Siirrä identiteettiä vasemmalle: identiteettiin perustuvien loukkausten estäminen

Mitä "Siirto vasemmalle" tarkoittaa?

"Shift left" on tehokas konsepti, joka priorisoi ongelmien havaitsemisen ja ratkaisemisen prosessin aikaisemmassa vaiheessa, mikä minimoi vikoja ja parantaa tulosten laatua. Tietoturva-alalla menetelmää käytetään haavoittuvuuksien etsimiseen, joihin perinteisesti puututaan havaitsemis- ja korjaussykleissä, ja ennaltaehkäisevästi näihin ongelmiin. Vaikka suositus on AppSec-verkkotunnuksessa, yhtä tehokas vasemmalle siirtymisen sovellus on kehittymässä identiteetin hallinnassa. Identiteetti on uusi suojakehä pilvipohjaisessa maailmassa. Meidän on tutkittava uusi kulunvalvontaparadigma riskien vähentämiseksi, joka määritellään politiikan ja automaation avulla.

Nykymaailma: valintaruutujen noudattaminen ja IAM tuottavuuden vuoksi

Identiteettiin perustuvista hyökkäyksistä ei ole pulaa otsikoissa etuoikeuksien lisääntyminen että luvaton käyttö, muiden joukossa. Vaikka vaatimustenmukaisuus on hyvä signaali yleisistä turvallisuuskäytännöistä, se ei aina ole osoitus todellisesta riskin vähentämisestä. Neljännesvuosittaiset tai vuosittaiset käyttöoikeusarvioinnit "löytävät" ylimääräiset ja ulkopuoliset käyttäjät, joilla on arkaluontoinen pääsy, mikä jättää tietoturvaaukkoja kuukaudeksi kerrallaan. Vaikka neljännesvuosittainen ajoitus saattaa riittää "valintaruudun valitsemiseen", todellinen riskin vähentäminen vaatisi useimpien sovellusten oikea-aikaista ja useampaa tarkastelua (riippumatta siitä, onko ne yhteydessä identiteetin tarjoajaan vai eivät). SaaS- ja IaaS-tarjonnan kasvava määrä, vaikutus ryhmän hajaantuminen, ja tämän vaatiman manuaalisen vaivan taso tekee useimpien yritysten kustannuksista useimpien tarkistusten vuoksi.

Olemme juurtuneet maailmaan, jossa turvallisuus vaihdettiin tuottavuuteen. Myönnämme sen verran syntymäoikeus niin kuin mahdollista, jotta voimme välttää käyttöoikeusmuutosten hallinnan loppupäässä, mutta silti tarkista tämä käyttöoikeus säännöllisesti vaatimustenmukaisuuden edellyttämällä tavalla. Kun pääsymuutoksia tarvitaan, ne heitetään seinän yli helpdesk-lippujen kautta, jotka ovat jonoissa päiviä tai viikkoja. Turvallisuusnäkökulmasta katsottuna paljon energiaa kuluu vaatimustenmukaisuuteen ja pääsyn hallintaan, mutta riskien vähentämisessä emme juurikaan raaputa pintaa.

Muuta ajatteluasi: kulunvalvonta, jotka todella vähentävät riskejä

Paremmat turvallisuustulokset vaatimustenmukaisuuden ja IAM:n kanssa edellyttävät, että automatisoimme insinöörien tapaan ja otamme uusia lähestymistapoja. Hälytykset, neljännesvuosittaiset tarkastukset ja lipunmyynti ovat kovia havaitsemis- ja korjaustaktiikoita, jotka tunnistavat ja korjaavat ylioikeudet sen jälkeen, kun se on jo tapahtunut. Jotta voimme siirtyä vasemmalle, meidän on nykyaikaistettava pääsyn valvontaa. Nykyaikaisten kulunvalvontajärjestelmien rakentaminen vaatii identiteettikeskeistä näkemystä kaikkeen teknologiaan, demokratisoitua pääsyä koskevaa päätöksentekoa, kykyä määritellä vähiten etuoikeutta politiikka koodina ja ennen kaikkea automaatio kaikkialla, missä voimme saada sen. Ensimmäistä periaatteeseen perustuvaa lähestymistapaa pääsyn turvaamiseen tarvitaan: Käyttäjillä tulee olla pääsy niin kauan kuin he tarvitsevat sitä työnsä suorittamiseen, ei enää. Tämän toteuttaminen on vaikeaa, mutta tässä on muutama aloitus:

1. Pääsynhallinnan demokratisointi, mutta valvontapolitiikan keskitetty täytäntöönpano. Järjestelmän omistajilla on parhaat tiedot ja konteksti siihen, miksi käyttäjät tarvitsevat pääsyn, eikä IT nauti lippujen välittäjänä. Järjestelmän omistajien tekemät pääsypäätökset tulisi tasapainottaa keskitetysti määritellyllä käytännöllä pääsyn hallintaan luokituksen perusteella. Käytäntö tulee mahdollisuuksien mukaan määritellä koodilla ja hallinnoida muutoksenhallintaprosessien kautta.

