Použití principů nulová důvěra (Zero Trust) na Microsoft Copilot for Security

Shrnutí: Pokud chcete použít zásady nulová důvěra (Zero Trust) pro vaše prostředí pro Microsoft Copilot for Security, musíte použít pět vrstev ochrany:

1. Chraňte uživatelské účty správců a zaměstnanců SecOps pomocí zásad identit a přístupu.
2. U uživatelských účtů správců a zaměstnanců secOps použijte přístup s nejnižšími oprávněními, včetně přiřazení minimálních rolí uživatelských účtů.
3. Správa a ochrana zařízení pro správce a zaměstnance SecOps
4. Nasaďte nebo ověřte ochranu před hrozbami.
5. Zabezpečený přístup k bezpečnostním produktům třetích stran, které integrujete s Copilot for Security.

Úvod

Jako součást zavádění Microsoft Copilot for Security do vašeho prostředí microsoft doporučuje Microsoft vytvořit silný základ zabezpečení pro uživatelské účty a zařízení pro správce a secOps. Microsoft také doporučuje zajistit, abyste nakonfigurovali nástroje ochrany před hrozbami. Pokud integrujete bezpečnostní produkty třetích stran se službou Copilot for Security, ujistěte se také, že máte chráněný přístup k těmto produktům a souvisejícím datům.

Pokyny pro silné základy zabezpečení naštěstí existují ve formě nulová důvěra (Zero Trust). Strategie zabezpečení nulová důvěra (Zero Trust) zachází s každým připojením a požadavkem na prostředky, jako by pocházela z nekontrolovatelné sítě a špatného aktéra. Bez ohledu na to, odkud žádost pochází nebo k jakému prostředku přistupuje, nulová důvěra (Zero Trust) nás naučí, že "nikdy nedůvěřujete, vždy ověřte".

Z portálů zabezpečení poskytuje Copilot for Security přirozený jazyk, prostředí pro usnadnění kopírování, které pomáhá podporovat:

• Odborníci na zabezpečení v komplexních scénářích, jako jsou reakce na incidenty, proaktivní vyhledávání hrozeb, shromažďování inteligentních informací a správa stavu.

• It specialisté na vyhodnocení a konfiguraci zásad, řešení potíží s přístupem k zařízením a uživatelům a monitorování výkonu.

Copilot for Security používá data z protokolů událostí, výstrah, incidentů a zásad pro vaše předplatná Microsoftu a produkty zabezpečení třetích stran. Pokud útočník naruší uživatelský účet správce nebo pracovníka zabezpečení, který má přiřazenou roli Copilot pro zabezpečení, může použít Copilot for Security a jeho výsledky k pochopení toho, jak váš tým SecOps řeší probíhající útoky. Útočník pak může tyto informace použít k tomu, aby se pokusil reagovat na incident, případně takový, který inicioval.

Proto je důležité zajistit, abyste ve svém prostředí použili vhodná omezení rizik.

Logická architektura

První obrannou linii při zavádění Copilotu pro zabezpečení je použít zásady nulová důvěra (Zero Trust) na účty a zařízení správců a zaměstnanců SecOps. Je také důležité zajistit, aby vaše organizace použila zásadu nejnižších oprávnění. Kroměrolíchm rolím určeným pro správce

Je snadné pochopit, proč jsou tato omezení rizik důležitá, když se podíváte na logickou architekturu Copilotu pro zabezpečení, která je zde uvedená.

V diagramu:

• Členové týmu SecOps můžou zobrazit výzvu pomocí prostředí copilotu, jako jsou například možnosti Copilot for Security, XDR v programu Microsoft Defender a Microsoft Intune.

• Mezi komponenty zabezpečení patří copilot pro komponenty zabezpečení:

  • Copilot for Security Service, která orchestruje odpovědi na výzvy založené na dovednostech a uživatelů.

