Əsas fikir
İdentifikasiya seqmentlərini mövcud rol və resurs inventarı üzərində qurun; kiçik mühitdə sınaqdan keçirin və lateral hərəkətə təsiri yoxlayın.
Şəxsiyyətə əsaslanan seqment
Şəbəkə seqmenti trafikə əsaslanan sərhəd qurur; identifikasiya seqmenti isə istifadəçi, qrup, cihaz və iş yükü kimliyinə görə giriş qərarı verir. Həssas tətbiq və məlumatı rol və biznes ehtiyacı ilə əlaqələndirin, sonra yalnız tələb olunan xidmət və əməliyyatlara icazə verin. Qayda həm yerli, həm bulud resurslarının sərhədini nəzərə almalıdır. İdentifikasiyaya əsaslanan siyasət, şəbəkə məhdudiyyəti və tətbiqdaxili icazə yoxlamaları bir-birini tamamlayır; heç biri digərlərini avtomatik əvəz etmir.
Hesablar və giriş hüquqları üzərindən hücum yolları
Oğurlanmış parol, fişinq, zəif sessiya nəzarəti, komprometasiya olunmuş servis hesabı və geniş qrup hüquqları hücumçuya resurslar arasında keçid yarada bilər. Proqnozlaşdırılan URL özü giriş vermir; obyekt və ya funksiya icazəsinin yoxlanmaması icazəsiz sorğunu mümkün edir. Hər sorğuda icazəni yoxlayın və başqa istifadəçinin obyektinə, administrator funksiyasına və icazəsiz xidmət yoluna çıxışın rədd edildiyini təsdiqləyin. Aktiv hesabları və imtiyaz yollarını eyni xəritədə təhlil edin.
Mikroseqmentləşdirmə və şəbəkə seqmenti
Şəbəkə bölmələri əsasən bağlantı və trafikə görə ayrılır; identifikasiya nəzarəti isə şəbəkənin daxilində və xaricində eyni istifadəçi və cihaz üçün qaydanı tətbiq edə bilər. İki yanaşma bir-birini əvəz etmir: şəbəkə sərhədini, tətbiq səviyyəli icazəni və kimlik kontekstini birlikdə yoxlayın. İcazə qaydalarının real trafik və sahib siyahısı ilə əsaslandırılmasını təmin edin. Şəbəkə qaydası tətbiq daxilində obyekt və əməliyyat icazəsini yoxlamağı əvəz etmir.
Tətbiq mərhələsi və təsdiqləmə
Əvvəlcə kritik resursları, istifadəçi qruplarını, cihaz statusunu və zəruri bağlantıları inventarlaşdırın. Qaydanı qeyri-kritik tətbiqdə müşahidə rejimində sınaqdan keçirin; biznes prosesini, fövqəladə girişi və dəstək imkanını yoxlayın. Daha sonra mərhələli tətbiq edin və penetrasiya testləri ilə gözlənilməyən keçidlərin bağlı qaldığını təsdiqləyin.
Giriş əlaqələrini xəritələyin
İdentifikasiya, resurs, əməliyyat və asılılığı qeyd edin; tətbiq sahibi lazım olan girişləri təsdiqləsin.
İcazəli axınları müşahidə edin
Qeyri-kritik tətbiqdə monitorinq aparın; biznes axınını və dəstək bağlantılarını tətbiq sahibi ilə yoxlayın.
İcazə və rəddi sınayın
İcazəli sınaqda qaydanı, obyekt icazəsini və fövqəladə girişi yoxlayın; sahib nəticəni və geri qaytarma yolunu təsdiqləsin.
Mərhələli tətbiq edin
İcazəli təhlükəsizlik sınağı ilə lateral yolları yoxlayın; hər istisnanın sahibini və bitmə tarixini yenidən nəzərdən keçirin.
PAM, MFA və giriş vəziyyəti
PAM ilə imtiyazlı giriş müddətini məhdudlaşdırın, sessiyaları qeydə alın və uzaq idarəetməni nəzarətdə saxlayın; bu, həddən artıq səlahiyyəti azaldır, lakin bütün lateral hərəkəti dayandırmır. SSO girişi mərkəzləşdirir, ikinci faktor deyil. Biometriya adətən cihaza bağlı autentifikatoru aktivləşdirir və universal ayrıca MFA faktoru sayılmır. MFA, qrup hüquqları, hesab bərpası və identifikasiya riskini yoxlayın. İş yükləri üçün uyğun qeyri-interaktiv etimadnamə seçin, servis hesabının interaktiv istifadəsini məhdudlaşdırın.
Davamlı təkmilləşdirmə
Yeni sistem, rol dəyişikliyi və yeni xidmət qaydaların yenidən nəzərdən keçirilməsini tələb edir. Giriş qərarlarının qeydlərini, imtiyaz dəyişikliklərini və qayda istisnalarını mərkəzləşdirin; müddəti bitən istisnaları bağlayın. Şübhəli identifikasiya və lateral hərəkət siqnalı üçün araşdırma və girişin məhdudlaşdırılması addımları müəyyən edin. Sessiya və tokenin müddətinin bitməsini və ya ləğvini nəzərə alın, girişin faktiki bağlandığını hər xidmətdə yoxlayın; ləğv hər yerdə ani olmaya bilər.