Dostęp Just-in-Time i zasady dostępu warunkowego

Stałe uprawnienia oznaczają, że użytkownik ma nieprzerwanie podwyższony dostęp, przez całą dobę i 7 dni w tygodniu, niezależnie od tego, czy go potrzebuje. Jest to tradycyjny model kont administratorów — administrator może w dowolnym momencie uzyskać dostęp do systemów produkcyjnych, nawet o 3:00 w niedzielę, gdy nie są wykonywane żadne uzasadnione działania. Stałe uprawnienia znacząco zwiększają powierzchnię ryzyka: przejęte poświadczenia administratora natychmiast dają atakującym podwyższony dostęp, bez konieczności wykonywania dodatkowych kroków.

Dostęp just-in-time (JIT) zastępuje stałe uprawnienia tymczasowym podwyższeniem uprawnień na żądanie. Gdy administrator potrzebuje uprzywilejowanego dostępu, składa wniosek wraz z uzasadnieniem biznesowym. Wniosek zostaje zatwierdzony (automatycznie lub przez przełożonego), uprawnienie jest przyznawane na określony czas (np. 1 godzinę), a następnie automatycznie wygasa. W tym czasie wszystkie działania są monitorowane. Po wygaśnięciu administrator nie ma uprzywilejowanego dostępu, dopóki nie złoży nowego wniosku.

Azure Privileged Identity Management (PIM) to chmurowa implementacja dostępu JIT firmy Microsoft. Użytkownikom przypisuje się status eligible dla uprzywilejowanych ról (np. Global Administrator), ale nie mają oni tej roli na stałe. Gdy jest potrzebna, aktywują ją w portalu Azure, podają uzasadnienie, mogą być zobowiązani do użycia MFA i uzyskania zatwierdzenia, a następnie otrzymują rolę na skonfigurowany czas (dla większości ról maksymalnie 8 godzin). PIM generuje dzienniki audytowe każdej aktywacji na potrzeby raportowania zgodności.

Dostęp warunkowy to mechanizm zasad typu if-then, który przed przyznaniem dostępu ocenia sygnały kontekstowe. Zamiast binarnej decyzji zezwól/odrzuć opartej wyłącznie na poświadczeniach, dostęp warunkowy uwzględnia: Kto się loguje (tożsamość użytkownika i członkostwo w grupach), Do czego uzyskuje dostęp (aplikacja lub dane), Gdzie się znajduje (adres IP, lokalizacja), Kiedy (pora dnia), Jak (stan zgodności urządzenia, przeglądarka czy aplikacja natywna) oraz Ryzyko (wynik ryzyka logowania od dostawcy tożsamości).

Zasady dostępu warunkowego jednocześnie oceniają wiele sygnałów. Najważniejsze z nich to: Zgodność urządzenia (czy urządzenie jest zarządzane przez MDM i spełnia podstawowe wymagania bezpieczeństwa?), Lokalizacja (czy adres IP należy do zaufanej, nazwanej lokalizacji, czy znajduje się w obcym kraju?), Ryzyko logowania (czy dostawca tożsamości oznaczył to logowanie jako anomalne — nietypowa lokalizacja, wyciek poświadczeń, niemożliwa podróż?), oraz Ryzyko użytkownika (czy istnieją oznaki przejęcia tego konta wynikające z analizy dark webu?).

Gdy zasada dostępu warunkowego zostanie dopasowana, mechanizm przyznawania dostępu określa, co użytkownik musi zrobić. Dostępne opcje obejmują: całkowite zablokowanie dostępu, wymaganie MFA, wymaganie zgodnego urządzenia, wymaganie zatwierdzonej aplikacji klienckiej (dozwolone są tylko zarządzane aplikacje), wymaganie zmiany hasła (jeśli poświadczenia są zagrożone) lub kombinacje tych mechanizmów. Mechanizmy przyznawania dostępu pozwalają organizacjom podnosić wymagania bezpieczeństwa w zależności od poziomu ryzyka związanego z żądanym dostępem.

