Доступ по запросу и политики условного доступа

Постоянная привилегия означает, что пользователь имеет постоянно включенный расширенный доступ круглосуточно, независимо от того, нужен ли он ему. Это традиционная модель для учетных записей администраторов: администратор может в любой момент получить доступ к рабочим системам, даже в три часа ночи в воскресенье, когда не выполняется никаких законных рабочих задач. Постоянные привилегии значительно увеличивают поверхность атаки: скомпрометированные учетные данные администратора сразу предоставляют злоумышленникам расширенный доступ, и для этого не требуется никаких дополнительных действий.

Своевременный доступ (JIT) заменяет постоянные привилегии временным повышением прав по запросу. Когда администратору требуется привилегированный доступ, он запрашивает его, указывая деловое обоснование. Запрос одобряется автоматически или менеджером, привилегия предоставляется на определенный период (например, на 1 час), а затем автоматически истекает. В течение этого периода все действия отслеживаются. После истечения срока администратор лишается привилегированного доступа, пока не отправит новый запрос.

Azure Privileged Identity Management (PIM) — облачная реализация своевременного доступа от Microsoft. Пользователям назначается статус кандидатов на привилегированные роли (например, Global Administrator), но сама роль не предоставляется им постоянно. При необходимости они активируют роль на портале Azure, указывают обоснование, при этом может потребоваться MFA и одобрение, и получают роль на настроенный срок (для большинства ролей — максимум на 8 часов). PIM создает журналы аудита каждой активации для подготовки отчетов о соответствии требованиям.

Conditional Access — это механизм политик «если — то», который оценивает контекстные сигналы перед предоставлением доступа. Вместо двоичного разрешения или запрета только на основании учетных данных условный доступ учитывает: кто выполняет вход (удостоверение пользователя и членство в группе), к чему он получает доступ (приложение или данные), где он находится (IP-адрес, Location), когда выполняется вход (время суток), как он подключается (состояние соответствия устройства требованиям, браузер или собственное приложение) и каков риск (оценка риска входа от поставщика удостоверений).

Политики условного доступа одновременно оценивают несколько сигналов. К основным сигналам относятся: соответствие устройства требованиям (управляется ли устройство с помощью MDM и соответствует ли базовым требованиям безопасности?), Location (находится ли IP-адрес в доверенном именованном расположении или в другой стране?), риск входа (пометил ли искусственный интеллект поставщика удостоверений этот вход как аномальный — необычное расположение, утекшие учетные данные, невозможное перемещение?), а также риск пользователя (есть ли у этой учетной записи признаки взлома, выявленные по данным из даркнета?).

Когда политика условного доступа срабатывает, средство предоставления доступа определяет, что должен сделать пользователь. Доступны следующие варианты: полностью заблокировать доступ, требовать MFA, требовать устройство, соответствующее требованиям, требовать одобренное клиентское приложение (разрешены только управляемые приложения), требовать смену пароля (если учетные данные находятся под угрозой) или сочетания этих средств. Средства предоставления доступа позволяют организациям повышать требования безопасности в зависимости от уровня риска запрашиваемого доступа.

Помимо средств предоставления доступа, условный доступ может применять средства контроля сеансов, ограничивающие действия пользователей после прохождения аутентификации. Например, можно установить частоту входа (требовать повторную аутентификацию каждый час), ограничить загрузку конфиденциальных файлов на неуправляемые устройства, применять политики Microsoft Defender for Cloud Apps для мониторинга сеансов в реальном времени и ограничивать операции копирования и вставки в конфиденциальных приложениях, к которым обращаются из ненадежных расположений.

Именованные расположения в условном доступе определяют доверенные диапазоны IP-адресов или географические регионы. Доступ из именованного доверенного расположения (например, из диапазонов IP-адресов корпоративного офиса) может предоставляться с меньшими ограничениями, без обязательной MFA. Доступ из-за пределов именованных расположений, особенно из стран с высоким риском, приводит к дополнительным требованиям аутентификации. Сочетание именованных расположений с обнаружением невозможного перемещения (пользователь оказывается в двух удаленных друг от друга местах за считаные минуты) блокирует сценарии компрометации учетных данных.

Условный доступ на основе риска использует сигналы машинного обучения от поставщика удостоверений для оценки риска входа в реальном времени. Microsoft Entra ID (ранее Azure AD) присваивает входу оценку риска (низкая/средняя/высокая) на основе таких факторов, как утекшие учетные данные в базах данных даркнета, аномальные шаблоны входа и IP-адреса, связанные с вредоносными программами. При входе с высоким риском можно автоматически потребовать сброс пароля и MFA, защищая учетные записи еще до того, как ИТ-команда проверит оповещение.

Политики условного доступа и своевременный доступ создают риск: если сам поставщик удостоверений выйдет из строя, администраторы могут потерять доступ к системам, необходимым для его восстановления. Аварийные учетные записи (учетные записи экстренного доступа) обладают высокими привилегиями, исключены из политик условного доступа, а их учетные данные хранятся в физическом сейфе; использовать их следует только при настоящих чрезвычайных ситуациях. Их использование должно немедленно вызывать оповещения и последующий разбор инцидента, поскольку любое применение вне объявленной чрезвычайной ситуации является тревожным признаком.

Своевременный доступ и политики условного доступа работают вместе как взаимодополняющие средства контроля. Conditional Access определяет, может ли пользователь пройти аутентификацию и какие проверки он должен пройти. Своевременный доступ определяет, какую привилегированную роль пользователь получит после аутентификации и на какой срок. Вместе они реализуют принцип нулевого доверия — никогда не доверяйте, всегда проверяйте: каждый запрос на доступ оценивается с учетом контекста, привилегия предоставляется временно, а все действия записываются в журналы.

Проверьте, насколько хорошо Вы усвоили понятия CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что своевременный доступ заменяет постоянные привилегии временным повышением прав по запросу, срок которого истекает автоматически, политики условного доступа оценивают контекстные сигналы (устройство, расположение, риск) перед предоставлением доступа, а аварийные учетные записи обеспечивают экстренный доступ, исключенный из обычных политик, но должны строго контролироваться и отслеживаться. Далее мы рассмотрим модель разделения ответственности для IaaS, PaaS и SaaS.