Raccomandazioni per cla creazione di una strategia di segmentazione

Si applica alla raccomandazione della checklist di sicurezza ben progettata: Power Platform

Una strategia di segmentazione definisce il modo in cui separare i carichi di lavoro da altri carichi di lavoro con il proprio insieme di requisiti e misure di sicurezza.

Questa guida descrive le raccomandazioni per creare una strategia di segmentazione unificata. Utilizzando perimetri e confini di isolamento in carichi di lavoro, puoi progettare un approccio alla sicurezza adatto alle tue esigenze.

Definizioni

Strategie di progettazione chiave

Il concetto di segmentazione è comunemente utilizzato per le reti. Tuttavia, lo stesso principio di base può essere utilizzato in tutta una soluzione, inclusa la segmentazione delle risorse per scopi di gestione e controllo di accesso.

La segmentazione ti aiuta a progettare un approccio alla sicurezza che applichi la difesa in profondità basato sui principi del modello Zero Trust. Assicurati che un utente malintenzionato che viola un segmento non possa accedere a un altro segmentando i carichi di lavoro con controlli di identità diversi. In un sistema sicuro, diversi attributi, come la rete e l'identità, vengono utilizzati per bloccare l'accesso non autorizzato e impedire che le risorse vengano esposte.

Di seguito sono riportati alcuni esempi di segmenti:

• Controlli della piattaforma che definiscono i confini della rete
• Ambienti che isolano i carichi di lavoro di un'organizzazione
• Soluzioni che isolano le risorse del carico di lavoro
• Ambienti di distribuzione che isolano la distribuzione per fasi
• Team e ruoli che isolano le funzioni lavorative correlate allo sviluppo e alla gestione del carico di lavoro
• Livelli di applicazione isolati in base all'utilità del carico di lavoro
• Microservizi che isolano un servizio da un altro

Considera questi elementi chiave della segmentazione per assicurarti di creare una strategia di difesa completa e approfondita:

• Il limite o perimetro è il contorno di ingresso di un segmento in cui applichi i controlli di sicurezza. I controlli perimetrali devono bloccare l'accesso al segmento a meno che non sia esplicitamente consentito. L'obiettivo è impedire a un utente malintenzionato di sfondare il perimetro e ottenere il controllo del sistema. Ad esempio, un utente potrebbe avere accesso a un ambiente ma può avviare solo applicazioni specifiche in quell'ambiente in base alle proprie autorizzazioni.

• Il contenimento è il bordo di uscita di un segmento che impedisce il movimento laterale nel sistema. L’obiettivo del contenimento è ridurre al minimo l’effetto di una violazione. Ad esempio, è possibile usare una rete virtuale per configurare i gruppi di routing e di sicurezza di rete in modo da consentire solo i modelli di traffico previsti, evitando il traffico verso segmenti di rete arbitrari.

• L'isolamento è la pratica di raggruppare entità con garanzie simili per proteggere con un limite. L'obiettivo è la facilità di gestione e il contenimento di un attacco all'interno di un ambiente. Ad esempio, potresti raggruppare le risorse correlate a un carico di lavoro specifico in un ambiente o in una soluzione Power Platform e quindi applicare il controllo degli accessi in modo che solo i team del carico di lavoro specifico possano accedere all'ambiente.

È importante notare la distinzione tra perimetri e isolamento. Il perimetro si riferisce ai punti di localizzazione che devono essere controllati. L’isolamento riguarda il raggruppamento. Contieni attivamente un attacco utilizzando questi concetti insieme.

Isolamento non significa creare silo nell'organizzazione. Una strategia di segmentazione unificata fornisce l'allineamento tra i team tecnici e stabilisce chiare linee di responsabilità. Clarity riduce il rischio di errori umani e di errori di automazione che possono portare a vulnerabilità della sicurezza, tempi di inattività operativa o entrambi. Supponi che venga rilevata una violazione della sicurezza in un componente di un sistema aziendale complesso. È importante che tutti comprendano chi è responsabile di tale risorsa in modo che la persona appropriata sia inclusa nel team di valutazione. L'organizzazione e gli stakeholder possono identificare rapidamente come rispondere a diversi tipi di incidenti creando e documentando una buona strategia di segmentazione.

Compromesso: la segmentazione introduce complessità perché comporta un sovraccarico nella gestione.

