Настройка элементов управления доступом удостоверений для обеспечения соответствия уровню влияния FedRAMP High

Организация
(a.) Определяет и выбирает следующие типы учетных записей информационной системы для поддержки организационных миссий и бизнес-функций: [Назначение: определенные организацией типы учетных записей информационной системы];

(b.) Назначает диспетчеры учетных записей для учетных записей информационной системы;

(c.) Устанавливает условия для членства в группах и ролевом членстве;

(d.) Указывает авторизованных пользователей информационной системы, членства в группах и роли, а также авторизацию доступа (т. е. привилегии) и другие атрибуты (по мере необходимости) для каждой учетной записи;

(e.) Требуется утверждение [назначение: определенный организацией персонал или роли] для запросов на создание учетных записей информационной системы;

(f.) Создает, включает, изменяет, отключает и удаляет учетные записи информационной системы в соответствии с [Назначение: определенные организацией процедуры или условия];

(g.) Отслеживает использование учетных записей информационной системы;

(h.) Уведомляет диспетчеров учетных записей:
(1.) Если учетные записи больше не требуются;
(2.) При завершении или передаче пользователей; и
(3.) При изменении использования отдельной информационной системы или необходимости в курсе изменений;

(i.) Авторизует доступ к информационной системе на основе:
(1.) Допустимая авторизация доступа;
(2.) Предполагаемое использование системы; и
(3.) Другие атрибуты, необходимые организации или связанным миссиям или бизнес-функциям;

(j.) Проверяет соответствие требованиям к управлению учетными записями [Назначение FedRAMP: ежемесячно для привилегированного доступа, каждые шесть (6) месяцев для доступа без привилегий]; и

(k.) Устанавливает процесс повторной отправки учетных данных общей или групповой учетной записи (при развертывании) при удалении отдельных лиц из группы.

Используйте идентификатор Microsoft Entra для подготовки учетных записей из внешних систем управления персоналом, локальная служба Active Directory или непосредственно в облаке. Все операции жизненного цикла учетной записи проверяются в журналах аудита Microsoft Entra. Данные журналов можно собирать и анализировать с помощью решения по управлению информационной безопасностью и событиями безопасности (SIEM), например Microsoft Sentinel. Кроме того, вы можете использовать Центры событий Azure, чтобы интегрировать журналы со сторонними решениями SIEM, чтобы включить мониторинг и функцию создания уведомлений. Используйте управление правами Microsoft Entra с проверками доступа, чтобы обеспечить состояние соответствия учетных записей.

Подготовка учетных записей

Настройка автоматизированной подготовки учетных записей, управляемых клиентом, из внешних систем управления персоналом или Windows Server Active Directory. Для приложений, поддерживающих подготовку приложений, настройте идентификатор Microsoft Entra для автоматического создания удостоверений пользователей и ролей в облачном программном обеспечении в качестве приложения SaaS, к которым пользователям требуется доступ. Кроме создания удостоверений пользователей, автоматическая подготовка включает в себя обслуживание и удаление удостоверений пользователей по мере изменения их статуса или ролей. Чтобы упростить мониторинг использования учетных записей, можно передавать журналы Защита идентификации Microsoft Entra, в которых отображаются рискованные пользователи, рискованные входы и обнаружения рисков, а также журналы аудита непосредственно в Microsoft Sentinel или Центры событий.

Подготовка

AC-02(3)
Информационная система автоматически отключает неактивные учетные записи после [назначения FedRAMP: тридцать пять (35) дней для учетных записей пользователей].

Ac-2 (3) Дополнительные требования и рекомендации FedRAMP:
Требование. Поставщик услуг определяет период времени для учетных записей, отличных от пользователей (например, учетных записей, связанных с устройствами). Периоды времени утверждены и принимаются JAB/AO. Когда управление пользователями является функцией службы, отчеты о действиях пользователей-потребителей должны быть доступны.

Реализуйте автоматизацию управления учетными записями с помощью Microsoft Graph и Microsoft Graph PowerShell. Используйте Microsoft Graph для отслеживания действий входа и Microsoft Graph PowerShell, чтобы принять меры по учетным записям в требуемом интервале времени.

Определение отсутствия активности

Все операции жизненного цикла учетной записи (создание, изменение, включение, отключение и удаление) подлежат аудиту в журналах аудита Azure. Вы можете выполнять потоковую передачу журналов непосредственно в Microsoft Sentinel или в Центры событий, чтобы ускорить уведомление.

Audit

Дополнительные требования и рекомендации FedRAMP ac-2 (5)
Руководство. Следует использовать более короткий интервал времени, чем AC-12

Реализуйте блокировку устройства с помощью политики условного доступа, которая ограничивает доступ к соответствующим устройствам. Настройте параметры политики на устройстве, чтобы принудительно применять блокировку устройства на уровне ОС с помощью решений по управлению мобильными устройствами (MDM), таких как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях. Для неуправляемых устройств задайте для параметра "Частота входа" значение, чтобы применить принудительную проверку подлинности пользователей.