  • Sada velkých jazykových modelů (LLM) pro Copilot pro zabezpečení.

  • Moduly plug-in pro konkrétní produkty. K dispozici jsou předinstalované moduly plug-in pro produkty Microsoftu. Tyto moduly plug-in jsou předzpracované a následné výzvy.

  • Data vašeho předplatného. Data SecOps pro protokoly událostí, výstrahy, incidenty a zásady uložené v předplatných. Další informace najdete v tomto článku o Microsoft Sentinelu pro nejběžnější zdroje dat pro produkty zabezpečení.

  • Soubory, které nahrajete. Do souboru Copilot for Security můžete nahrát konkrétní soubory a zahrnout je do rozsahu výzev.

Každý produkt zabezpečení Microsoftu s prostředím copilotu poskytuje přístup pouze k datové sadě přidružené k danému produktu, jako jsou protokoly událostí, výstrahy, incidenty a zásady. Copilot for Security poskytuje přístup ke všem datovým sadám, ke kterým má uživatel přístup.

Další informace najdete v tématu Začínáme se službou Microsoft Copilot for Security.

Jak ověřování jménem uživatele funguje se službou Copilot for Security?

Copilot for Security používá ověřování jménem uživatele (OBO), které poskytuje OAuth 2.0. Toto je tok ověřování poskytovaný delegováním v OAuth. Když uživatel SecOps vydá výzvu, funkce Copilot for Security předá identitu a oprávnění uživatele prostřednictvím řetězu žádostí. Tím zabráníte uživateli získat oprávnění k prostředkům, ke kterým by neměl mít přístup.

Další informace o ověřování OBO naleznete v tématu Microsoft Identity Platform a OAuth2.0 On-Behalf-Of tok.

Zobrazení výzvy v rámci produktu zabezpečení Microsoftu: Vložený příklad pro Microsoft Intune

Při použití některého z vložených prostředí Copilot pro zabezpečení je rozsah dat určen kontextem produktu, který používáte. Pokud například vydáte výzvu v Microsoft Intune, vytvoří se výsledky z dat a kontextu, které poskytuje jenom Microsoft Intune.

Tady je logická architektura při vydávání výzev z integrovaného prostředí Microsoft Intune.

V diagramu:

• Správci Intune používají microsoft Copilot v prostředí Intune k odesílání výzev.

• Copilot pro komponentu Zabezpečení orchestruje odpovědi na výzvy pomocí:

  • LLM pro Copilot pro zabezpečení.

  • Předinstalovaný modul plug-in Microsoft Intune.

  • Data Intune pro zařízení, zásady a stav zabezpečení uložená ve vašem předplatném Microsoft 365

Integrace s produkty zabezpečení třetích stran

Copilot for Security poskytuje možnost hostovat moduly plug-in pro produkty třetích stran. Tyto moduly plug-in třetích stran poskytují přístup k přidruženým datům. Tyto moduly plug-in a související data se nacházejí mimo hranice důvěryhodnosti zabezpečení Microsoftu. Proto je důležité zajistit, abyste zajistili zabezpečený přístup k těmto aplikacím a jejich přidruženým datům.

Tady je logická architektura copilotu pro zabezpečení s produkty zabezpečení třetích stran.

V diagramu:

• Copilot for Security se integruje s produkty zabezpečení třetích stran prostřednictvím modulů plug-in.
• Tyto moduly plug-in poskytují přístup k datům přidruženým k produktu, jako jsou protokoly a výstrahy.
• Tyto komponenty třetích stran se nacházejí mimo hranici důvěryhodnosti zabezpečení Microsoftu.

Použití zmírnění rizik zabezpečení ve vašem prostředí pro Copilot for Security

Zbytek tohoto článku vás provede postupem použití principů nulová důvěra (Zero Trust) k přípravě prostředí pro Copilot for Security.

Existuje několik přístupů, které můžete při konfiguraci ochrany pro vaše prostředí využít ke zprovoznění správců a pracovníků secOps ke službě Copilot for Security.

