Ayrıcalıklı erişim stratejisi için başarı ölçütleri
Bu belgede ayrıcalıklı erişim stratejisinin başarı ölçütleri açıklanmaktadır. Bu bölümde, ayrıcalıklı erişim stratejisi için başarıya yönelik stratejik bakış açıları açıklanmaktadır. Bu stratejinin nasıl benimsendiğiyle ilgili bir yol haritası için bkz. hızlı modernizasyon planı (RaMP). Uygulama kılavuzu için bkz. ayrıcalıklı erişim dağıtımı
Sıfır Güven yaklaşımları kullanarak bütünsel bir strateji uygulamak, ayrıcalıklı erişim için erişim denetimi üzerinde saldırganlara karşı dayanıklı hale getiren bir "mühür" oluşturur. Bu strateji, yolları yalnızca belirli birkaç ayrıcalıklı erişimle sınırlayarak ve ardından bu yetkili yolları yakından koruyarak ve izleyerek gerçekleştirilir.
Başarılı bir strateji, dört farklı girişim de dahil olmak üzere ayrıcalıklı erişim iş akışlarını engellemek için saldırganların kullanabileceği tüm noktaları ele almalıdır:
- Temel cihazlar, işletim sistemleri, uygulamalar ve kimlikler de dahil olmak üzere ayrıcalıklı erişim iş akışının Ayrıcalıklı Erişim iş akışı öğeleri
- Ayrıcalıklı hesapları ve grupları barındıran kimlik sistemleri ve hesaplarda ayrıcalık sağlayan diğer yapıtlar
- Ayrıcalıklı erişime yol açabilecek kullanıcı erişim iş akışı ve yetkili yükseltme yolları
- Sıfır güven erişim ilkesinin uygulandığı ve rol tabanlı erişim denetiminin (RBAC) ayrıcalıkları vermek üzere yapılandırıldığı uygulama arabirimleri
Not
Eksiksiz bir güvenlik stratejisi, uygulamanın kendisine, temel işletim sistemine ve donanıma, uygulama veya hizmet tarafından kullanılan hizmet hesaplarına ve bekleyen veya aktarım sırasındaki verilere yönelik saldırılara karşı veri yedeklemeleri ve korumalar gibi erişim denetimi kapsamı dışında olan varlık korumalarını da içerir. Bulut için güvenlik stratejisini modernleştirme hakkında daha fazla bilgi için bkz . Güvenlik stratejisi tanımlama.
Saldırı, bir kuruluşa saldırmak için otomasyon ve betiklerden yararlanan insan saldırganlardan oluşur. Bu saldırılar insanlardan, takip ettikleri süreçlerden ve kullandıkları teknolojiden oluşur. Hem saldırganların hem de savunucuların bu karmaşıklığı nedeniyle, güvenlik güvencelerinin istemeden baltalanması gereken tüm kişilere, işlemlere ve teknoloji yollarına karşı koruma sağlamak için stratejinin çok yönlü olması gerekir.
Sürdürülebilir uzun vadeli başarının sağlanması için aşağıdaki ölçütlerin karşılanması gerekir:
- Acımasız öncelik belirleme
- Güvenlik ve üretkenliği dengeleme
- Kuruluş içinde güçlü ortaklıklar
- Saldırganların yatırım getirilerini kesintiye uğratma
- Temiz kaynak ilkesini izleyin
Acımasız öncelik belirleme
Acımasız öncelik belirleme, bu çabalar önceden var olan planlara, algılara ve alışkanlıklara uymasa bile en hızlı değer verme zamanıyla en etkili eylemleri gerçekleştirme uygulamasıdır. Bu strateji, birçok büyük siber güvenlik olayının ateşli çarmıha gerilmesinde öğrenilen adımlar kümesini ortaya koyar. Bu olaylardan elde ettiğimiz öğrenmeler, kuruluşların bu krizlerin bir daha yaşanmaması için atması gereken adımları oluşturur.
Güvenlik uzmanlarının daha yeni saldırılar için ağ güvenliği ve güvenlik duvarları gibi tanıdık mevcut denetimleri iyileştirmeye çalışması her zaman cazip olsa da, bu yol sürekli olarak hataya yol açar. Microsoft Olay Yanıtı ekibi) neredeyse on yıldır ayrıcalıklı erişim saldırılarına yanıt veriyor ve bu klasik güvenlik yaklaşımlarının bu saldırıları algılayıp durdurmadığını tutarlı bir şekilde görüyor. Ağ güvenliği gerekli ve önemli temel güvenlik hijyeni sağlarken, bu alışkanlıklardan çıkmak ve gerçek dünya saldırılarını engelleyecek veya engelleyecek risk azaltmalara odaklanmak kritik önem taşır.
