Capaian Tepat pada Masanya dan Dasar Capaian Bersyarat

Keistimewaan kekal bermaksud pengguna sentiasa mempunyai Access dinaikkan 24/7, sama ada mereka memerlukannya atau tidak. Ini ialah model tradisional untuk Account Administrator — Admin boleh mengakses sistem pengeluaran pada bila-bila masa, walaupun pada pukul 3 pagi hari Ahad ketika tiada kerja yang sah sedang dijalankan. Keistimewaan kekal meningkatkan permukaan risiko dengan ketara: kelayakan Admin yang terjejas serta-merta memberikan penyerang Access dinaikkan tanpa memerlukan langkah tambahan.

Access Tepat pada Masanya (JIT) menggantikan keistimewaan kekal dengan peningkatan sementara atas permintaan. Apabila Administrator memerlukan Access istimewa, mereka memintanya bersama justifikasi perniagaan. Permintaan itu diluluskan (secara automatik atau oleh Manager), keistimewaan diberikan untuk tempoh masa yang ditetapkan (contohnya, 1 jam), kemudian tamat secara automatik. Sepanjang tempoh tersebut, semua aktiviti dipantau. Selepas tamat tempoh, Administrator tidak lagi mempunyai Access istimewa sehingga mereka membuat permintaan baharu.

Azure Privileged Identity Management (PIM) ialah pelaksanaan Cloud Microsoft bagi Access JIT. Pengguna ditetapkan sebagai layak untuk Role istimewa (contohnya, Global Administrator), tetapi tidak memegang Role tersebut secara berterusan. Apabila diperlukan, mereka mengaktifkan Role itu daripada Portal Azure, memberikan justifikasi, mungkin perlu menggunakan MFA dan mendapatkan kelulusan, lalu menerima Role tersebut untuk Duration yang dikonfigurasikan (maksimum 8 jam bagi kebanyakan Role). PIM menjana log audit bagi setiap pengaktifan untuk pelaporan pematuhan.

Conditional Access ialah enjin dasar jika-maka yang menilai isyarat kontekstual sebelum memberikan Access. Daripada hanya membenarkan atau menolak berdasarkan kelayakan, Access bersyarat mempertimbangkan: Siapa yang mendaftar masuk (identiti pengguna dan keahlian kumpulan), Apa yang mereka Access (aplikasi atau data), Di mana mereka berada (alamat IP, Location), Bila (masa), Bagaimana (status pematuhan peranti, pelayar berbanding aplikasi natif) dan Risiko (skor risiko daftar masuk daripada penyedia identiti).

Dasar Access bersyarat menilai pelbagai isyarat secara serentak. Isyarat utama merangkumi: Pematuhan peranti (adakah peranti diurus oleh MDM dan memenuhi keperluan keselamatan asas?), Location (adakah IP berada di Location bernama yang dipercayai atau di negara asing?), Risiko daftar masuk (adakah kecerdasan buatan penyedia identiti menandakan daftar masuk ini sebagai anomali — Location luar biasa, kelayakan bocor, perjalanan mustahil?), dan Risiko pengguna (adakah Account ini menunjukkan petunjuk terjejas berdasarkan risikan web gelap?).

Apabila dasar Access bersyarat sepadan, kawalan pemberian menentukan perkara yang mesti dilakukan oleh pengguna. Pilihan termasuk: Sekat Access sepenuhnya, Require MFA, Require compliant device, Require approved client app (hanya aplikasi terurus dibenarkan), Require password change (jika kelayakan berisiko), atau gabungan kawalan ini. Kawalan pemberian membolehkan organisasi meningkatkan keperluan keselamatan berdasarkan tahap risiko Access yang diminta.

Selain kawalan pemberian, Access bersyarat boleh menggunakan kawalan sesi yang mengehadkan perkara yang boleh dilakukan oleh pengguna selepas pengesahan. Contohnya termasuk: menguatkuasakan kekerapan daftar masuk (memerlukan pengesahan semula setiap jam), mengehadkan muat turun fail sensitif daripada peranti tidak terurus, menggunakan dasar Microsoft Defender for Cloud Apps untuk pemantauan sesi masa nyata dan mengehadkan operasi salin/tampal pada aplikasi sensitif yang diakses dari Location tidak dipercayai.

Location bernama dalam Access bersyarat mentakrifkan julat IP atau wilayah geografi yang dipercayai. Access dari Location bernama yang dipercayai (contohnya, julat IP pejabat korporat) mungkin diberikan dengan gangguan yang lebih rendah (MFA tidak diperlukan). Access dari luar Location bernama — khususnya negara berisiko tinggi — mencetuskan keperluan pengesahan tambahan. Menggabungkan Location bernama dengan pengesanan perjalanan mustahil (pengguna kelihatan berada di dua Location yang jauh dalam masa beberapa minit) menyekat senario pengambilalihan kelayakan.

Access bersyarat berasaskan risiko menggunakan isyarat pembelajaran mesin daripada penyedia identiti untuk menilai risiko daftar masuk dalam masa nyata. Microsoft Entra ID (dahulunya Azure AD) menetapkan skor risiko daftar masuk (Rendah/Sederhana/Tinggi) berdasarkan faktor seperti kelayakan bocor dalam pangkalan data web gelap, corak daftar masuk anomali dan alamat IP yang dikaitkan dengan perisian hasad. Daftar masuk berisiko tinggi boleh memerlukan penetapan semula kata laluan serta MFA secara automatik, lalu melindungi Account walaupun sebelum pasukan IT menyemak amaran tersebut.

Dasar Access bersyarat dan Access JIT mewujudkan satu risiko: jika penyedia identiti itu sendiri tidak berfungsi, Administrator mungkin terkunci daripada sistem yang diperlukan untuk memulihkannya. Account kecemasan (Account Access kecemasan) ialah Account berkeistimewaan tinggi yang dikecualikan daripada dasar Access bersyarat, disimpan bersama kelayakan di dalam peti besi fizikal dan hanya digunakan dalam kecemasan sebenar. Penggunaannya hendaklah mencetuskan amaran serta-merta dan semakan selepas insiden kerana sebarang penggunaan di luar kecemasan yang diisytiharkan merupakan tanda amaran.

Access JIT dan dasar Access bersyarat berfungsi bersama sebagai kawalan yang saling melengkapi. Conditional Access mengawal sama ada pengguna boleh membuat pengesahan dan kawalan yang mesti mereka lalui. Access JIT mengawal Role istimewa yang diterima selepas pengesahan dan tempoh penerimaannya. Bersama-sama, kedua-duanya melaksanakan prinsip sifar kepercayaan, iaitu jangan percaya, sentiasa sahkan: setiap permintaan Access dinilai mengikut konteks, keistimewaan adalah sementara dan semua tindakan direkodkan.

Dalam pelajaran ini, Anda telah mempelajari bahawa: Access tepat pada masanya menggantikan keistimewaan kekal dengan peningkatan sementara atas permintaan yang tamat secara automatik, dasar Access bersyarat menilai isyarat kontekstual (peranti, Location, risiko) sebelum memberikan Access, dan Account kecemasan menyediakan Access kecemasan yang dikecualikan daripada dasar biasa tetapi mesti dikawal serta dipantau dengan ketat. Seterusnya, kita akan meneroka model tanggungjawab bersama merentas IaaS, PaaS dan SaaS.