Just-in-time-toegang en beleid voor voorwaardelijke toegang

Permanente bevoegdheden betekenen dat een gebruiker altijd verhoogde toegang heeft, 24 uur per dag en 7 dagen per week, ongeacht of die toegang nodig is. Dit is het traditionele model voor beheerdersaccounts — de beheerder kan op elk moment toegang krijgen tot productiesystemen, zelfs om 3 uur 's nachts op zondag wanneer er geen legitiem werk plaatsvindt. Permanente bevoegdheden vergroten het aanvalsoppervlak aanzienlijk: met gecompromitteerde beheerdersreferenties krijgen aanvallers onmiddellijk verhoogde toegang, zonder dat daarvoor extra stappen nodig zijn.

Just-in-time-toegang (JIT) vervangt permanente bevoegdheden door tijdelijke verhoging op aanvraag. Wanneer een beheerder bevoorrechte toegang nodig heeft, vraagt die deze aan met een zakelijke onderbouwing. De aanvraag wordt goedgekeurd (automatisch of door een manager), de bevoegdheid wordt toegekend voor een vastgestelde periode (bijvoorbeeld 1 uur) en verloopt daarna automatisch. Tijdens die periode wordt alle activiteit gecontroleerd. Na afloop heeft de beheerder geen bevoorrechte toegang meer totdat die een nieuwe aanvraag doet.

Azure Privileged Identity Management (PIM) is de cloudimplementatie van JIT-toegang van Microsoft. Gebruikers komen in aanmerking voor bevoorrechte rollen (bijvoorbeeld Global Administrator), maar hebben die rol niet voortdurend. Wanneer dat nodig is, activeren ze de rol vanuit de Azure-portal, geven ze een onderbouwing op, hebben ze mogelijk MFA en goedkeuring nodig en krijgen ze de rol gedurende een geconfigureerde periode (voor de meeste rollen maximaal 8 uur). PIM genereert auditlogboeken van elke activering voor rapportage over naleving.

Voorwaardelijke toegang is een beleidsengine met als-dan-regels die contextsignalen beoordeelt voordat toegang wordt verleend. In plaats van alleen op basis van referenties binair toegang te verlenen of te weigeren, houdt voorwaardelijke toegang rekening met: wie zich aanmeldt (identiteit en groepslidmaatschap van de gebruiker), wat die persoon opent (toepassing of gegevens), waar die persoon zich bevindt (IP-adres, locatie), wanneer (tijdstip), hoe (compliancestatus van het apparaat, browser versus systeemeigen toepassing) en het risico (risicoscore van de aanmelding van de identiteitsprovider).

Beleidsregels voor voorwaardelijke toegang beoordelen meerdere signalen tegelijk. Belangrijke signalen zijn onder andere: Apparaatcompliance (wordt het apparaat beheerd door MDM en voldoet het aan de minimale beveiligingsvereisten?), Locatie (bevindt het IP-adres zich in een vertrouwde benoemde locatie of in een ander land?), Risico van de aanmelding (heeft de AI van de identiteitsprovider deze aanmelding als afwijkend gemarkeerd — ongebruikelijke locatie, gelekte referenties, onmogelijk reispatroon?) en gebruikersrisico (zijn er aanwijzingen dat dit account is gecompromitteerd volgens informatie uit het dark web?).

Wanneer een beleidsregel voor voorwaardelijke toegang overeenkomt, bepaalt de toekenningscontrole wat de gebruiker moet doen. Mogelijkheden zijn: toegang volledig blokkeren, MFA vereisen, een compatibel apparaat vereisen, een goedgekeurde clienttoepassing vereisen (alleen beheerde toepassingen zijn toegestaan), een wachtwoordwijziging vereisen (als referenties risico lopen) of combinaties van deze controles. Met toekenningscontroles kunnen organisaties strengere beveiligingseisen instellen op basis van het risiconiveau van de aangevraagde toegang.

Naast toekenningscontroles kan voorwaardelijke toegang sessiecontroles toepassen die beperken wat gebruikers na hun authenticatie kunnen doen. Voorbeelden zijn: de aanmeldingsfrequentie afdwingen (opnieuw authenticeren elk uur), het downloaden van gevoelige bestanden vanaf onbeheerde apparaten beperken, beleidsregels van Microsoft Defender for Cloud Apps toepassen voor realtime sessiebewaking en kopieer- en plakbewerkingen in gevoelige toepassingen beperken wanneer deze vanaf niet-vertrouwde locaties worden geopend.

Benoemde locaties in voorwaardelijke toegang definiëren vertrouwde IP-bereiken of geografische regio's. Toegang vanaf een benoemde vertrouwde locatie (bijvoorbeeld IP-bereiken van een bedrijfskantoor) kan met minder belemmeringen worden verleend (MFA is niet vereist). Toegang vanaf locaties buiten de benoemde locaties — vooral vanuit landen met een hoog risico — leidt tot aanvullende authenticatievereisten. Door benoemde locaties te combineren met detectie van onmogelijke reispatronen (een gebruiker lijkt zich binnen enkele minuten op twee ver uit elkaar liggende locaties te bevinden), kunnen scenario's met gecompromitteerde referenties worden geblokkeerd.

Risicogebaseerde voorwaardelijke toegang gebruikt machinelearning-signalen van de identiteitsprovider om het aanmeldingsrisico in realtime te beoordelen. Microsoft Entra ID (voorheen Azure AD) kent een risicoscore voor de aanmelding toe (laag/gemiddeld/hoog) op basis van factoren zoals gelekte referenties in darkwebdatabases, afwijkende aanmeldingspatronen en IP-adressen die aan malware zijn gekoppeld. Bij een aanmelding met een hoog risico kan automatisch een wachtwoordreset plus MFA worden vereist, zodat accounts worden beschermd nog voordat een IT-team de waarschuwing beoordeelt.

Beleidsregels voor voorwaardelijke toegang en JIT-toegang brengen een risico met zich mee: als de identiteitsprovider zelf uitvalt, kunnen beheerders worden buitengesloten van de systemen die ze moeten herstellen. Noodaccounts (accounts voor noodtoegang) zijn sterk bevoorrechte accounts die zijn uitgesloten van beleidsregels voor voorwaardelijke toegang, waarvan de referenties in een fysieke kluis worden bewaard en die alleen bij echte noodgevallen worden gebruikt. Het gebruik ervan moet onmiddellijk waarschuwingen en een evaluatie na het incident activeren, omdat elk gebruik buiten een verklaarde noodsituatie een alarmsignaal is.

JIT-toegang en beleidsregels voor voorwaardelijke toegang werken samen als aanvullende controles. Voorwaardelijke toegang bepaalt of een gebruiker zich kan authenticeren en welke controles die moet doorlopen. JIT-toegang bepaalt welke bevoorrechte rol de gebruiker na authenticatie ontvangt en hoelang. Samen implementeren ze het zero-trustprincipe van nooit vertrouwen, altijd verifiëren: elke toegangsaanvraag wordt in context beoordeeld, bevoegdheden zijn tijdelijk en alle acties worden vastgelegd.

In deze les heb je geleerd dat just-in-time-toegang permanente bevoegdheden vervangt door tijdelijke verhoging op aanvraag die automatisch verloopt, dat beleidsregels voor voorwaardelijke toegang contextsignalen (apparaat, locatie, risico) beoordelen voordat toegang wordt verleend en dat noodaccounts noodtoegang bieden die is uitgesloten van normale beleidsregels, maar strikt moet worden beheerd en gecontroleerd. Hierna bekijken we het model van gedeelde verantwoordelijkheid voor IaaS, PaaS en SaaS.