Tożsamość jako nowy perymetr: dostęp warunkowy

W modelu Zero Trust tożsamość jest nową granicą. Ponieważ użytkownicy uzyskują dostęp do zasobów z dowolnego miejsca — z domu, kawiarni czy urządzeń mobilnych — granica sieciowa nie ma znaczenia jako podstawa zaufania. Zamiast tego każda decyzja dotycząca dostępu jest podejmowana na podstawie informacji o tym, kto wysyła żądanie, z jakiego urządzenia i w jakich warunkach. Dostawca tożsamości staje się strażnikiem dostępu, a nie zapora sieciowa.

Conditional Access to mechanizm zasad, który przyznaje lub ogranicza dostęp na podstawie sygnałów ocenianych w chwili uwierzytelniania. Zamiast jedynie weryfikować nazwę użytkownika i hasło, dostęp warunkowy ocenia warunki: czy urządzenie spełnia wymagania? Czy lokalizacja jest znana? Czy ryzyko logowania jest podwyższone? Czy uwierzytelnianie MFA zostało pomyślnie przeprowadzone? Mechanizm zasad wydaje token dostępu tylko wtedy, gdy warunki są spełnione. Jeśli warunki nie są spełnione, dostęp zostaje odrzucony lub uruchamiane jest dodatkowe wyzwanie uwierzytelniające.

Zasady Conditional Access jednocześnie oceniają wiele kategorii sygnałów. Sygnały użytkownika/grupy określają, kto wysyła żądanie (administrator, gość, kontrahent). Sygnały urządzenia sprawdzają stan zgodności na podstawie danych z MDM. Sygnały aplikacji wskazują, do której aplikacji uzyskiwany jest dostęp (o wysokiej lub niskiej wrażliwości). Sygnały lokalizacji porównują adres IP ze zdefiniowanymi lokalizacjami i zaufanymi krajami. Sygnały ryzyka logowania pochodzące z analizy zagrożeń wskazują podejrzane wzorce logowania.

Zasada Conditional Access może prowadzić do jednego z kilku rezultatów. Grant zezwala na dostęp, niekiedy pod warunkiem spełnienia wymagań, takich jak MFA lub zgodność urządzenia. Block całkowicie odmawia dostępu — na przykład blokując cały dostęp z krajów wysokiego ryzyka. Kontrolki sesji mogą ograniczać działania użytkowników po przyznaniu dostępu: wymagać ponownego uwierzytelnienia po upływie określonego czasu, blokować pobieranie lub wymuszać tryb tylko do odczytu w aplikacjach chmurowych.

Risk-based Conditional Access w czasie rzeczywistym uwzględnia analizę zagrożeń przy podejmowaniu decyzji o dostępie. Dostawcy tożsamości, tacy jak Azure AD Identity Protection, przypisują logowaniom poziomy ryzyka na podstawie sygnałów takich jak niemożliwa podróż (logowanie z dwóch krajów w ciągu kilku minut), użycie znanych złośliwych adresów IP, wycieki danych uwierzytelniających oraz anomalne wzorce zachowania. Logowania wysokiego ryzyka mogą być automatycznie blokowane lub wymagać ponownego potwierdzenia tożsamości.

Conditional Access może wymagać zgodności urządzenia jako warunku wstępnego dostępu do poufnych zasobów. Zgodne urządzenie jest zarejestrowane w MDM (Intune, Jamf), korzysta z obsługiwanej wersji systemu operacyjnego, ma włączone szyfrowanie dysku i nie ma znanych luk wykrytych przez EDR. Urządzenia niezarządzane lub niezgodne są przekierowywane do portalu rejestracji zamiast otrzymywać dostęp — nawet jeśli poświadczenia użytkownika są prawidłowe.

Zdefiniowane lokalizacje w rozwiązaniu Conditional Access określają zaufane zakresy adresów IP — adresy IP biur, sieci oddziałów lub węzły wyjściowe VPN. Zasady mogą wymagać dodatkowego uwierzytelniania (MFA) w przypadku dostępu spoza zdefiniowanych lokalizacji albo całkowicie blokować dostęp z określonych krajów lub anonimowych sieci proxy. Dodaje to warstwę lokalizacji do weryfikacji tożsamości, bez powrotu do myślenia o granicy opartej na adresach IP.

Tradycyjne tokeny dostępu zachowują ważność przez cały określony dla nich czas (często godzinę), niezależnie od tego, co stanie się z kontem użytkownika po ich wydaniu. Continuous Access Evaluation (CAE) umożliwia dostawcy zasobu unieważnianie tokenów niemal w czasie rzeczywistym, gdy wystąpią krytyczne zdarzenia — wyłączenie konta, zmiana hasła lub oznaczenie użytkownika jako stwarzającego ryzyko. Aplikacja sprawdza ważność tokenu podczas sesji, a nie tylko przy logowaniu, zamykając lukę, w której przejęte tokeny pozostają ważne.

Organizacje często muszą przyznawać partnerom i kontrahentom dostęp bez tworzenia kont wewnętrznych. Tożsamość federacyjna pozwala zewnętrznemu dostawcy tożsamości (Azure AD partnera, Google Workspace) uwierzytelniać użytkowników i przekazywać zweryfikowane informacje o tożsamości. Zasady Conditional Access mogą dotyczyć użytkowników federacyjnych — wymagać MFA, ograniczać typy urządzeń lub ograniczać dostępne aplikacje — dzięki czemu organizacja zachowuje kontrolę bez bezpośredniego zarządzania ich kontami.

Oprócz przyznawania lub blokowania dostępu Conditional Access może wymuszać kontrolki na poziomie sesji. W przypadku aplikacji chmurowych zintegrowanych z Microsoft Defender for Cloud Apps lub podobnymi rozwiązaniami CASB (Cloud Access Security Broker) zasady mogą ograniczać działania, takie jak: blokowanie pobierania plików na urządzeniach niezarządzanych, wymaganie ponownego uwierzytelnienia po 8 godzinach braku aktywności, wyświetlanie ostrzeżeń podczas uzyskiwania dostępu do poufnych danych lub uniemożliwianie kopiowania i wklejania poufnych treści poza środowisko firmowe.

Wdrożenie tożsamości jako granicy wymaga integracji kilku technologii: Identity Provider (IdP) obsługującego nowoczesne protokoły (SAML, OIDC), rozwiązania MDM/EMM dostarczającego dane o zgodności urządzeń, mechanizmu zasad Conditional Access oraz uwierzytelniania wieloskładnikowego jako minimalnego poziomu bazowego. Celem jest zapewnienie, że żaden dostęp nie nastąpi bez zweryfikowanej tożsamości i stanu urządzenia, niezależnie od lokalizacji sieciowej — co eliminuje pojęcie zaufanej sieci wewnętrznej.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedziałeś się, że: tożsamość zastępuje granicę sieci jako główną podstawę zaufania w modelu Zero Trust, Conditional Access ocenia wiele sygnałów (użytkownika, urządzenia, lokalizacji i ryzyka) przed przyznaniem dostępu, a kontrolki sesji i Continuous Access Evaluation utrzymują bezpieczeństwo przez cały czas trwania sesji dostępu, a nie tylko podczas logowania. Następnie omówimy model dojrzałości Zero Trust, który pomaga planować wdrożenie w całym przedsiębiorstwie.