Условный доступ

Организация:
(a.) Устанавливает и администрирует привилегированные учетные записи пользователей в соответствии с схемой доступа на основе ролей, которая упорядочивает разрешенный доступ к информационной системе и привилегии в роли;
(b) Отслеживает назначения привилегированных ролей; и
(c) Принимает [назначение FedRAMP: отключает или отменяет доступ в течение указанного организацией периода времени], когда назначения привилегированных ролей больше не подходят.

Реализуйте microsoft Entra управление привилегированными пользователями с проверками доступа для привилегированных ролей в идентификаторе Microsoft Entra для отслеживания назначений ролей и удаления назначений ролей, если они больше не подходят. Вы можете выполнять потоковую передачу журналов аудита непосредственно в Microsoft Sentinel или в Центры событий, чтобы улучшить мониторинг.

Администрирование

Создайте политики условного доступа для применения решений по управлению доступом для пользователей и устройств.

Условный доступ

Организация:
(a) Отслеживает учетные записи информационной системы для [назначения: определяемое организацией нетипическое использование]; и
(b) Сообщает о нетипичном использовании учетных записей информационной системы в [назначение FedRAMP: как минимум, ISSO и/или аналогичная роль в организации].

AC-2 (12) (a) и AC-2 (12) (b) Дополнительные требования и рекомендации FedRAMP:
Требуется для привилегированных учетных записей.

Для мониторинга нетипичного использования можно передавать Защита идентификации Microsoft Entra журналы, которые показывают рискованных пользователей, рискованные входы и обнаружения рисков, а также журналы аудита, которые помогают корреляции с назначением привилегий, непосредственно в решение SIEM, например Microsoft Sentinel. Кроме того, вы можете использовать Центры событий, чтобы интегрировать журналы со сторонними решениями SIEM.

Защита идентификаторов

В Защита идентификации Microsoft Entra настройте и включите политику риска пользователей с пороговым значением "Высокий". Создайте политики условного доступа, чтобы заблокировать доступ для рискованных пользователей и рискованных входов. Настройте политики риска, чтобы пользователи могли самостоятельно исправить и разблокировать последующие попытки входа.

Защита идентификаторов

Организация:
(a.) Проверяет [назначение FedRAMP: по крайней мере, ежегодно] привилегии, назначенные [назначению FedRAMP: всем пользователям с привилегиями], чтобы проверить необходимость таких привилегий; и
(b.) При необходимости переназначает или удаляет привилегии, чтобы правильно отразить потребности организации или бизнеса.

Используйте управление правами Microsoft Entra с проверками доступа для привилегированных пользователей, чтобы проверить, требуется ли привилегированный доступ.

Проверки доступа

Организация:
(a.) Принудительно применяет ограничение [назначение FedRAMP: не более трех (3)] последовательных недопустимых попыток входа пользователем во время [назначения FedRAMP: пятнадцать (15) минут]; и
(b.) Автоматически [Выбор: блокирует учетную запись или узел для назначения [FedRAMP: не менее трех (3) часов или до разблокировки администратором]; задержки следующего входа в запрос в соответствии с [Назначение: алгоритм задержки, определяемый организацией]] при превышении максимального количества неудачных попыток.

Включите параметры настраиваемой смарт-блокировки. Настройте порог и продолжительность блокировки (в секундах) для реализации этих требований.

Смарт-блокировка

Информационная система:
(a.) Отображается пользователям [Назначение: определенное организацией сообщение об использовании уведомлений или баннер (назначение FedRAMP: см. дополнительные требования и рекомендации)] перед предоставлением доступа к системе, которая предоставляет уведомления о конфиденциальности и безопасности в соответствии с применимыми федеральными законами, директивами, политиками, правилами, стандартами и рекомендациями и говорит:
(1.) Пользователи получают доступ к информационной системе США для государственных организаций;
(2.) Использование информационной системы может отслеживаться, записываться и подвергаться аудиту;
(3.) Несанкционированное использование информационной системы запрещено и подлежит уголовным и гражданским наказаниям; и
(4.) Использование информационной системы указывает согласие на мониторинг и запись;

(b.) Сохраняет сообщение уведомления или баннер на экране, пока пользователи не признают условия использования и выполняют явные действия для входа в информационную систему или дальнейшего доступа к ней; и

(c.) Для общедоступных систем:
(1.) Отображает сведения об использовании системы [Назначение: определенные организацией условия (Назначение FedRAMP: см. дополнительные требования и рекомендации)] перед предоставлением дополнительного доступа;
(2.) Отображает ссылки, если таковые имеются, для мониторинга, записи или аудита, которые соответствуют конфиденциальности для таких систем, которые обычно запрещают эти действия; и
(3.) Включает описание авторизованного использования системы.

