Что такое условный доступ в Microsoft Azure?

Сегодняшний мир, управляемый данными, тесно связан с необходимостью защищать его любой ценой. Вот почему политики безопасности большинства организаций сегодня вращаются вокруг защиты данных и ресурсов, которые могут предоставить к ним доступ. Но это было не так просто, как кажется, учитывая, что большинство данных и приложений хранятся в облаке и передаются через Интернет. Кроме того, экспоненциальный рост количества персональных устройств, которые подключаются к сети компании для доступа к данным, усугубил проблему — проблему еще больше усугубили сотрудники, работающие на дому, и другие, работающие из удаленных мест. Организация должна использовать несколько инструментов и стратегий для защиты своей сети и ресурсов и в то же время предоставить своим сотрудникам непрерывный доступ к данным, независимо от того, где они находятся. Одним из таких инструментов, который играет важную роль в обеспечении баланса между безопасностью данных и гибкостью сотрудников, является Microsoft Azure. В частности, его функция условного доступа была в авангарде этой потребности в балансе.

Что такое условный доступ?

Политики условного доступа являются ключевым компонентом Azure Active Directory и предназначены для работы с удостоверениями пользователей. В зависимости от действий, ролей, устройств и местоположения пользователя применяются соответствующие политики безопасности, чтобы предоставить ему доступ только к тем данным, которые ему нужны, и безопасным способом.

В основе всего этого условный доступ — это набор операторов «если-то», когда пользователь получает доступ к данным или приложениям на основе выполнения определенных условий, таких как многофакторная проверка подлинности или даже требование для совместимого устройства.

Риск-ориентированный подход

Условный доступ — это подход, основанный на оценке риска, при котором риск рассчитывается на основе сведений, собранных о пользователе, и их интеллектуального анализа. На самом деле этот расчет риска интересен тем, что он использует не только доступные данные о пользователе, но и использует коллективный анализ и модели, которые присутствуют в самой Azure.

Таким образом, предлагаемые политики используют предложения и шаблоны идентификации потребителей, которые намного больше, чем может иметь отдельная организация. Такой обширный анализ, несомненно, приводит к разумным и основанным на рисках решениям о доступе.

Наконец, вы можете создавать организационные политики на основе этих решений и внедрять их во все приложения, которые являются частью Active Directory, включая Microsoft 365, сторонние приложения, приложения SaaS или даже применять их к определенным направлениям бизнеса, имеющим федеративный доступ. жаба.

Что касается локальных приложений и более старых развертываний, вы всегда можете использовать Azure App Proxy для реализации тех же организационных политик.

Этот условный доступ также играет ключевую роль в Microsoft 365, поскольку он действует как проводник политики, упрощая применение необходимых элементов управления. Кроме того, он хорошо интегрируется со всеми предложениями Microsoft, такими как Defender ATP, Intune и Microsoft 365, для упрощения реализации ваших политик безопасности.

Преимущества условного доступа

Вот некоторые из преимуществ использования условного доступа в Azure:

• Защищает учетные записи пользователей с помощью строгой проверки подлинности, основанной как на местоположении, так и на риске.
• Защищает данные, так как позволяет использовать только управляемые устройства.
• Соответствует требованиям соответствия.
• Обеспечивает баланс между безопасностью и производительностью.
• Помогает обеспечить точный контроль с помощью таких политик, как шифрование.

Теперь, когда у вас есть хорошее представление о том, что такое условный доступ, давайте перейдем к его реализации.

Развертывание условного доступа

Развертывание условного доступа сильно различается между приложениями, поэтому давайте рассмотрим некоторые распространенные варианты использования.

Аутентификация пользователей

Вот пошаговое руководство по настройке условного доступа.

• В качестве первого шага войдите на портал Azure и перейдите на панель AD.
• Прокрутите вниз до категории «Безопасность» и выберите «Условный доступ».
• На правой панели вы увидите опцию «+Новая политика».
• Откроется форма для условного доступа. Назовите свою политику в качестве первого шага.
• Затем определите группу пользователей и приложения, для которых вы собираетесь подать заявку.
• Затем переходите к условиям. Вы получите множество параметров, таких как риск входа в систему, платформы устройств, местоположение, клиентские приложения и многое другое. Соответственно ставьте свои условия. Например, чтобы реализовать многофакторную аутентификацию для устройств, находящихся за пределами сети организации, перейдите к параметру «местоположение» и выберите «исключить» для надежных местоположений. Таким образом, условие вызовет вход из неизвестных местоположений.
• Наконец, убедитесь, что вы выбрали «включено» в разделе «Включить политику». Сохраните свой выбор и выйдите.

Таким образом, именно так вы настраиваете политики условного доступа в Azure.

Обеспечение безопасности устройства

Ранее мы видели, как защитить пользователей. Далее мы поговорим о другом сценарии, который позволяет пользователям входить в систему только с доверенного устройства.

Сделать это:

• Выполните описанные выше шаги и создайте политику условного доступа.
• Прокрутите вниз до «Управление доступом» и на правой панели выберите переключатель «Предоставить доступ». Вы получите список параметров, с помощью которых вы можете решить, соответствует ли устройство, обращающееся к вашей сети, установленным политикам Intune или вам необходимо реализовать многофакторную проверку подлинности.
• Вы также можете ограничить доступ только теми устройствами, которые присоединены к вашей локальной службе AD и зарегистрированы в Azure Active Directory.

Объединение политик

Теперь возникает важный вопрос. Что произойдет, если у вас есть более одной политики, относящейся к одному и тому же пользователю или группе устройств? Какая политика имеет приоритет и что произойдет, если возникнут конфликты?

Прежде чем мы перейдем к ответу, давайте разберемся в основной разнице между условием и грантом.

Условия против грантов

Условия — это элементы управления, которые проверяются, когда происходит аутентификация, и доступ предоставляется, когда процесс аутентификации соответствует условию. Гранты, с другой стороны, являются обязательными условиями, которым должно следовать устройство или пользователь, чтобы попасть в систему. Другими словами, если условия совпадают, доступ предоставляется. Но гранты должны совпадать, чтобы получить доступ. Таким образом, гранты являются более тонким контролем в рамках условия.

В наших приведенных выше примерах местоположение является элементом управления, а конкретные правила, определяющие доступ, являются предоставлением.

Порядок исполнения

Итак, как выполняются элементы управления или гранты?

Прежде всего, обратите внимание, что нет определенного порядка. Все условия и гранты объединены в единую политику. Таким образом, доступ пользователя должен соответствовать всем элементам управления разрешениями из всех политик доступа, чтобы получить доступ к ресурсу в сети.

Теперь вопрос, что происходит в конфликте? Реальность такова, что конфликты исключены, потому что объединение политик только сделает доступ более строгим. Если вы столкнулись с конфликтом в самых редких случаях, обратитесь в службу поддержки Microsoft за исправлением.

Вот пример такого конфликта, опубликованного на GitHub, который в конечном итоге был разрешен службой поддержки Microsoft.

Условный доступ не должен влиять на производительность

Таким образом, условный доступ в Microsoft Azure — это функция, которая позволяет сотрудникам безопасно получать доступ к сети компании. С точки зрения организации, это защищает данные компании и в то же время позволяет сотрудникам безопасно получать к ним доступ из любого места, что не влияет на их производительность.

Мы надеемся, что это дало вам представление об условном доступе. Дайте нам знать, как вы реализовали это в своей сети.