მთავარი დასკვნა
იდენტობის სეგმენტები როლებისა და რესურსების ინვენტარის საფუძველზე ააგეთ, მცირე გარემოში გამოსცადეთ და შეამოწმეთ მათი გავლენა ლატერალურ გადაადგილებაზე.
იდენტობაზე დაფუძნებული სეგმენტები
ქსელური სეგმენტი ტრაფიკს საზღვარს უწესებს; იდენტობის სეგმენტი წვდომის გადაწყვეტილებებს მომხმარებლის, ჯგუფის, მოწყობილობის ან სამუშაო დატვირთვის მიხედვით იღებს. მგრძნობიარე აპლიკაციები და მონაცემები როლებსა და ბიზნესსაჭიროებებს დაუკავშირეთ, შემდეგ მხოლოდ აუცილებელი სერვისები და ქმედებები დაუშვით. გაითვალისწინეთ როგორც ადგილობრივი, ისე ღრუბლოვანი რესურსები. იდენტობის კონტექსტის მქონე პოლიტიკა, ქსელური აღსრულება და აპლიკაციის შიდა ავტორიზაცია ერთმანეთს ავსებს; ვერცერთი ავტომატურად ვერ ცვლის დანარჩენებს.
იდენტობაზე შეტევის გზები
მოპარულმა პაროლმა, ფიშინგმა, სესიის სუსტმა კონტროლმა, კომპრომეტირებულმა სერვისულმა ანგარიშმა და ჯგუფის ფართო უფლებებმა თავდამსხმელს რესურსებს შორის გზები შეიძლება გაუხსნას. მხოლოდ პროგნოზირებადი URL წვდომას არ იძლევა; ობიექტის ან ფუნქციის ავტორიზაციის არქონა უნებართვო მოთხოვნებს უშვებს. ავტორიზაცია ყოველ მოთხოვნაზე შეამოწმეთ და გადაამოწმეთ უარი სხვა მომხმარებლის ობიექტზე, ადმინისტრაციულ ფუნქციებსა და დაუმტკიცებელ სერვისულ გზებზე. აქტიური ანგარიშები და პრივილეგიების გზები ერთად აღწერეთ.
მიკროსეგმენტაცია და ქსელის საზღვრები
ქსელური სეგმენტები ძირითადად კავშირებსა და ტრაფიკს ყოფს; იდენტობის კონტროლს შეუძლია ერთი და იმავე მომხმარებლისა და მოწყობილობის მიმართ პოლიტიკის გატარება როგორც ქსელის შიგნით, ისე გარეთ. მეთოდები ერთმანეთს არ ცვლის: ქსელის საზღვრებს, აპლიკაციის უფლებებსა და იდენტობის კონტექსტს ერთად გადახედეთ. წვდომის წესები დაკვირვებულ ტრაფიკსა და ანგარიშვალდებულ პასუხისმგებელ პირებს დააფუძნეთ. ქსელური წესი აპლიკაციაში ობიექტისა და ქმედების ავტორიზაციას არ ცვლის.
დანერგვა და გადამოწმება
ჯერ აღრიცხეთ კრიტიკული რესურსები, მომხმარებელთა ჯგუფები, მოწყობილობების მდგომარეობა და საჭირო კავშირები. არაკრიტიკულ აპლიკაციაზე მონიტორინგის რეჟიმში გამოსცადეთ პოლიტიკა, ბიზნესპროცესების, საგანგებო წვდომისა და მხარდაჭერის ჩათვლით. თანდათან დანერგეთ და შეღწევადობის ტესტით დაადასტურეთ, რომ მოულოდნელი გზები დახურული რჩება.
აღწერეთ წვდომის კავშირები
აღწერეთ იდენტობები, რესურსები, ქმედებები და დამოკიდებულებები; საჭირო წვდომას აპლიკაციაზე პასუხისმგებელი პირი ადასტურებს.
დააკვირდით ნებადართულ ნაკადებს
დააკვირდით არაკრიტიკულ აპლიკაციას; მის პასუხისმგებელ პირთან გადახედეთ ბიზნესნაკადებსა და მხარდაჭერის კავშირებს.
გამოსცადეთ დაშვება და უარი
ნებადართულ ტესტში გადაამოწმეთ პოლიტიკა, ობიექტის უფლებები და საგანგებო წვდომა; პასუხისმგებელი პირი ადასტურებს შედეგებსა და უკუგების შესაძლებლობას.
წესები თანდათან გაატარეთ
ლატერალური გადაადგილების გზები ნებადართული უსაფრთხოების ტესტირებით შეამოწმეთ; გადახედეთ გამონაკლისებზე პასუხისმგებელ პირებსა და ვადებს.
PAM, MFA და წვდომის მდგომარეობა
PAM გამოიყენეთ პრივილეგირებული წვდომის ხანგრძლივობის შესაზღუდად, სესიების აღსარიცხად და დისტანციური ადმინისტრირების სამართავად; ის ჭარბ პრივილეგიებს ამცირებს, თუმცა ყველა ლატერალურ გადაადგილებას ვერ აჩერებს. SSO შესვლას ცენტრალიზებულს ხდის და მეორე ფაქტორი არ არის. ბიომეტრია ჩვეულებრივ მოწყობილობაზე მიბმულ ავთენტიფიკატორს ააქტიურებს და არა უნივერსალურ დამოუკიდებელ MFA ფაქტორს წარმოადგენს. გადახედეთ MFA‑ს, ჯგუფების უფლებებს, ანგარიშის აღდგენასა და იდენტობის რისკს. სამუშაო დატვირთვებისთვის შეარჩიეთ შესაბამისი არაინტერაქტიული ავტორიზაციის მონაცემები და შეზღუდეთ სერვისული ანგარიშების ინტერაქტიული გამოყენება.
უწყვეტი გაუმჯობესება
ახალი სისტემები, როლების ცვლილებები და ახალი სერვისები პოლიტიკის გადახედვას მოითხოვს. ცენტრალიზებულად აღრიცხეთ წვდომის გადაწყვეტილებები, პრივილეგიების ცვლილებები და გამონაკლისები; ვადის გასვლისას გამონაკლისები დახურეთ. საეჭვო იდენტობებისა და ლატერალური გადაადგილების სიგნალებისთვის განსაზღვრეთ გამოკვლევისა და წვდომის შეზღუდვის ნაბიჯები. გაითვალისწინეთ სესიებისა და ტოკენების ვადის გასვლა ან გაუქმება და თითოეულ სერვისში გადაამოწმეთ წვდომის რეალური მოხსნა; გაუქმება შეიძლება მყისიერი არ იყოს.