Just-in-time-åtkomst och villkorade åtkomstpolicyer

Ständiga privilegier innebär att en användare alltid har förhöjd åtkomst, dygnet runt, oavsett om den behövs eller inte. Detta är den traditionella modellen för administratörskonton – administratören kan komma åt produktionssystem när som helst, även klockan tre en söndagsmorgon när inget legitimt arbete pågår. Ständiga privilegier ökar angreppsytan kraftigt: komprometterade administratörsautentiseringsuppgifter ger omedelbart angripare förhöjd åtkomst utan att några ytterligare steg krävs.

Just-in-time-åtkomst (JIT) ersätter ständiga privilegier med tillfällig åtkomsthöjning på begäran. När en administratör behöver privilegierad åtkomst begär hen den med en affärsmässig motivering. Begäran godkänns (automatiskt eller av en chef), privilegiet beviljas under ett fastställt tidsintervall (till exempel 1 timme) och upphör sedan automatiskt. Under intervallet övervakas all aktivitet. När åtkomsten har upphört har administratören ingen privilegierad åtkomst förrän en ny begäran görs.

Azure Privileged Identity Management (PIM) är Microsofts molnimplementation av JIT-åtkomst. Användare görs berättigade till privilegierade roller (till exempel Global Administrator), men har inte rollen permanent. När den behövs aktiverar de rollen från Azure-portalen, anger en motivering, kan behöva MFA och godkännande och får rollen under en konfigurerad tidsperiod (högst 8 timmar för de flesta roller). PIM genererar granskningsloggar över varje aktivering för rapportering av regelefterlevnad.

Villkorad åtkomst är en policy-motor av typen om–så som utvärderar kontextuella signaler innan åtkomst beviljas. I stället för ett binärt tillåt/neka-beslut som enbart baseras på autentiseringsuppgifter tar villkorad åtkomst hänsyn till: Vem som loggar in (användaridentitet och grupptillhörighet), Vad personen försöker komma åt (program eller data), Var personen befinner sig (IP-adress, plats), När det sker (tid på dygnet), Hur det sker (enhetens efterlevnadsstatus, webbläsare eller inbyggt program) samt Risk (identitetsleverantörens riskpoäng för inloggningen).

Policyer för villkorad åtkomst utvärderar flera signaler samtidigt. Viktiga signaler omfattar: Enhetens efterlevnad (hanteras enheten av MDM och uppfyller den grundläggande säkerhetskraven?), Plats (ligger IP-adressen på en betrodd namngiven plats eller i ett annat land?), Inloggningsrisk (har identitetsleverantörens AI flaggat inloggningen som avvikande – ovanlig plats, läckta autentiseringsuppgifter, omöjlig resa?) samt Användarrisk (finns det tecken på att kontot har komprometterats enligt underrättelser från dark web?).

När en policy för villkorad åtkomst matchar avgör beviljandekontrollen vad användaren måste göra. Alternativen omfattar: Blockera åtkomst helt, Kräv MFA, Kräv kompatibel enhet, Kräv godkänt klientprogram (endast hanterade program tillåts), Kräv lösenordsbyte (om autentiseringsuppgifterna är utsatta) eller kombinationer av dessa kontroller. Beviljandekontroller gör det möjligt för organisationer att höja säkerhetskraven utifrån risknivån för den åtkomst som begärs.

Utöver beviljandekontroller kan villkorad åtkomst tillämpa sessionskontroller som begränsar vad användare kan göra efter autentisering. Exempel är att kräva inloggning med en viss frekvens (ny autentisering varje timme), begränsa nedladdning av känsliga filer från ohanterade enheter, tillämpa policyer från Microsoft Defender for Cloud Apps för övervakning av sessioner i realtid samt begränsa kopiering och inklistring i känsliga program som nås från otillförlitliga platser.

Namngivna platser i villkorad åtkomst definierar betrodda IP-intervall eller geografiska områden. Åtkomst från en namngiven betrodd plats (till exempel företagets IP-intervall) kan beviljas med mindre friktion (MFA krävs inte). Åtkomst utanför namngivna platser – särskilt från högriskländer – utlöser ytterligare autentiseringskrav. Genom att kombinera namngivna platser med identifiering av omöjliga resor (en användare verkar befinna sig på två avlägsna platser inom några minuter) kan scenarier med komprometterade autentiseringsuppgifter blockeras.

Riskbaserad villkorad åtkomst använder maskininlärningssignaler från identitetsleverantören för att utvärdera inloggningsrisk i realtid. Microsoft Entra ID (tidigare Azure AD) tilldelar en riskpoäng för inloggningen (låg/medel/hög) baserat på faktorer som läckta autentiseringsuppgifter i dark web-databaser, avvikande inloggningsmönster och IP-adresser kopplade till skadlig kod. En inloggning med hög risk kan automatiskt kräva lösenordsåterställning och MFA, vilket skyddar konton även innan ett IT-team har granskat aviseringen.

Policyer för villkorad åtkomst och JIT-åtkomst medför en risk: om själva identitetsleverantören slutar fungera kan administratörer låsas ute från systemen de behöver för att återställa den. Nödkonton (konton för akut åtkomst) är starkt privilegierade konton som undantas från policyer för villkorad åtkomst, vars autentiseringsuppgifter förvaras i ett fysiskt kassaskåp och som endast används vid verkliga nödsituationer. Användningen bör omedelbart utlösa aviseringar och en granskning efter incidenten, eftersom all användning utanför en deklarerad nödsituation är en tydlig varningssignal.

JIT-åtkomst och policyer för villkorad åtkomst fungerar tillsammans som kompletterande kontroller. Villkorad åtkomst styr om en användare kan autentisera sig och vilka kontroller hen måste klara. JIT-åtkomst styr vilken privilegierad roll användaren får efter autentiseringen och hur länge. Tillsammans implementerar de principen om nolltillit: lita aldrig på något, verifiera alltid: varje åtkomstbegäran utvärderas i sin kontext, privilegier är tillfälliga och alla åtgärder loggas.

I den här lektionen har ni lärt er att: just-in-time-åtkomst ersätter ständiga privilegier med tillfällig åtkomsthöjning på begäran som upphör automatiskt, policyer för villkorad åtkomst utvärderar kontextuella signaler (enhet, plats, risk) innan åtkomst beviljas och nödkonton ger akut åtkomst som undantas från vanliga policyer men måste kontrolleras och övervakas noggrant. Nästa avsnitt handlar om modellen för delat ansvar i IaaS, PaaS och SaaS.