Onboarding pro jednotlivé uživatele do Copilotu pro zabezpečení

Než přiřadíte roli pro Copilot for Security, projděte si kontrolní seznam pro správce a pracovníky secOps. To funguje dobře pro malé týmy a organizace, které chtějí začít s testovací nebo pilotní skupinou.

Postupné nasazení Copilotu pro zabezpečení

U rozsáhlých prostředí funguje dobře standardní nasazení. V tomto modelu budete řešit skupiny uživatelů současně, abyste nakonfigurovali ochranu a přiřaďte role.

Tady je příklad modelu.

Na obrázku:

• Ve fázi Vyhodnocení vyberete malou sadu uživatelů správce a secOps, ke kterým chcete mít přístup ke službě Copilot for Security, a použijete identitu a přístup a ochranu zařízení.
• Ve fázi pilotního nasazení vyberete další sadu uživatelů správce a SecOps a použijete identitu a přístup a ochranu zařízení.
• Ve fázi úplného nasazení použijete identitu a přístup a ochranu zařízení pro ostatní uživatele správce a secOps.
• Na konci každé fáze přiřadíte uživatelským účtům odpovídající roli v Copilotu for Security.

Vzhledem k tomu, že různé organizace můžou být v různých fázích nasazení ochrany nulová důvěra (Zero Trust) pro své prostředí, v každém z těchto kroků:

• Pokud nepoužíváte žádnou ochranu popsanou v kroku, před přiřazením rolí, které zahrnují Copilot for Security, zaberte čas pilotního nasazení a nasaďte je pro správce a pracovníky secOps.
• Pokud už používáte některé z ochrany popsaných v tomto kroku, použijte informace v kroku jako kontrolní seznam a ověřte, že každá uvedená ochrana byla pilotní a nasazená před přiřazením rolí, které zahrnují Copilot for Security.

Krok 1. Nasazení nebo ověření zásad identit a přístupu pro správce a pracovníky secOps

Chcete-li zabránit špatným hercům v použití Copilotu pro zabezpečení k rychlému získání informací o kybernetických útokech, prvním krokem je zabránit jim v získání přístupu. Musíte zajistit, aby pracovníci s rolí správce a secOps:

• Uživatelské účty se vyžadují k použití vícefaktorového ověřování (MFA), aby jejich přístup nebylo možné ohrozit pouze odhadem uživatelských hesel) a při zjištění vysoce rizikové aktivity je potřeba změnit hesla.
• Zařízení musí splňovat zásady správy Intune a dodržování předpisů zařízením.

Doporučení zásad identit a přístupu najdete v kroku identit a přístupu v nulová důvěra (Zero Trust) pro Microsoft 365 Copilot. Na základě doporučení v tomto článku se ujistěte, že vaše výsledná konfigurace použije následující zásady pro všechny uživatelské účty pedagogů SecOps a jejich zařízení:

• Vždy používat vícefaktorové ověřování pro přihlášení
• Blokování klientů, kteří nepodporují moderní ověřování
• Vyžadování kompatibilních počítačů a mobilních zařízení
• Uživatelé s vysokým rizikem musí změnit heslo (jenom pro Microsoft 365 E5)
• Vyžadování dodržování zásad dodržování předpisů pro zařízení v Intune

Tato doporučení odpovídají úrovni specializované ochrany zabezpečení v zásadách přístupu k nulová důvěra (Zero Trust) identitě a zařízením od Microsoftu. Následující diagram znázorňuje doporučené tři úrovně ochrany: Výchozí bod, Enterprise a Special. Úroveň podnikové ochrany se doporučuje minimálně pro vaše privilegované účty.

