkinleştirmesi sağlar.
  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.
  • Nasıl yapılır: Microsoft Entra Privileged Identity Management (PIM) dağıtma makalesindeki yönergeleri kullanarak Microsoft Entra Privileged Identity Management'ı dağıtma ve yapılandırma.
  • Önemli sonuçları ölçme: Geçerli ayrıcalıklı erişim rollerinin %100'ünün Microsoft Entra PIM kullandığı

Ayrıcalıklı hesapları tanımlama ve kategorilere ayırma (Microsoft Entra Id)

  • Ne: Ayrıcalıklı güvenlik düzeyi (hemen veya zaman içinde) gerektirecek yüksek iş etkisine sahip tüm rolleri ve grupları belirleyin. Bu yöneticiler, sonraki bir adımda Ayrıcalıklı erişim yönetimi için sparate hesapları gerektirecektir.

  • Neden: Bu adım, ayrı hesaplar ve ayrıcalıklı erişim koruması gerektiren kişi sayısını belirlemek ve en aza indirmek için gereklidir

  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.

  • Nasıl yapılır: Microsoft Entra Privileged Identity Management'ı açtıktan sonra, kuruluşunuzun risk ilkelerine göre en azından aşağıdaki Microsoft Entra rollerinde yer alan kullanıcıları görüntüleyin:

    • Genel yönetici
    • Ayrıcalıklı rol yöneticisi
    • Exchange yöneticisi
    • SharePoint yöneticisi

    Yönetici rollerinin tam listesi için bkz. Microsoft Entra Id'de Yönetici istrator rol izinleri.

    Bu rollerde artık gerekli olmayan tüm hesapları kaldırın. Ardından, yönetici rollerine atanan kalan hesapları kategorilere ayırın:

    • Yönetici kullanıcılara atanır, ancak e-postayı okuma ve yanıtlama gibi yönetim dışı üretkenlik amaçları için de kullanılır.
    • Yönetici kullanıcılara atanır ve yalnızca yönetim amacıyla kullanılır
    • Birden çok kullanıcı arasında paylaşıldı
    • Cam kıran acil durum erişim senaryoları için
    • Otomatik betikler için
    • Dış kullanıcılar için

Kuruluşunuzda Microsoft Entra Privileged Identity Management yoksa PowerShell API'sini kullanabilirsiniz. Ayrıca Genel Yönetici istrator rolüyle başlayın çünkü Genel Yönetici strator, kuruluşunuzun abone olduğu tüm bulut hizmetlerinde aynı izinlere sahiptir. Bu izinler atandıkları yere bakılmaksızın verilir: Microsoft 365 yönetim merkezi, Azure portalında veya Microsoft PowerShell için Azure AD modülü tarafından.

  • Önemli sonuçları ölçme: Ayrıcalıklı erişim rollerini gözden geçirme ve belirleme işlemleri son 90 gün içinde tamamlandı

Ayrı hesaplar (Şirket içi AD hesapları)

  • Ne: Henüz yapılmamışsa şirket içi ayrıcalıklı yönetim hesaplarının güvenliğini sağlayın. Bu aşama şunları içerir:

    • Şirket içi yönetim görevlerini gerçekleştirmesi gereken kullanıcılar için ayrı yönetici hesapları oluşturma
    • Active Directory yöneticileri için Privileged Access workstations dağıtma
    • İş istasyonları ve sunucular için benzersiz yerel yönetici parolaları oluşturma

  • Neden: Yönetim görevleri için kullanılan hesapları sağlamlaştırma. Yönetici hesaplarında posta devre dışı bırakılmalı ve kişisel Microsoft hesaplarına izin verilmemelidir.

  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.

  • Nasıl: Yönetici ayrıcalıklarına sahip olmak için yetkilendirilmiş tüm personelin, kullanıcı hesaplarından ayrı yönetim işlevleri için ayrı hesapları olmalıdır. Bu hesapları kullanıcılar arasında paylaşmayın.

    • Standart kullanıcı hesapları: E-posta, web’de gezinme ve iş kolu uygulamalarını kullanma gibi standart kullanıcı görevleri için standart kullanıcı ayrıcalıkları verilir. Bu hesaplara yönetici ayrıcalıkları verilmez.
    • Yönetim hesapları: Uygun yönetim ayrıcalıkları atanan personel için oluşturulan ayrı hesaplar.

