Identiteten som den nya perimetern: villkorsstyrd åtkomst

I Zero Trust-modellen är identitet den nya perimetern. Eftersom användare får åtkomst till resurser var som helst ifrån – hemmet, kaféer och mobila enheter – saknar nätverksgränsen betydelse som förankring för tillit. I stället baseras varje åtkomstbeslut på vem som begär åtkomst, från vilken enhet och under vilka villkor. Identitetsleverantören blir grindvakten, inte brandväggen.

Villkorsstyrd åtkomst är en principmotor som beviljar eller begränsar åtkomst baserat på signaler som utvärderas vid autentiseringstillfället. I stället för att bara verifiera användarnamn och lösenord utvärderar villkorsstyrd åtkomst olika villkor: Är enheten kompatibel? Är platsen känd? Är inloggningsrisken förhöjd? Har MFA genomförts? Först när villkoren är uppfyllda utfärdar principmotorn en åtkomsttoken. Om villkoren inte uppfylls nekas åtkomst eller så utlöses en extra verifiering.

Principer för villkorsstyrd åtkomst utvärderar flera signalkategorier samtidigt. Användar- och gruppsignaler identifierar vem som begär åtkomst (administratör, gäst eller konsult). Enhetssignaler kontrollerar kompatibilitetsstatus från MDM. Programsignaler identifierar vilket program som används (hög eller låg känslighet). Platssignaler jämför IP-adressen med namngivna platser och betrodda länder. Signaler för inloggningsrisk från hotinformation markerar misstänkta inloggningsmönster.

En princip för villkorsstyrd åtkomst ger ett av flera möjliga utfall. Bevilja tillåter åtkomst, eventuellt med krav som MFA eller kompatibel enhet. Blockera nekar åtkomst helt – till exempel genom att blockera all åtkomst från länder med hög risk. Sessionskontroller kan begränsa vad användare får göra efter att åtkomst har beviljats: kräva ny autentisering efter en tidsgräns, blockera nedladdningar eller tvinga fram skrivskyddat läge i molnprogram.

Riskbaserad villkorsstyrd åtkomst integrerar hotinformation i åtkomstbeslutet i realtid. Identitetsleverantörer som Azure AD Identity Protection tilldelar inloggningar riskpoäng baserat på signaler som omöjlig resväg (inloggning från två länder inom några minuter), användning av kända skadliga IP-adresser, läckta databaser med inloggningsuppgifter och avvikande beteendemönster. Inloggningar med hög risk kan blockeras automatiskt eller kräva att identiteten verifieras på nytt.

Villkorsstyrd åtkomst kan kräva kompatibel enhet som förutsättning för åtkomst till känsliga resurser. En kompatibel enhet är registrerad i MDM (Intune, Jamf), kör en operativsystemversion som stöds, har diskkryptering aktiverad och har inga kända sårbarheter som har markerats av EDR. Ohanterade eller icke-kompatibla enheter omdirigeras till en registreringsportal i stället för att beviljas åtkomst – även om användarens inloggningsuppgifter är giltiga.

Namngivna platser i villkorsstyrd åtkomst definierar betrodda IP-intervall – kontorets IP-adresser, filialnätverk eller VPN-utgångsnoder. Principer kan kräva ytterligare autentisering (MFA) för all åtkomst från platser utanför de namngivna platserna eller blockera åtkomst helt från specifika länder eller anonyma proxynätverk. Detta lägger till ett platslager i identitetsverifieringen utan att återgå till ett tänkande baserat på IP som perimeterskydd.

Traditionella åtkomsttoken är giltiga under hela sin livstid (ofta en timme), oavsett vad som händer med användarkontot efter att token har utfärdats. Kontinuerlig åtkomstutvärdering (CAE) gör det möjligt för resursleverantören att återkalla token nästan i realtid när kritiska händelser inträffar – kontot inaktiveras, lösenordet ändras eller en användare markeras som riskfylld. Programmet kontrollerar tokenens giltighet under sessionen, inte bara vid inloggningen, vilket täpper till luckan där komprometterade token förblir giltiga.

Organisationer behöver ofta ge partner och konsulter åtkomst utan att skapa interna konton. Federerad identitet gör det möjligt för en extern identitetsleverantör (partnerns Azure AD eller Google Workspace) att autentisera användare och vidarebefordra verifierade identitetsanspråk. Principer för villkorsstyrd åtkomst kan tillämpas på federerade användare – till exempel genom att kräva MFA, begränsa enhetstyper eller begränsa vilka program de får använda – så att Ni behåller kontrollen utan att behöva hantera deras konton direkt.

Utöver att bevilja eller blockera åtkomst kan villkorsstyrd åtkomst tillämpa kontroller på sessionsnivå. För molnprogram som är integrerade med Microsoft Defender for Cloud Apps eller liknande CASB-lösningar (Cloud Access Security Broker) kan principer begränsa följande: blockera filnedladdningar på ohanterade enheter, kräva ny autentisering efter 8 timmars inaktivitet, visa varningar vid åtkomst till känsliga data eller förhindra kopiering och inklistring av konfidentiellt innehåll utanför företagsmiljön.

Att implementera identitet som perimeter kräver integrering av flera tekniker: en Identity Provider (IdP) som stöder moderna protokoll (SAML, OIDC), en MDM/EMM-lösning för data om enheters kompatibilitet, en principmotor för villkorsstyrd åtkomst och multifaktorautentisering som miniminivå. Målet är att säkerställa att ingen åtkomst sker utan verifierad identitet och en verifierad enhetsstatus, oavsett nätverksplats – och därmed eliminera begreppet ett betrott internt nätverk.

I den här lektionen har Ni lärt Er att identitet ersätter nätverksperimetern som den primära förankringen för tillit i Zero Trust, att villkorsstyrd åtkomst utvärderar flera signaler (användare, enhet, plats och risk) innan åtkomst beviljas och att sessionskontroller och kontinuerlig åtkomstutvärdering upprätthåller säkerheten under hela åtkomstsessionen, inte bara vid inloggningen. Härnäst utforskar vi Zero Trust-mognadsmodellen för att planera införande i hela företaget.