V diagramu jsou doporučené zásady pro podmíněný přístup Microsoft Entra, dodržování předpisů zařízením Intune a ochrana aplikací Intune znázorněné pro každou ze tří úrovní:

• Výchozí bod, který nevyžaduje správu zařízení.
• Společnost Enterprise se doporučuje pro nulová důvěra (Zero Trust) a jako minimum pro přístup ke službě Copilot for Security a k vašim produktům zabezpečení a souvisejícím datům třetích stran.
• Pro přístup ke službě Copilot for Security a produktům zabezpečení třetích stran a souvisejícím datům se doporučuje specializované zabezpečení .

Každá z těchto zásad je podrobněji popsaná v běžných zásadách identit nulová důvěra (Zero Trust) a přístupu zařízení pro organizace Microsoftu 365.

Konfigurace samostatné sady zásad pro privilegované uživatele

Při konfiguraci těchto zásad pro správce a zaměstnance secOps vytvořte pro tyto privilegované uživatele samostatnou sadu zásad. Například nepřidávejte správce do stejné sady zásad, které řídí přístup neprivilegovaných uživatelů k aplikacím, jako je Microsoft 365 a Salesforce. Použijte vyhrazenou sadu zásad s ochranou, která je vhodná pro privilegované účty.

Zahrnutí nástrojů zabezpečení do rozsahu zásad podmíněného přístupu

Prozatím neexistuje snadný způsob konfigurace podmíněného přístupu pro Copilot pro zabezpečení. Vzhledem k tomu, že ověřování jménem uživatele se používá pro přístup k datům v rámci nástrojů zabezpečení, ujistěte se, že jste pro tyto nástroje nakonfigurovali podmíněný přístup, což může zahrnovat ID Microsoft Entra a Microsoft Intune.

Krok 2. Použití nejnižších oprávnění pro uživatelské účty správce a SecOps

Tento krok zahrnuje konfiguraci příslušných rolí v rámci Copilotu pro zabezpečení. Zahrnuje také kontrolu uživatelských účtů správce a SecOps, abyste měli jistotu, že mají přiřazená nejnižší úroveň oprávnění pro práci, kterou mají udělat.

Přiřazení uživatelských účtů ke Copilotu pro role zabezpečení

Model oprávnění pro Copilot for Security zahrnuje role v Microsoft Entra ID i Copilot for Security.

Je důležité vědět, že ve výchozím nastavení mají všichni uživatelé v tenantovi přístup přispěvatele Copilotu. Díky této konfiguraci se přístup k datům nástroje zabezpečení řídí oprávněními, která jste nakonfigurovali pro každý z nástrojů zabezpečení. Výhodou této konfigurace je, že vložená prostředí Copilot for Security jsou okamžitě dostupná pro správce a pracovníky secOps v rámci produktů, které denně používají. To funguje dobře, pokud jste už ve vaší organizaci zavedli silný postup nejméně privilegovaného přístupu.

Pokud byste chtěli provést fázovaný přístup k zavedení funkce Copilot for Security pro správce a pracovníky secOps při ladění nejméně privilegovaného přístupu ve vaší organizaci, odeberte všechny uživatele z role přispěvatele Copilot a přidejte skupiny zabezpečení, jakmile budete připraveni.

Další informace naleznete v těchto nástrojích Microsoft Copilot pro prostředky zabezpečení:

• Začínáme
• Principy ověřování

Konfigurace nebo kontrola přístupu s nejnižšími oprávněními pro uživatelské účty správce a SecOps

Představujeme Copilot for Security je skvělý čas pro kontrolu přístupu k uživatelským účtům správců a zaměstnanců secOps, abyste měli jistotu, že sledujete s principem nejnižších oprávnění pro jejich přístup ke konkrétním produktům. To zahrnuje následující úlohy:

• Zkontrolujte oprávnění udělená pro konkrétní produkty, se kterými pracuje váš správce a pracovníci SecOps. Například pro Microsoft Entra, viz nejméně privilegované role podle úkolu.
• Použijte Microsoft Entra Privileged Identity Management (PIM) k získání větší kontroly nad přístupem ke copilotu pro zabezpečení.
• Použijte Microsoft Purview Privileged Access Management ke konfiguraci podrobné kontroly přístupu nad úlohami privilegovaného správce v Office 365.