Дополнительные требования и рекомендации FedRAMP AC-8:
Требование. Поставщик услуг должен определять элементы облачной среды, для которых требуется элемент управления "Системное использование уведомлений". Элементы облачной среды, для которой требуется уведомление об использовании системы, утверждены и принимаются JAB/AO.
Требование. Поставщик услуг должен определить способ проверки уведомления об использовании системы и обеспечить соответствующую периодичность проверки. Проверка и периодичность использования системы утверждены и принимаются JAB/AO.
Руководство. Если выполняется в рамках проверки базовой конфигурации, то можно указать процент элементов, требующих установки, и пройти проверку (или сбой).
Требование. Если проверка конфигурации не выполняется в рамках проверки конфигурации, необходимо задокументировать соглашение о том, как обеспечить результаты проверки и необходимую периодичность проверки поставщиком услуг. Документированные соглашения о том, как обеспечить проверку результатов, утверждены и приняты JAB/AO.

С помощью идентификатора Microsoft Entra вы можете доставлять уведомления или баннерные сообщения для всех приложений, которым требуется подтверждение и запись перед предоставлением доступа. Вы можете детализировать политики условий использования для конкретных пользователей (роль "Участник" или "Гость"), Их можно также настроить для каждого приложения с помощью политик условного доступа.

Условия использования

В настоящее время пользователи подключаются с нескольких устройств, иногда одновременно. Поэтому задание предела на количество одновременных сеансов может привести к снижению качества взаимодействия с пользователем и предоставляет ограниченные значения безопасности. Лучший подход к реализации этого намерения — применение стратегии обеспечения безопасности "Никому не доверяй". В этом случае условия будут явно проверяться до создания сеанса и впоследствии постоянно проходить проверку на протяжении всего сеанса.

Кроме того, вы можете использовать следующие элементы управления с компенсацией риска.

Используйте политики условного доступа для ограничения доступа к соответствующим устройствам. Настройте параметры политики на устройстве для применения ограничений на вход пользователей на уровне ОС с помощью таких решений MDM, как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях.

Используйте Azure AD Privileged Identity Management, чтобы дополнительно ограничивать и контролировать привилегированные учетные записи.

Настройте смарт-блокировку учетных записей для неудачных попыток входа.

Руководство по реализации

Решение "Никому не доверяй"

AC-11(1)
Информационная система скрывает данные с помощью блокировки сеанса, ранее видимые на экране с общедоступным изображением.

Реализуйте блокировку устройства с помощью политики условного доступа для ограничения доступа к соответствующим устройствам. Настройте параметры политики на устройстве, чтобы принудительно применять блокировку устройства на уровне ОС с помощью решений MDM, таких как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях. Для неуправляемых устройств задайте для параметра "Частота входа" значение, чтобы применить принудительную проверку подлинности пользователей.

Условный доступ

Реализуйте автоматическую переоценку сеанса пользователя с помощью функций Microsoft Entra, таких как условный доступ на основе рисков и оценка непрерывного доступа. Условия бездействия можно реализовать на уровне устройства, как описано в разделе об AC-11.

Ресурсы

Дополнительные требования и рекомендации FedRAMP AC-8:
Руководство. Тестирование функциональных возможностей выхода (OTG-SESS-006) для функциональных возможностей выхода

Все веб-интерфейсы идентификатора Microsoft Entra ID предоставляют возможность выхода для сеансов связи, инициированных пользователем. При интеграции приложений SAML с идентификатором Microsoft Entra реализуйте единый выход.

Возможность выхода из системы

AC-20(1)
Организация позволяет авторизованным лицам использовать внешнюю информационную систему для доступа к информационной системе или обработки, хранения или передачи информации, контролируемой организацией, только если организация:
(a.) Проверяет реализацию необходимых элементов управления безопасностью во внешней системе, как указано в политике информационной безопасности организации и плане безопасности; или
(b.) Сохраняет утвержденные соглашения о подключении к информационной системе или обработке с организацией, включающей внешнюю информационную систему.

Требуйте принятия условий использования полномочными пользователями, которые получают доступ к ресурсам из внешних систем. Реализуйте политики условного доступа, чтобы ограничить доступ из внешних систем. Политики условного доступа могут быть интегрированы с Defender для облака приложениями для предоставления элементов управления облачными и локальными приложениями из внешних систем. Управление мобильными приложениями в Intune позволяет защитить на уровне приложений (в том числе пользовательских приложений и приложений из магазина) данные организации на управляемых устройствах, которые взаимодействуют с внешними системами. В качестве примера можно привести доступ к облачным службам. Вы можете использовать управление на устройствах, принадлежащих организации, а также личных устройствах.

Условия