Mevcut varsayımlara meydan okusa ve insanları yeni beceriler öğrenmeye zorlasa bile bu stratejide önerilen güvenlik denetimlerine acımasızca öncelik ver.
Güvenlik ve üretkenliği dengeleme
Güvenlik stratejisinin tüm öğelerinde olduğu gibi, ayrıcalıklı erişim de hem üretkenlik hem de güvenlik hedeflerine ulaşılmasını sağlamalıdır.
Güvenliği dengelemek, kuruluş için risk oluşturan aşırı uçları şu şekilde önler:
- Kullanıcıların güvenli ilkelerin, yolların ve sistemlerin dışına çıkmasına neden olan aşırı katı güvenlikten kaçınmak.
- Saldırganların kuruluşun güvenliğini kolayca tehlikeye atmasına izin vererek üretkenliğe zarar veren zayıf güvenlikten kaçınma.
Güvenlik stratejisi hakkında daha fazla bilgi için bkz . Güvenlik stratejisi tanımlama.
İş üzerindeki olumsuz etkiyi güvenlik denetimlerinden en aza indirmek için, kullanıcı iş akışlarını geliştiren veya en azından kullanıcı iş akışlarını engelleyen veya değiştirmeyen görünmez güvenlik denetimlerine öncelik vermelisiniz. Güvenlik açısından hassas roller, güvenlik güvenceleri sağlamak için günlük iş akışlarını değiştiren görünür güvenlik önlemlerine ihtiyaç duysa da, kullanılabilirlik etkisini ve kapsamını olabildiğince sınırlamak için bu uygulamanın dikkatli bir şekilde yapılması gerekir.
Bu strateji, üç profil tanımlayarak bu kılavuzu izler (daha sonra Basit Tutma - Kişilikler ve Profiller bölümünde ayrıntılı olarak açıklanmıştır)
Kuruluş içinde güçlü ortaklıklar
Güvenliğin başarılı olması için kuruluş içinde ortaklıklar oluşturmak için çalışması gerekir. "Hiçbirimiz hepimiz kadar akıllı değil" gerçeğine ek olarak, güvenliğin doğası başka birinin kaynaklarını korumak için bir destek işlevi olmaktır. Korumaya yardımcı oldukları kaynaklardan (kârlılık, çalışma süresi, performans vb.) güvenlik sorumlu değildir; güvenlik, kuruluş için önemli olan fikri mülkiyet ve iş işlevselliğinin korunmasına yardımcı olmak için uzman tavsiyeleri ve hizmetleri sağlayan bir destek işlevidir.
Güvenlik her zaman iş ve görev hedeflerini destekleyen bir iş ortağı olarak çalışmalıdır. Güvenlik, yüksek bir riski kabul etme gibi doğrudan öneriler vermekten çekinmemelidir, ancak güvenlik de kaynak sahipleri tarafından yönetilen diğer risklere ve fırsatlara göre iş riski açısından bu öneriyi her zaman çerçevelemelidir.
Güvenliğin bazı bölümleri çoğunlukla güvenlik kuruluşunda başarıyla planlanabilir ve yürütülebilir, ancak ayrıcalıklı erişimin güvenliğini sağlama gibi birçok şey, BT ve iş kuruluşlarıyla yakın bir şekilde çalışarak hangi rollerin korunacaklarını anlamasını ve iş akışlarının hem güvenli olmasını hem de kişilerin işlerini yapmalarına izin vermek için iş akışlarını güncelleştirmeye ve yeniden tasarlamaya yardımcı olmayı gerektirir. Bu fikir hakkında daha fazla bilgi için güvenlik stratejisi kılavuzu makalesindeki Dönüşümler, fikirler ve beklentiler bölümüne bakın.
Saldırganların yatırım getirilerini kesintiye uğratma
Savunma önlemlerinin size saldırmaya yönelik saldırgan değer teklifini anlamlı bir şekilde kesintiye uğratıp saldırganın size başarılı bir şekilde saldırması için maliyeti ve sürtüşmesini artırarak pragmatizme odaklanmayı sürdürebilirsiniz. Savunma önlemlerinin saldırganın saldırı maliyetini nasıl etkileyeceğini değerlendirmek hem saldırganların perspektifine odaklanmak için iyi bir anımsatıcı hem de farklı risk azaltma seçeneklerinin etkinliğini karşılaştırmak için yapılandırılmış bir mekanizma sağlar.
Hedefiniz saldırganların maliyetini artırırken kendi güvenlik yatırım düzeyinizi en aza indirmek olmalıdır:
Saldırganların ayrıcalıklı erişim oturumunun öğeleri arasında saldırı maliyetlerini artırarak yatırım getirisini (ROI) kesintiye uğratın. Bu kavram, ayrıcalıklı erişim stratejisi için başarı ölçütleri makalesinde daha ayrıntılı olarak açıklanmıştır.