Použití služby Microsoft Entra Privileged Identity Management společně s copilotem pro zabezpečení

Microsoft Entra Privileged Identity Management (PIM) umožňuje spravovat, řídit a monitorovat role potřebné pro přístup ke službě Copilot for Security. S PIM můžete:

• Zadejte aktivaci role, která je založená na čase.
• Vyžadovat schválení k aktivaci privilegovaných rolí.
• Vynucením vícefaktorového ověřování aktivujte libovolnou roli.
• Při aktivaci privilegovaných rolí můžete dostávat oznámení.
• Zkontrolujte přístup, abyste zajistili, že uživatelské účty správců a zaměstnanců secOps stále potřebují přiřazené role.
• Proveďte audity změn přístupu a rolí pro správce a pracovníky secOps.

Použití správy privilegovaného přístupu společně s Copilotem pro zabezpečení

Microsoft Purview Privileged Access Management pomáhá chránit vaši organizaci před porušením zabezpečení a pomáhá splňovat osvědčené postupy dodržování předpisů omezením přístupu k citlivým datům nebo přístupu k důležitým nastavením konfigurace. Místo toho, aby správci měli konstantní přístup, implementují se pravidla přístupu za běhu pro úlohy, které potřebují zvýšená oprávnění. Místo toho, aby správci měli konstantní přístup, implementují se pravidla přístupu za běhu pro úlohy, které potřebují zvýšená oprávnění. Další informace naleznete v tématu Privileged Access Management.

Krok 3. Zabezpečení zařízení pro privilegovaný přístup

V kroku 1 jste nakonfigurovali zásady podmíněného přístupu, které pro správce a zaměstnance secOps vyžadovaly spravované a vyhovující zařízení. Pro další zabezpečení můžete nasadit zařízení s privilegovaným přístupem, která budou zaměstnanci používat při přístupu k nástrojům zabezpečení a datům, včetně Copilotu for Security. Zařízení s privilegovaným přístupem je posílená pracovní stanice, která má jasné řízení aplikací a ochranu Application Guard. Pracovní stanice používá ochranu credential guard, device guard, app guard a exploit guard k ochraně hostitele před útočníky.

Další informace o tom, jak nakonfigurovat zařízení pro privilegovaný přístup, najdete v tématu Zabezpečení zařízení v rámci scénáře privilegovaného přístupu.

Pokud chcete tato zařízení vyžadovat, nezapomeňte aktualizovat zásady dodržování předpisů pro zařízení v Intune. Pokud přecházíte mezi správcem a pracovníky SecOps na posílená zařízení, převést skupiny zabezpečení z původní zásady dodržování předpisů pro zařízení na novou zásadu. Pravidlo podmíněného přístupu může zůstat stejné.

Krok 4. Nasazení nebo ověření služeb ochrany před hrozbami

Pokud chcete detekovat aktivity špatných herců a zabránit jim v získání přístupu ke službě Copilot for Security, zajistěte, abyste mohli detekovat bezpečnostní incidenty a reagovat na ně pomocí komplexní sady služeb ochrany před hrozbami, mezi které patří XDR v programu Microsoft Defender s Microsoft 365, Microsoft Sentinelem a dalšími službami a produkty zabezpečení.

Použijte následující zdroje informací.

Krok 5. Zabezpečený přístup k bezpečnostním produktům a datům třetích stran

Pokud integrujete bezpečnostní produkty třetích stran s Copilot for Security, ujistěte se, že máte zabezpečený přístup k těmto produktům a souvisejícím datům. Pokyny pro Microsoft nulová důvěra (Zero Trust) zahrnují doporučení pro zabezpečení přístupu k aplikacím SaaS. Tato doporučení se dají použít pro vaše produkty zabezpečení třetích stran.

