Главная мысль
Объедините каталог идентификаций, привилегии, аутентификацию и мониторинг в единую модель контроля; не доверяйте автоматически из-за сетевого расположения или владения устройством.
Инвентаризируйте все типы идентификаций
Обнаружьте учётные записи людей и администраторов, сервисные и прикладные идентификации, API-ключи, устройства и экстренный доступ. Назначьте каждой владельца, деловую цель, используемые ресурсы и срок. Учётная запись ушедшего сотрудника, забытая сервисная идентификация или токен могут стать постоянной точкой доступа. Инструменты обнаружения помогают дополнить перечень, но ответственность за владельца и надёжное отключение остаётся у организации.
Применяйте аутентификацию и разрешения по риску
При каждом запросе проверяйте, кто обращается, к какому ресурсу и какие полномочия нужны для операции. Для входа людей к чувствительным и административным ресурсам используйте сильную, по возможности устойчивую к фишингу MFA; аутентификацию workload настройте под его технический поток. Выдавайте минимально необходимые права; временное повышение ограничивайте сроком и согласованием. Состояние устройства и контекст могут быть дополнительными сигналами, но геолокация или сетевой адрес сами по себе не доказывают личность.
Расследуйте события идентификации
Регистрируйте входы, изменения привилегий, использование токенов и секретов, новые доверительные связи и отключение учётных записей. Сопоставляйте эти события с телеметрией конечных устройств и облака, чтобы расследовать неожиданное поведение. Обеспечьте охват и целостность журналов, назначьте владельца оповещений и документируйте утверждённые действия реагирования. Отклонение от обычного поведения само по себе не доказывает атаку; решение должно опираться на расследование и контекст.
Различайте идентификации людей и систем
Идентификации людей и workload проходят аутентификацию по-разному. Отделяйте привилегированные идентификации и сокращайте постоянные права администратора. Для каждого типа определите владельца, способ аутентификации, охват ресурсов и механизм отключения.
| Идентификация | Аутентификация и доступ | Проверка жизненного цикла |
|---|---|---|
| Сотрудник | MFA и доступ по утверждённой роли | Согласование руководителя, защищённое самостоятельное восстановление и отключение при уходе |
| Привилегированный администратор | Отдельный аккаунт, поддерживаемая сильная MFA и временное повышение | Согласование, срок и фактическое удаление прав |
| Workload/служба | Ограниченные краткосрочные данные и федерация, где поддерживается; без MFA-запросов человеку | Владелец, сервисная роль, хранилище секретов, проверка ключей и отзыв |
| Экстренная идентификация | Контролируемый и проверенный доступ | Путь восстановления, не зависящий от затронутой службы входа; проверка доступа и разбор после использования |
Реагируйте на захват аккаунта и злоупотребление полномочиями
Украденные учётные данные, несанкционированный сброс MFA, похищенный токен сессии и избыточные права могут быть разными признаками одного события. Сопоставьте журналы входа, сведения о токенах и сессиях, телеметрию устройства и изменения групп в единой временной шкале. После подтверждения подозрения заблокируйте аккаунт, отзовите сессии и refresh-токены, смените секрет, проверьте связанные приложения и workload-идентификации, затем повторно согласуйте права с владельцем. Проверьте поддержку отзыва сессий и токенов и фактическое прекращение доступа в каждом приложении; некоторые сессии и уже выданные access-токены могут сохраняться до своего срока истечения.