Əsas fikir
Kimlik deposu, imtiyaz, autentifikasiya və monitorinqi eyni nəzarət modelində birləşdirin; şəbəkə yeri və ya cihaz sahibliyinə görə avtomatik etibar verməyin.
Bütün kimlik növlərini inventarlaşdırın
İnsan hesablarını, administratorları, xidmət hesablarını, tətbiq identifikasiyalarını, API açarlarını, cihaz və fövqəladə hesabları aşkarlayın. Hər birinə sahib, iş məqsədi, istifadə olunan resurs və müddət təyin edin. İşdən ayrılmış istifadəçinin hesabı qalsa, eləcə də unudulmuş xidmət identifikasiyası və tokenlər qalıcı giriş nöqtəsinə çevrilə bilər. Aşkarlama alətləri siyahını zənginləşdirə bilər, lakin sahiblik və etibarlı ləğv prosesi yenə təşkilatın məsuliyyətindədir.
Riskə uyğun autentifikasiya və icazə tətbiq edin
Hər giriş qərarında subyektin kim olduğunu, hansı resursa müraciət etdiyini və əməliyyat üçün hansı səlahiyyətin lazım olduğunu yoxlayın. İnsanların həssas və inzibati girişində güclü, imkan varsa fişinqə davamlı MFA istifadə edin; workload autentifikasiyasını onun texniki axınına uyğun qurun. Giriş hüququnu ən az imtiyazla verin; müvəqqəti yüksəltməyə bitmə vaxtı və təsdiq əlavə edin. Cihaz vəziyyəti və kontekst əlavə siqnal ola bilər, lakin geolokasiya və ya şəbəkə ünvanı təkbaşına şəxsiyyətin sübutu deyil.
İdentifikasiya hadisələrini araşdırın
Giriş, imtiyaz dəyişməsi, token və sirr istifadəsi, yeni etibar əlaqəsi və hesab deaktivləşməsini jurnallaşdırın. Bu hadisələri son nöqtə və bulud telemetriyası ilə əlaqələndirib gözlənilməz davranışı araşdırın. Jurnalların əhatəsini və bütövlüyünü qoruyun, xəbərdarlıq sahibini təyin edin və təsdiqlənmiş cavab addımlarını sənədləşdirin. Fəaliyyətin normadan kənar olması təkbaşına hücum sübutu deyil; qərar araşdırma və kontekstə əsaslanmalıdır.
İnsan və qeyri-insan kimliklərini ayırd edin
İnsan və workload kimlikləri eyni qaydada autentifikasiya olunmur. İmtiyazlı kimlikləri ayırın və daimi admin hüquqlarını azaldın. Hər kimlik növü üçün sahibi, autentifikasiya yolu, resurs əhatəsi və ləğv mexanizmi müəyyən olunmalıdır.
| Kimlik | Autentifikasiya və giriş | Həyat dövrü yoxlaması |
|---|---|---|
| Əməkdaş | MFA və təsdiqlənmiş rol girişi | Menecer təsdiqi, qorunan self-service bərpa və işdən ayrılmada ləğv |
| İmtiyazlı administrator | Ayrı hesab, dəstəklənən güclü MFA və vaxtlı yüksəltmə | Təsdiq, müddət və hüquqların faktiki silinməsi |
| Workload/xidmət | Dəstəklənən yerdə məhdud qısamüddətli etimadnamə və federasiya; insan MFA sorğusu yoxdur | Sahib, servis rolu, sirr anbarı, açar yoxlaması və ləğv |
| Fövqəladə kimlik | Monitorinq edilən və sınaqdan keçmiş giriş | Təsirlənmiş giriş xidmətindən asılı olmayan bərpa yolu; giriş sınaqları və istifadədən sonra baxış |
Hesab ələ keçirilməsinə və səlahiyyətdən sui-istifadəyə cavab verin
Oğurlanmış etimadnamə, razılaşdırılmamış MFA sıfırlaması, sessiya tokeninin oğurlanması və həddən artıq hüquq eyni hadisənin fərqli əlaməti ola bilər. Giriş jurnalını, token/sessiya məlumatını, cihaz telemetriyasını və qrup dəyişikliyini bir zaman xəttində araşdırın. Şübhə təsdiqlənəndə hesabı bloklamaqla yanaşı sessiya və refresh tokenləri ləğv edin, sirri dəyişin, bağlı tətbiq və workload kimliklərini nəzərdən keçirin, sonra sahib ilə icazələri yenidən təsdiqləyin. Hər tətbiqin sessiya və token ləğvini dəstəkləyib-dəstəkləmədiyini və faktiki girişin dayandığını yoxlayın; bəzi sessiyalar və mövcud access token-lər öz müddətinin sonuna qədər qala bilər.