Oprócz mechanizmów przyznawania dostępu dostęp warunkowy może stosować mechanizmy kontroli sesji, które ograniczają działania użytkowników po uwierzytelnieniu. Przykłady obejmują wymuszanie częstotliwości logowania (ponowne uwierzytelnianie co godzinę), ograniczenie pobierania poufnych plików z urządzeń niezarządzanych, stosowanie zasad Microsoft Defender for Cloud Apps do monitorowania sesji w czasie rzeczywistym oraz ograniczenie operacji kopiowania i wklejania w poufnych aplikacjach używanych z niezaufanych lokalizacji.

Nazwane lokalizacje w dostępie warunkowym definiują zaufane zakresy adresów IP lub regiony geograficzne. Dostęp z nazwanej, zaufanej lokalizacji (np. z zakresów adresów IP biura firmowego) może być przyznawany przy mniejszych utrudnieniach (bez wymogu MFA). Dostęp spoza nazwanych lokalizacji — szczególnie z krajów wysokiego ryzyka — uruchamia dodatkowe wymagania uwierzytelniania. Połączenie nazwanych lokalizacji z wykrywaniem niemożliwej podróży (użytkownik pojawia się w dwóch odległych lokalizacjach w ciągu kilku minut) blokuje scenariusze związane z przejęciem poświadczeń.

Dostęp warunkowy oparty na ryzyku wykorzystuje sygnały uczenia maszynowego od dostawcy tożsamości do oceny ryzyka logowania w czasie rzeczywistym. Microsoft Entra ID (wcześniej Azure AD) przypisuje wynik ryzyka logowania (niski/średni/wysoki) na podstawie takich czynników jak wyciek poświadczeń w bazach dark webu, anomalne wzorce logowania oraz adresy IP powiązane ze złośliwym oprogramowaniem. Logowanie wysokiego ryzyka może automatycznie wymagać zresetowania hasła oraz użycia MFA, chroniąc konto jeszcze przed przeanalizowaniem alertu przez zespół IT.

Zasady dostępu warunkowego i dostęp JIT wiążą się z ryzykiem: jeśli sam dostawca tożsamości przestanie działać, administratorzy mogą zostać odcięci od systemów, które muszą przywrócić. Konta awaryjnego dostępu (konta break glass) to wysoce uprzywilejowane konta wyłączone z zasad dostępu warunkowego, a ich poświadczenia są przechowywane w fizycznym sejfie i używane wyłącznie w rzeczywistych sytuacjach awaryjnych. Ich użycie powinno natychmiast wywołać alerty i przegląd po incydencie, ponieważ każde użycie poza zadeklarowaną sytuacją awaryjną jest sygnałem ostrzegawczym.

Dostęp JIT i zasady dostępu warunkowego współdziałają jako uzupełniające się mechanizmy kontroli. Dostęp warunkowy określa, czy użytkownik może się uwierzytelnić i jakie mechanizmy kontroli musi przejść. Dostęp JIT określa, jaką uprzywilejowaną rolę użytkownik otrzyma po uwierzytelnieniu i na jak długo. Razem realizują zasadę zero trust: nigdy nie ufaj, zawsze weryfikuj — każde żądanie dostępu jest oceniane w kontekście, uprawnienia są tymczasowe, a wszystkie działania są rejestrowane.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyłeś się, że: dostęp just-in-time zastępuje stałe uprawnienia tymczasowym podwyższeniem uprawnień na żądanie, które automatycznie wygasa, zasady dostępu warunkowego oceniają sygnały kontekstowe (urządzenie, lokalizacja, ryzyko) przed przyznaniem dostępu, a konta awaryjnego dostępu zapewniają dostęp w sytuacjach awaryjnych i są wyłączone ze standardowych zasad, ale muszą być ściśle kontrolowane i monitorowane. Następnie omówimy model współdzielonej odpowiedzialności w środowiskach IaaS, PaaS i SaaS.