通过

企业访问模型

  • 项目

本文档介绍了一个全面的企业访问模型，其中包括有关特权访问策略的适应方式的上下文。 有关如何采用特权访问策略的路线图，请参阅快速现代化计划 (RaMP)。 有关部署该策略的实施指南，请参阅特权访问部署

特权访问策略是全面的企业访问控制策略的组成部分。 此企业访问模型显示了特权访问如何适应全面的企业访问模型。

组织必须保护的业务价值主存储位于数据平面/工作负载平面中：

Data/workload plane

应用程序和数据所存储的大部分组织内容通常为：

  • 将业务流程存储在应用程序和工作负载中
  • 将知识产权存储在数据和应用程序中

企业 IT 组织管理工作负载及其托管于的基础结构（无论该基础结构是位于本地还是位于 Azure 上，也无论该基础结构是否为第三方云服务提供商）并为它们提供支持，从而创建一个管理平面。 若要在企业范围内为这些系统提供一致的访问控制，则需要基于集中式企业标识系统创建一个控制平面，且通常需要由针对旧系统（例如操作技术 (OT) 设备）的网络访问控制做补充。

Control, management, and data/workload planes

凭借自身的功能，其中每个平面都具有对数据和工作负载的控制，从而在攻击者能够获取对任何一个平面的控制时创建一个诱惑性路径让攻击者滥用。

要使这些系统创造业务价值，这些系统必须可供内部用户、合作伙伴和客户使用其工作站或设备（通常是使用远程访问解决方案）进行访问，从而创建用户访问路径。 此外，还必须通过应用程序编程接口 (API) 以编程方式提供这些系统，以推动流程自动化，从而创建应用程序访问路径。

Adding user and application access pathways

最后，必须由 IT 人员、开发人员或组织中的其他人员管理和维护这些系统，从而创建特权访问路径。 由于它们可以高度控制组织中的业务关键资产，因此必须严格保护这些路径，以防遭到入侵。

Privileged access pathway to manage and maintain

若要在组织中提供一致的访问控制以提高工作效率并缓解风险，你需要：

  • 对所有访问强制实施零信任原则
    • 假定其他组件受到破坏
    • 显式验证信任
    • 最低访问权限
  • 普遍强制实施安全性和策略
    • 内部访问和外部访问，以确保策略应用的一致性
    • 所有访问方法，包括用户、管理员、API 和服务帐户等。
  • 缓解未经授权的特权提升威胁
    • 强制实施层次结构 - 防止（通过攻击或滥用合法流程）从较低的平面控制较高平面
      • 控制面板
      • 管理平面
      • 数据平面/工作负载平面
    • 持续审核会造成意外提升的配置漏洞
    • 监视并响应可能表示潜在攻击的异常情况

从旧的 AD 层模型演变

企业访问模型取代并替换了旧层模型，旧层模型侧重于在本地 Windows Server Active Directory 环境中包含未经授权的特权升级。

Legacy AD tier model

企业访问模型结合了这些元素以及现代企业的完整访问管理要求，涵盖本地、多个云、内部或外部用户访问等。

Complete enterprise access model from old tiers

第 0 层范围扩展

第 0 层扩展成为控制平面，并解决访问控制的所有方面，包括网络，这是唯一的/最佳的访问控制选项，例如旧的 OT 选项

第 1 层拆分

为提高清晰度和可操作性，第 1 层现在拆分为以下几个方面：

  • 管理平面 - 适用于企业范围 IT 管理功能
  • 数据平面/工作负载平面 - 适用于工作负载级别管理，这有时由 IT 人员执行，有时由业务部门执行

此拆分可确保专注于保护具有高内在业务价值但技术控制有限的业务关键系统和管理角色。 此外，与过度专注于经典基础结构角色相比，此拆分更适合开发人员和 DevOps 模型。

第 2 层拆分

为了确保覆盖应用程序访问以及各种合作伙伴和客户模型，第 2 层拆分为以下几个方面：

  • 用户访问 - 包括所有 B2B、B2C 和公共访问方案
  • 应用访问 - 适应 API 访问路径和产生的攻击面

后续步骤