2. Pääsyn perustelu ja aikarajoitettu pääsy. Käyttäjät tarvitsevat pääsyn vain, kun he tekevät työtä, suorittavat toimintoa, osallistuvat tiimiin, työskentelevät päivystyksessä ja niin edelleen. Perustelu on konteksti sille, miksi käyttäjä tarvitsee tietyn käyttöoikeuden sillä hetkellä. Ilman tätä perustetta pääsyä ei vaadita ja se poistetaan automaattisesti.

3. Käyttäjien käyttöoikeuksien automatisointi (UAR). UAR:t ovat erittäin tehokkaita vähentämään pysyviä oikeuksia ja tunnistamaan sopimattomat tilit ja käyttöoikeudet. Ongelmana on, että manuaaliset UAR:t ovat liian aikaa ja työvoimavaltaisia ​​suoritettavaksi usein, mikä tarkoittaa viivettä vanhentuneiden tilien ja oikeuksien tunnistamisessa ja peruuttamisessa. Kanssa automaattiset käyttäjien käyttöoikeudet, havaitsemme, että 10–25 % käyttöoikeuksista merkitään säännöllisesti ylivaratuiksi, sopimattomiksi tai käyttämättömiksi, ja ne poistetaan myöhemmin.

4. Itsepalvelu- ja juuri-in-time-käyttöoikeus. Työntekijöiden tulisi voida pyytää käyttöoikeuksia kattavista sovellus- ja resurssiluetteloista heti, kun he sitä tarvitsevat. Tilien ja käyttöoikeuksien tulee olla käytettävissä ilman manuaalisia kosketuksia riippumatta siitä, onko ne yhdistetty SSO-palveluntarjoajaan vai ei. Käytännön pitäisi ohjata prosessia, jotta vähäiset käyttöoikeudet voidaan myöntää automaattisesti ilman ihmistä silmukassa, ja korkeammat käyttöoikeudet voidaan reitittää oikeille hyväksyjille nopeasti ja tehokkaasti.

Siirry eteenpäin, siirry vasemmalle vähiten etuoikeutetulla ajattelulla, työkaluilla ja automaatiolla

Meidän on tunnustettava, että pääsy on sotkuista, ja omaksuttava tämä todellisuus vähiten etuoikeuksien periaatteella ja sen täytäntöönpanon automaatiolla. Meidän ei pitäisi keskittyä jäykkyyteen ja keskittämiseen, vaan pikemminkin politiikkaan ja delegointiin. Käyttäjät vaihtavat rooleja ja tiimejä. Joskus tarvitset tilapäisiä käyttöoikeuksia ja käyttöoikeuksia. Työntekijöitä tulee ja menee. Tärkeää on, että ympäristösi, jota hallitsee politiikka ja jota ohjataan automatisoimalla, palaa aina ja ennustettavasti tiimillesi välttämättömälle arkaluontoiselle käyttöoikeustasolle. Vasta sitten voit pienentää identiteetin hyökkäyspinta-alaa ja siirtyä loukkausten havaitsemisesta niiden välttämiseen.

kirjailijasta

Alex Bovee on ConductorOnen, nykyaikaiseen identiteetin hallintaan ja kulunvalvontaan keskittyvän teknologiayrityksen, perustaja ja toimitusjohtaja. Turvallisuuden ja identiteetin taustalla hän viimeksi johti Oktan nollaluottamusta tuotevalikoimaa ja sitä ennen yrityslaitteiden tietoturvatuotteita Lookout Mobile Securityssa. Hän oli mukana perustamassa ConductorOnea auttaakseen yrityksiä tulemaan turvallisemmiksi ja tuottavammiksi identiteettikeskeisen automaation ja kulunvalvonnan avulla. Vapaa-ajallaan hän nauttii kitaransoitosta ja lastensa kuljettamisesta harrastuksiin.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• Platoblockchain. Web3 Metaverse Intelligence. Tietoa laajennettu. Pääsy tästä.
• Lähde: https://www.darkreading.com/cloud/shift-identity-left-preventing-identity-based-breaches