Önemli
Ayrıcalıklı erişim stratejisi kapsamlı olmalı ve derinlemesine savunma sağlamalıdır, ancak defender'ların anlamlı bir güvenlik değeri ekledikleri noktayı aşan daha fazla (tanıdık) tür denetimine (genellikle ağ güvenlik duvarları/filtreler) yığıldığı Ayrıntılı Gider yanlışlığından kaçınmalıdır.
Saldırgan yatırım getirisi hakkında daha fazla bilgi için kısa videoya ve saldırganın yatırım getirisini kesintiye uğratmaya yönelik ayrıntılı tartışmaya bakın.
Temiz kaynak ilkesi
Temiz kaynak ilkesi, tüm güvenlik bağımlılıklarının korunan nesne kadar güvenilir olmasını gerektirir.
Bir nesnenin denetimine sahip olan herhangi bir konu o nesnenin bir güvenlik bağımlılığıdır. Bir saldırgan hedef nesnenin denetimindeki her şeyi denetleyebiliyorsa, o hedef nesneyi denetleyebilir. Bu tehdit nedeniyle, tüm güvenlik bağımlılıkları için güvencelerin nesnenin istenen güvenlik düzeyinde veya üzerinde olduğundan emin olmanız gerekir. Bu ilke birçok denetim ilişkisi türü için geçerlidir:
Prensipte basit olsa da, çoğu kuruluş onlarca yıl boyunca organik olarak büyüdükçe ve birbirini temel alan, birbirine geri dönen veya her ikisini birden yapan binlerce denetim ilişkisine sahip olduğu için bu kavram gerçek dünyada kolayca karmaşık hale gelir. Bu denetim ilişkileri web'i, genellikle otomatik araçlarla bir saldırganın bir saldırı sırasında keşfedebileceği ve gezinebileceği birçok erişim yolu sağlar.
Microsoft'un önerilen ayrıcalıklı erişim stratejisi, hedefe erişime izin vermeden önce kaynağın temiz olduğunu açıkça doğrulayarak ilk olarak Sıfır Güven bir yaklaşım kullanarak bu düğümün en önemli kısımlarını çözecek bir plandır.
Her durumda, kaynağın güven düzeyi hedeften aynı veya daha yüksek olmalıdır.
- Bu ilkenin dikkate değer tek istisnası, yönetilmeyen kişisel cihazların ve iş ortağı cihazlarının kurumsal senaryolar için kullanılmasına izin vermektir. Bu özel durum kurumsal işbirliği ve esneklik sağlar ve kurumsal varlıkların düşük göreli değeri nedeniyle çoğu kuruluş için kabul edilebilir bir düzeye azaltılabilir. KCG güvenliği hakkında daha fazla bağlam için KCG ilkesinin kamu sektöründeki güvenlik riskini nasıl azaltabileceğine ilişkin blog gönderisine bakın.
- Bu varlıkların güvenlik duyarlılığı nedeniyle aynı özel durum özel güvenlik ve ayrıcalıklı güvenlik düzeylerine genişletilemez. Bazı PIM/PAM satıcıları, çözümlerinin düşük düzeyli cihazlardan cihaz riskini azaltabileceğini savunabilir, ancak olayları araştırma deneyimimize dayanarak bu iddialara saygılı bir şekilde katılmıyoruz. Kuruluşunuzdaki varlık sahipleri, özel veya ayrıcalıklı kaynaklara erişmek için kurumsal güvenlik düzeyi cihazları kullanma riskini kabul etmeyi seçebilir, ancak Microsoft bu yapılandırmayı önermez. Daha fazla bilgi için Privileged Access Management / Privileged Identity management aracı kılavuzuna bakın.
Ayrıcalıklı erişim stratejisi, bu ilkeyi öncelikli olarak arabirimlerdeki ve aracılardaki gelen oturumlarda Koşullu Erişim ile Sıfır Güven ilkesini zorunlu kılarak gerçekleştirir. Temiz kaynak ilkesi, işletim sistemi sürümü, güvenlik temeli yapılandırması ve dağıtım için Windows Autopilot kullanma gibi diğer gereksinimler dahil olmak üzere güvenlik belirtimlerinize göre oluşturulmuş bir OEM'den yeni bir cihaz almakla başlar.
İsteğe bağlı olarak, temiz kaynak ilkesi, işletim sistemleri ve uygulamalar için yükleme medyası da dahil olmak üzere tedarik zincirindeki her bileşenin son derece titiz bir incelemesine genişletilebilir. Bu ilke, son derece gelişmiş saldırganlarla karşılaşan kuruluşlar için uygun olsa da, bu kılavuzdaki diğer denetimlerden daha düşük öncelikli olmalıdır.