Rischio: una microsegmentazione oltre un limite ragionevole fa perdere il vantaggio dell'isolamento. Quando si creano troppi segmenti, diventa difficile identificare i punti di comunicazione o consentire percorsi di comunicazione validi nel segmento.

Identità come perimetro

Varie identità come persone, componenti software o dispositivi accedono ai segmenti del carico di lavoro. L’identità è un perimetro che deve essere la principale linea di difesa per autenticare e autorizzare l'accesso oltre i confini dell'isolamento, indipendentemente da dove ha origine la richiesta di accesso. Utilizza l'identità come perimetro per:

• Assegnare l'accesso in base al ruolo. Le identità necessitano solo dell'accesso ai segmenti necessari per svolgere il proprio lavoro. Riduci al minimo l'accesso anonimo comprendendo i ruoli e le responsabilità dell'identità richiedente in modo da conoscere l'entità che richiede l'accesso a un segmento e per quale scopo.

  Un'identità potrebbe avere ambiti di accesso diversi in segmenti diversi. Prendere in considerazione una tipica configurazione dell'ambiente, con segmenti separati per ogni fase. Le identità associate al ruolo di sviluppatore hanno accesso in lettura e scrittura all'ambiente di sviluppo. Man mano che la distribuzione passa allo gestione temporanea, tali autorizzazioni vengono limitate. Nel momento in cui il carico di lavoro passa alla produzione, l'ambito per gli sviluppatori si riduce all'accesso di sola lettura.

• Considera separatamente le identità applicative e di gestione. Nella maggior parte delle soluzioni, gli utenti hanno un livello di accesso diverso rispetto a sviluppatori o operatori. In alcune applicazioni, potresti utilizzare sistemi di identità o directory diversi per ciascun tipo di identità. Prendi in considerazione la creazione di ruoli separati per ciascuna identità.

• Assegnare l'accesso con privilegi minimi. Se all'identità è consentito l'accesso, determina il livello di accesso. Inizia con il privilegio minimo per ogni segmento e amplia l'ambito solo quando necessario.

  Applicando il privilegio minimo, limiti gli effetti negativi nel caso in cui l'identità venga compromessa. Se l’accesso è limitato nel tempo, la superficie di attacco si riduce ulteriormente. L'accesso limitato nel tempo è applicabile soprattutto agli account critici, come amministratori o componenti software con identità compromessa.

Compromesso: il controllo degli accessi basato sui ruoli (RBAC) comporta un sovraccarico di gestione. Tenere traccia delle identità e dei relativi ambiti di accesso può diventare complesso nelle assegnazioni di ruoli. Prendi in considerazione l'assegnazione di ruoli a gruppi di sicurezza anziché a identità individuali.

Rischio: le impostazioni dell'identità possono essere complesse. Configurazioni errate possono influire sull'affidabilità del carico di lavoro. Supponi, ad esempio, che vi sia un'assegnazione di ruolo configurata in modo errato a cui viene negato l'accesso a un database. Le richieste iniziano a fallire, causando infine problemi di affidabilità che altrimenti non potrebbero essere rilevati fino al runtime.

Per ulteriori informazioni sui controlli di identità, vedi Raccomandazioni per la gestione di identità e accesso.

A differenza dei controlli di accesso alla rete, l'identità convalida il controllo di accesso al momento dell'accesso. Si consiglia vivamente di condurre una verifica di accesso regolare e di richiedere un flusso di lavoro di approvazione per ottenere privilegi per account con impatto critico.

La rete come perimetro

I perimetri di identità sono indipendenti dalla rete mentre i perimetri di rete aumentano l'identità ma non la sostituiscono mai. I perimetri di rete vengono stabiliti per controllare il raggio d'azione, bloccare accessi imprevisti, vietati e non sicuri e offuscare le risorse del carico di lavoro.

Sebbene l'obiettivo principale del perimetro di identità sia il privilegio minimo, dovresti presupporre che si verificherà una violazione quando progetti il ​​perimetro di rete.

Crea perimetri software-defined nel footprint della tua rete utilizzando i servizi e le funzionalità di Power Platform e di Azure. Quando un carico di lavoro (o parti di un determinato carico di lavoro) viene inserito in segmenti separati, puoi controllare il traffico da o verso tali segmenti per proteggere i percorsi di comunicazione. Se un segmento è compromesso, viene contenuto e gli viene impedita la diffusione laterale nel resto della rete.