  • Önemli sonuçları ölçme: Şirket içi ayrıcalıklı kullanıcıların %100'ünün ayrı ayrılmış hesapları vardır

Kimlik için Microsoft Defender

  • Ne: Kimlik için Microsoft Defender, olayları basitleştirilmiş bir biçimde izlemek, korumak ve araştırmak için şirket içi sinyalleri bulut içgörüleriyle birleştirir ve güvenlik ekiplerinizin kimlik altyapınıza yönelik gelişmiş saldırıları algılamasını ve şunları yapabilmesini sağlar:

    • Öğrenme tabanlı analizle kullanıcıları, varlık davranışını ve etkinlikleri izleme
    • Active Directory’de depolanan kullanıcı kimliklerini ve kimlik bilgilerini koruyun
    • Sonlandırma zinciri boyunca şüpheli kullanıcı etkinliklerini ve gelişmiş saldırıları tanımlama ve araştırma
    • Hızlı önceliklendirme için basit bir zaman çizelgesinde net olay bilgileri sağlayın

  • Neden: Modern saldırganlar uzun süre fark edilmeden kalabilir. Kimlik ortamınızın tamamının uyumlu bir resmi olmadan birçok tehdidi bulmak zordur.

  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.

  • Nasıl yapılır: Kimlik için Microsoft Defender dağıtın ve etkinleştirin ve açık uyarıları gözden geçirin.

  • Önemli sonuçları ölçme: Uygun ekipler tarafından gözden geçirilen ve azaltılan tüm açık uyarılar.

Kimlik bilgisi yönetimi deneyimini geliştirme

Self servis parola sıfırlama ve birleşik güvenlik bilgileri kaydını uygulama ve belgele

  • Ne: Kuruluşunuzda self servis parola sıfırlamayı (SSPR) etkinleştirin ve yapılandırın ve birleşik güvenlik bilgileri kayıt deneyimini etkinleştirin.
  • Neden: Kullanıcılar kayıt olduktan sonra kendi parolalarını sıfırlayabilir. Birleşik güvenlik bilgileri kayıt deneyimi, Microsoft Entra çok faktörlü kimlik doğrulaması ve self servis parola sıfırlama için kayda izin veren daha iyi bir kullanıcı deneyimi sağlar. Birlikte kullanıldığında bu araçlar daha düşük yardım masası maliyetlerine ve daha memnun kullanıcılara katkıda bulunur.
  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.
  • Nasıl yapılır: SSPR'yi etkinleştirmek ve dağıtmak için Microsoft Entra self servis parola sıfırlama dağıtımı planlama makalesine bakın.
  • Önemli sonuçları ölçme: Self servis parola sıfırlama tamamen yapılandırılır ve kuruluş tarafından kullanılabilir

Yönetici hesaplarını koruma - Microsoft Entra ID ayrıcalıklı kullanıcıları için MFA'yı etkinleştirme ve gerektirme / Parolasız

  • Ne: Güçlü çok faktörlü kimlik doğrulaması kullanmak için Microsoft Entra Id'deki tüm ayrıcalıklı hesapları zorunlu kıldı

  • Neden: Microsoft 365'te veri ve hizmetlere erişimi korumak için.

  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.

  • Nasıl yapılır: Microsoft Entra çok faktörlü kimlik doğrulamasını (MFA) açın ve diğer tüm yüksek ayrıcalıklı tek kullanıcılı federasyon dışı yönetici hesaplarını kaydedin. Aşağıdakiler gibi bir veya daha fazla Microsoft Entra yönetici rolüne kalıcı olarak atanan tüm bireysel kullanıcılar için oturum açma sırasında çok faktörlü kimlik doğrulaması gerektir:

    • Genel yönetici
    • Ayrıcalıklı Rol yöneticisi
    • Exchange yöneticisi
    • SharePoint yöneticisi

    Yöneticilerin BENZERSIZ, uzun ve karmaşık parolalarla birlikte FIDO2 güvenlik anahtarları veya İş İçin Windows Hello gibi parolasız oturum açma yöntemlerini kullanmasını zorunlu kılma. Kuruluş ilkesi belgesiyle bu değişikliği zorunlu kılma.

Aşağıdaki Microsoft Entra çok faktörlü kimlik doğrulama dağıtımı planlama ve Microsoft Entra Id'de parolasız kimlik doğrulaması dağıtımı planlama makalelerindeki yönergeleri izleyin.

