Идентичность как новый периметр: условный доступ

В модели Zero Trust Identity — это новый периметр. Поскольку пользователи получают доступ к ресурсам откуда угодно — из дома, кафе или с мобильных Devices, — граница сети теряет смысл как основа доверия. Вместо этого каждое решение о доступе принимается с учётом того, кто отправляет запрос, с какого Device и при каких условиях. Поставщик Identity становится привратником, а не межсетевым экраном.

Conditional Access — это механизм policies, который предоставляет или ограничивает доступ на основе сигналов, оцениваемых во время аутентификации. Вместо простой проверки имени пользователя и пароля Conditional Access оценивает условия: является ли Device compliant? Известно ли местоположение? Повышен ли риск входа? Пройдена ли MFA? Только при выполнении условий механизм policies выдаёт токен доступа. Если условия не выполнены, доступ запрещается или запускается дополнительная проверка.

Conditional Access policies одновременно оценивают несколько категорий сигналов. Сигналы пользователя или группы определяют, кто отправляет запрос (Admin, гость или подрядчик). Сигналы Device проверяют статус соответствия через MDM. Сигналы приложения определяют, к какому App выполняется обращение (с высокой или низкой чувствительностью). Сигналы Location сравнивают IP-адрес с Named locations и доверенными Countries. Сигналы риска входа из систем анализа угроз выявляют подозрительные шаблоны входа.

Policy Conditional Access может приводить к одному из нескольких результатов. GRANT разрешает доступ, возможно при выполнении таких требований, как MFA или соответствие Device. BLOCK полностью запрещает доступ — например, для всех обращений из Countries с высоким риском. Управление Session может ограничивать действия пользователей после предоставления доступа: требовать повторную аутентификацию после тайм-аута, блокировать загрузку или включать режим только для чтения в облачных приложениях.

Conditional Access на основе риска в реальном времени учитывает данные анализа угроз при принятии решения о доступе. Поставщики Identity, например Azure AD Identity Protection, назначают входам оценки риска на основе таких сигналов, как невозможное перемещение (вход из двух Countries в течение нескольких минут), использование известных вредоносных IP-адресов, базы утёкших учётных данных и аномальные шаблоны поведения. Входы с высоким риском можно автоматически заблокировать или потребовать повторно подтвердить Identity.

Conditional Access может требовать соответствия Device как предварительного условия доступа к Sensitive ресурсам. Compliant Device — это Device, зарегистрированный в MDM (Intune, Jamf), работающий под управлением поддерживаемой версии OS, с включённым шифрованием диска и без известных уязвимостей, выявленных EDR. Неуправляемые или не соответствующие требованиям Devices перенаправляются на портал регистрации вместо предоставления доступа — даже если учётные данные пользователя действительны.

Named locations в Conditional Access определяют доверенные диапазоны IP-адресов — офисные IP-адреса, Networks филиалов или узлы выхода VPN. Policies могут требовать дополнительную аутентификацию (MFA) для любого доступа из-за пределами Named locations или полностью блокировать доступ из определённых Countries либо анонимных прокси-Networks. Это добавляет уровень Location к проверке Identity, не возвращаясь к представлению о периметре на основе IP-адресов.

Традиционные токены доступа действуют в течение своего срока действия (часто одного часа) независимо от того, что происходит с учётной записью пользователя после их выдачи. Непрерывная оценка доступа (CAE) позволяет поставщику ресурса отзывать токены почти в реальном времени при наступлении критических событий — отключении учётной записи, смене пароля или пометке пользователя как рискованного. Приложение проверяет действительность токена во время Session, а не только при входе, устраняя промежуток, в течение которого скомпрометированные токены остаются действительными.

Организациям часто требуется предоставлять партнёрам и подрядчикам доступ без создания внутренних учётных записей. Федеративная Identity позволяет внешнему поставщику Identity (Azure AD партнёра, Google Workspace) аутентифицировать пользователей и передавать подтверждённые утверждения об Identity. Conditional Access policies могут применяться к федеративным пользователям — требовать MFA, ограничивать типы Devices или определять, к каким приложениям они могут обращаться, — сохраняя контроль без непосредственного управления их учётными записями.

Помимо предоставления или блокировки доступа, Conditional Access может применять элементы управления на уровне Session. Для облачных Apps, интегрированных с Microsoft Defender for Cloud Apps или аналогичными решениями CASB (Cloud Access Security Broker), policies могут ограничивать следующие действия: блокировать загрузку файлов на неуправляемых Devices, требовать повторную аутентификацию после 8 часов бездействия, показывать предупреждения при обращении к Sensitive Data или запрещать копирование конфиденциального содержимого за пределы Corporate среды.

Реализация Identity как периметра требует интеграции нескольких технологий: поставщика Identity (IdP), поддерживающего современные протоколы (SAML, OIDC), решения MDM/EMM для передачи сведений о соответствии Devices, механизма policies Conditional Access и многофакторной аутентификации как минимального базового требования. Цель состоит в том, чтобы не допускать доступа без подтверждённых Identity и состояния Device независимо от сетевого Location, устраняя понятие доверенной внутренней сети.

Проверьте, насколько Вы понимаете концепции CompTIA Security+ (SY0-701), рассмотренные в этом уроке.

В этом уроке Вы узнали, что Identity заменяет сетевой периметр как основную опору доверия в Zero Trust, Conditional Access оценивает несколько сигналов (пользователь, Device, Location, risk) перед предоставлением доступа, а управление Session и непрерывная оценка доступа поддерживают безопасность на протяжении всей Session доступа, а не только при входе. Далее мы рассмотрим Model зрелости Zero Trust для планирования внедрения в масштабе предприятия.