Pensa come un utente malintenzionato per ottenere un punto d'appoggio all'interno del carico di lavoro e stabilire controlli per ridurre al minimo l'ulteriore espansione. I controlli devono rilevare, contenere e impedire agli utenti malintenzionati l'accesso all’intero carico di lavoro. Di seguito sono alcuni riportati esempi di controlli di rete come perimetro:

• Definisci il perimetro tra le reti pubbliche e la rete in cui è posizionato il carico di lavoro. Limita il più possibile la linea visiva dalle reti pubbliche alla tua rete.
• Crea confini in base all'intento. Ad esempio, segmenta le reti funzionali del carico di lavoro dalle reti operative.

Rischio: i controlli di rete sono basati su regole e c'è un rischio significativo di configurazione errata, il che rappresenta un problema di affidabilità.

Ruoli e responsabilità

La segmentazione che impedisce confusione e rischi per la sicurezza si ottiene definendo chiaramente le linee di responsabilità in un team del carico di lavoro.

Documenta e condividi ruoli e funzioni per creare coerenza e facilitare la comunicazione. Designa gruppi o ruoli individuali responsabili delle funzioni chiave. Prendi in considerazione i ruoli predefiniti in Power Platform prima di creare ruoli personalizzati per gli oggetti.

Prendi in considerazione la coerenza pur accettando diversi modelli organizzativi quando assegni le autorizzazioni per un segmento. Questi modelli possono variare da un singolo gruppo IT centralizzato a team IT e DevOps per lo più indipendenti.

Rischio: l'appartenenza ai gruppi può cambiare nel tempo man mano che i dipendenti entrano o escono dai team oppure cambiano ruolo. La gestione dei ruoli tra segmenti può comportare un sovraccarico di gestione.

Organizzazione delle risorse

La segmentazione ti consente di isolare le risorse del carico di lavoro da altre parti dell'organizzazione o anche all'interno del team. I costrutti di Power Platform, come ambienti e soluzioni, sono modi di organizzare le risorse che promuovono la segmentazione.

Facilitazione di Power Platform

Le sezioni seguenti descrivono le caratteristiche e le funzionalità di Power Platform che puoi utilizzare per implementare la strategia della segmentazione.

Identità

Tutti i prodotti Power Platform utilizzano Microsoft Entra ID (precedentemente Azure Active Directory o Azure AD) per la gestione delle identità e degli accessi. Puoi utilizzare i ruoli di sicurezza integrati, l'accesso condizionale, la gestione delle identità privilegiate e la gestione degli accessi di gruppo in Entra ID per definire i perimetri di identità.

Microsoft Dataverse usa la sicurezza basata sui ruoli per raggruppare una raccolta di privilegi. Questi ruoli di sicurezza possono essere associati direttamente agli utenti oppure ai team e alle Business Unit di Dataverse. Per altre informazioni, consultare Concetti di sicurezza in Microsoft Dataverse.

Rete

Con il supporto per Rete virtuale di Azure per Power Platform puoi eseguire l'integrazione di Power Platform con le risorse all'interno della tua rete virtuale senza esporle su Internet pubblico. Il supporto di Rete virtuale utilizza la delega della subnet di Azure per gestire il traffico in uscita da Power Platform al runtime. L'uso di un delegato evita la necessità che le risorse protette viaggino su Internet per integrarsi con Power Platform. I componenti di Rete virtuale, Dataverse e Power Platform possono chiamare risorse di proprietà dell'azienda all'interno della rete, indipendentemente dal fatto che siano ospitate in Azure o locale, e utilizzare plug-in e connettori per effettuare chiamate in uscita. Per ulteriori informazioni, consulta Panoramica del supporto di Rete virtuale per Power Platform.

Il firewall IP per Power Platform ambienti aiuta a proteggere i tuoi dati limitando l'accesso degli utenti solo alle posizioni IP consentite. Dataverse

Microsoft Azure ExpressRoute fornisce un modo avanzato per Connetti la tua rete locale ai servizi cloud utilizzando la connettività privata. Microsoft È possibile utilizzare una singola connessione ExpressRoute per accedere a più servizi online, ad esempio Microsoft Power Platform, Dynamics 365, Microsoft 365 e Azure.

Elenco di controllo della sicurezza

Fai riferimento alla serie completa di elementi consigliati.