  • Önemli sonuçları ölçme: Ayrıcalıklı kullanıcıların %100'ünün parolasız kimlik doğrulaması veya tüm oturum açma işlemleri için güçlü bir çok faktörlü kimlik doğrulaması kullanıyor. Çok faktörlü kimlik doğrulamasının açıklaması için bkz. Privileged Access Hesapları

Ayrıcalıklı kullanıcı hesapları için eski kimlik doğrulama protokollerini engelleme

  • Ne: Ayrıcalıklı kullanıcı hesapları için eski kimlik doğrulama protokolü kullanımını engelleyin.

  • Neden: Kuruluşlar bu eski kimlik doğrulama protokollerini engellemelidir çünkü çok faktörlü kimlik doğrulaması bunlara karşı uygulanamaz. Eski kimlik doğrulama protokollerini etkin bırakmak, saldırganlar için bir giriş noktası oluşturabilir. Bazı eski uygulamalar bu protokolleri temel alabilir ve kuruluşlar belirli hesaplar için belirli özel durumlar oluşturma seçeneğine sahiptir. Bu özel durumlar izlenmeli ve ek izleme denetimleri uygulanmalıdır.

  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.

  • Nasıl yapılır: Kuruluşunuzdaki eski kimlik doğrulama protokollerini engellemek için Nasıl yapılır: Koşullu Erişim ile Microsoft Entra Id'de eski kimlik doğrulamasını engelleme makalesindeki yönergeleri izleyin.

  • Önemli sonuçları ölçme:

    • Eski protokoller engellendi: Tüm eski protokoller tüm kullanıcılar için engellenir ve yalnızca yetkili özel durumlar vardır
    • Özel durumlar 90 günde bir gözden geçirilir ve bir yıl içinde kalıcı olarak sona erer. Uygulama sahipleri ilk özel durum onayını izleyen bir yıl içinde tüm özel durumları düzeltmelidir
  • Ne: Microsoft Entra uygulamalarına son kullanıcı onaylarını devre dışı bırakın.

Not

Bu değişiklik, kuruluşunuzun güvenlik ve kimlik yönetimi ekipleriyle karar alma sürecini merkezileştirmeyi gerektirir.

Hesap ve oturum açma risklerini temizleme

  • Ne: Microsoft Entra Kimlik Koruması etkinleştirin ve bulduğu riskleri temizleyin.
  • Neden: Riskli kullanıcı ve oturum açma davranışı, kuruluşunuza yönelik saldırıların kaynağı olabilir.
  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.
  • Nasıl yapılır: Kullanıcı ve oturum açma riskini izleyen ve yöneten bir işlem oluşturun. Microsoft Entra çok faktörlü kimlik doğrulamasını ve SSPR'yi kullanarak düzeltmeyi otomatikleştirip otomatikleştirmeyecek veya yönetici müdahalesini engelleyip gerektirmeyeceğine karar verin. Nasıl Yapılır: Risk ilkelerini yapılandırma ve etkinleştirme makalesindeki yönergeleri izleyin.
  • Önemli sonuçları ölçme: Kuruluşun girişsiz kullanıcı ve oturum açma riski sıfırdır.

Not

Yeni oturum açma risklerinin tahakkukunu engellemek için Koşullu Erişim ilkeleri gereklidir. Ayrıcalıklı Erişim Dağıtımı'nın Koşullu erişim bölümüne bakın

Yönetici iş istasyonları ilk dağıtımı

  • Ne: Genel Yönetici istrator'lar gibi ayrıcalıklı hesapların yönetim görevlerini gerçekleştirmek için ayrılmış iş istasyonları vardır.
  • Neden: Ayrıcalıklı yönetim görevlerinin tamamlandığı cihazlar saldırganların hedefidir. Yalnızca hesabın güvenliğini sağlamakla kalmaz, bu varlıkların da saldırı yüzeyi alanınızı azaltma açısından kritik öneme sahiptir. Bu ayrım, e-posta ve web'e göz atma gibi üretkenlikle ilgili görevlere yönelik yaygın saldırılara maruz kalmalarını sınırlar.
  • Kim: Bu girişim genellikle Kimlik ve Anahtar Yönetimi ve/veya Güvenlik Mimarisi tarafından yönetilir.
  • Nasıl: İlk dağıtım, Ayrıcalıklı Erişim Dağıtımı makalesinde açıklandığı gibi Kurumsal düzeyde olmalıdır
  • Önemli sonuçları ölçme: Her ayrıcalıklı hesabın hassas görevleri gerçekleştirmek için ayrılmış bir iş istasyonu vardır.

Not

Bu adım hızla bir güvenlik temeli oluşturur ve en kısa sürede özel ve ayrıcalıklı düzeylere yükseltilmelidir.

Sonraki adımlar