V případě ochrany pomocí zásad přístupu k identitám a zařízením jsou změny běžných zásad pro aplikace SaaS uvedené červeně v následujícím diagramu. Jedná se o zásady, ke kterým můžete přidat své produkty zabezpečení třetích stran.

U vašich produktů a aplikací zabezpečení třetích stran zvažte vytvoření vyhrazené sady zásad pro tyto aplikace. Díky tomu můžete s produkty zabezpečení zacházet s vyššími požadavky v porovnání s kancelářskými aplikacemi, jako je Dropbox a Salesforce. Například přidejte Tanium a všechny ostatní produkty zabezpečení třetích stran do stejné sady zásad podmíněného přístupu. Pokud chcete vynutit přísnější požadavky pro zařízení pro správce a zaměstnance secOps, nakonfigurujte také jedinečné zásady pro dodržování předpisů zařízením Intune a ochranu aplikací Intune a přiřaďte tyto zásady správcům a pracovníkům secOps.

Další informace o přidání bezpečnostních produktů do MICROSOFT Entra ID a rozsahu zásad podmíněného přístupu a souvisejících zásad (nebo konfiguraci nové sady zásad) najdete v tématu Přidání aplikací SaaS do Microsoft Entra ID a rozsahu zásad.

V závislosti na produktu zabezpečení může být vhodné použít Microsoft Defender for Cloud Apps k monitorování používání těchto aplikací a použití ovládacích prvků relací. Pokud tyto aplikace zabezpečení zahrnují ukládání dat v některém z typů souborů podporovaných službou Microsoft Purview, můžete pomocí defenderu for Cloud monitorovat a chránit tato data pomocí popisků citlivosti a zásad ochrany před únikem informací. Další informace najdete v tématu Integrace aplikací SaaS pro nulová důvěra (Zero Trust) s Microsoftem 365.

Příklad pro tanium SSO

Tanium je poskytovatel nástrojů pro správu koncových bodů a nabízí vlastní modul plug-in Tanium Skills pro Copilot for Security. Tento modul plug-in pomáhá uzemnět výzvy a odpovědi, které využívají informace a přehledy shromážděné službou Tanium.

Tady je logická architektura Copilot for Security s modulem plug-in Tanium Skills.

V diagramu:

• Tanium Skills je vlastní modul plug-in pro Microsoft Copilot for Security.
• Tanium Skills poskytuje přístup k výzvám i odpovědím, které používají informace a přehledy shromážděné na taniu a pomáhají jim.

Zabezpečení přístupu k produktům Tanium a souvisejícím datům:

1. Pomocí galerie aplikací Microsoft Entra ID vyhledejte a přidejte do svého tenanta jednotné přihlašování Tanium. Viz Přidání podnikové aplikace. Příklad specifický pro Tanium najdete v tématu Integrace jednotného přihlašování Microsoft Entra s jednotným přihlašováním k taniu.
2. Přidejte tanium SSO do rozsahu vašich nulová důvěra (Zero Trust) zásad identit a přístupu.

Další kroky

Podívejte se na video Discover Microsoft Copilot for Security.

Podívejte se na tyto další články o nulová důvěra (Zero Trust) a copilotech Microsoftu:

• Přehled
• Microsoft Copilot
• Microsoft 365 Copilot

Viz také dokumentace ke službě Microsoft Copilot for Security.

Reference

V těchto odkazech se dozvíte o různých službách a technologiích uvedených v tomto článku.

• Začínáme se službou Microsoft Copilot for Security
• Onboarding do Copilotu pro zabezpečení
• Zdroje dat pro Microsoft Sentinel
• Microsoft Entra Privileged Identity Management (PIM)
• Správa privilegovaného přístupu
• Zařízení s privilegovaným přístupem