Настройте управление доступом по удостоверению для обеспечения соответствия уровню высокого влияния FedRAMP

Организация
(a.) Определяет и выбирает следующие типы учетных записей информационной системы для поддержки организационных миссий и бизнес-функций: [Назначение: определенные организацией типы учетных записей информационной системы];

(b.) Назначает менеджеров учетных записей для учетных записей информационной системы;

(c.) Устанавливает условия для членства в группах и ролевом членстве;

(d.) Указывает авторизованных пользователей информационной системы, членства в группах и роли, а также авторизацию доступа (т. е. привилегии) и другие атрибуты (по мере необходимости) для каждой учетной записи;

(e.) Требуется утверждение [назначение: определенный организацией персонал или роли] для запросов на создание учетных записей информационной системы;

(f.) Создает, включает, изменяет, отключает и удаляет учетные записи информационной системы в соответствии с [Назначение: определенные организацией процедуры или условия];

(g.) Отслеживает использование учетных записей информационной системы;

(h.) Уведомляет менеджеров аккаунтов:
(1.) Если учетные записи больше не требуются;
(2.) При увольнении или переводе пользователей; и
(3.) При изменении использования отдельной информационной системы или необходимости знать информацию;

(i.) Авторизует доступ к информационной системе на основе:
(1.) Действующая авторизация доступа;
(2.) Предполагаемое использование системы; и
(3.) Другие атрибуты, необходимые организации или связанным миссиям или бизнес-функциям;

(j.) Проверяет соответствие требованиям к управлению учетными записями [Назначение FedRAMP: ежемесячно для привилегированного доступа, каждые шесть (6) месяцев для доступа без привилегий]; и

(k.) Устанавливает процесс повторной отправки учетных данных общей или групповой учетной записи (если они развернуты) когда происходит удаление отдельных лиц из группы.

Используйте Microsoft Entra ID для создания учетных записей из внешних систем управления персоналом, локальной Active Directory или непосредственно в облаке. Все операции жизненного цикла учетной записи проверяются в журналах аудита Microsoft Entra. Вы можете собирать и анализировать журналы с помощью решения "Сведения о безопасности и управление событиями" (SIEM), например Microsoft Sentinel. Кроме того, можно использовать Azure Event Hubs для интеграции журналов с сторонними решениями SIEM для включения мониторинга и уведомлений. Используйте Microsoft Entra управление правами с проверками доступа, чтобы обеспечить состояние соответствия учетных записей.

Подготовка учетных записей

Настройте автоматическое развертывание управляемых клиентом учетных записей из внешних HR-систем или внутреннего Active Directory. Для приложений, поддерживающих предоставление приложений, настройте Microsoft Entra ID для автоматического создания удостоверений пользователей и ролей в облачных приложениях SaaS, к которым пользователям требуется доступ. Кроме создания учетных записей пользователей, автоматическое предоставление включает в себя обслуживание и удаление учетных записей пользователей по мере изменения их статуса или ролей. Чтобы упростить мониторинг использования учетных записей, можно передавать журналы Microsoft Entra ID Protection, которые показывают рискованных пользователей, рискованные входы и обнаружения рисков, а также журналы аудита непосредственно в Microsoft Sentinel или Центрах событий.

Обеспечение

AC-02(3)
Информационная система автоматически отключает неактивные учетные записи после [назначения FedRAMP: тридцать пять (35) дней для учетных записей пользователей].

Ac-2 (3) Дополнительные требования и рекомендации FedRAMP:
Требование. Поставщик услуг определяет период времени для учетных записей, отличных от пользователей (например, учетных записей, связанных с устройствами). Периоды времени утверждены и принимаются JAB/AO. Когда управление пользователями является функцией службы, отчеты о действиях пользователей-потребителей должны быть доступны.

Реализуйте автоматизацию управления учетными записями с помощью Microsoft Graph и Microsoft Graph PowerShell. Используйте Microsoft Graph для мониторинга действий входа и Microsoft Graph PowerShell для выполнения действий с учетными записями в требуемом временном интервале.

Определение отсутствия активности

Все операции жизненного цикла учетной записи, такие как создание учетной записи, изменение, включение, отключение и удаление, проверяются в журналах аудита Azure. Журналы можно передавать непосредственно в Microsoft Sentinel или Event Hubs для помощи в уведомлениях.

Аудит

Дополнительные требования и рекомендации FedRAMP AC-2 (5)
Руководство. Следует использовать более короткий интервал времени, чем AC-12

Реализуйте блокировку устройства с помощью политики условного доступа, которая ограничивает доступ к соответствующим устройствам. Настройте параметры политики на устройстве, чтобы принудительно применять блокировку устройства на уровне ОС с помощью решений по управлению мобильными устройствами (MDM), таких как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях. Для неуправляемых устройств задайте для параметра "Частота входа" значение, чтобы применить принудительную проверку подлинности пользователей.

Условный доступ

Организация:
(a.) Устанавливает и администрирует привилегированные учетные записи пользователей в соответствии с схемой доступа на основе ролей, которая упорядочивает разрешенный доступ к информационной системе и привилегии в роли;
(b) Отслеживает назначения привилегированных ролей; и
(c) Принимает [назначение FedRAMP: отключает или отменяет доступ в течение указанного организацией периода времени], когда назначения привилегированных ролей больше не подходят.

Реализуйте Microsoft Entra Privileged Identity Management с проверками доступа для привилегированных ролей в Microsoft Entra ID для мониторинга назначений ролей и удаления назначений ролей, если они больше не подходят. Журналы аудита можно передавать непосредственно в Microsoft Sentinel или Центры событий, чтобы помочь в мониторинге.

Администрирование

Создайте политики условного доступа для применения решений по управлению доступом для пользователей и устройств.

Условный доступ

Организация:
(a) Отслеживает учетные записи информационной системы для [назначения: определяемое организацией нетипическое использование]; и
(b) Сообщает о нетипичном использовании учетных записей информационной системы в [назначение FedRAMP: как минимум, ISSO и/или аналогичная роль в организации].

AC-2 (12) (a) и AC-2 (12) (b) Дополнительные требования и рекомендации FedRAMP:
Требуется для привилегированных учетных записей.

Для мониторинга нетипичного использования можно передавать Microsoft Entra ID Protection журналы, в которых отображаются рискованные пользователи, рискованные входы и обнаружения рисков, а также журналы аудита, которые помогают корреляции с назначением привилегий, непосредственно в решение SIEM, например Microsoft Sentinel. Кроме того, вы можете использовать Центры событий, чтобы интегрировать журналы со сторонними решениями SIEM.

Защита идентификаторов

В Microsoft Entra ID Protection настройте и включите политику риска пользователей с пороговым значением "Высокий". Создайте политики условного доступа, чтобы заблокировать доступ для рискованных пользователей и рискованных входов. Настройте политики риска, чтобы пользователи могли самостоятельно исправить и разблокировать последующие попытки входа.

Защита идентификаторов

Организация:
(a.) Проверяет [назначение FedRAMP: по крайней мере, ежегодно] привилегии, назначенные [назначению FedRAMP: всем пользователям с привилегиями], чтобы проверить необходимость таких привилегий; и
(b.) При необходимости переназначает или удаляет привилегии, чтобы правильно отразить потребности организации или бизнеса.

Используйте Microsoft Entra управление правами с проверками доступа для привилегированных пользователей, чтобы проверить, требуется ли привилегированный доступ.

Проверки доступа

Организация:
(a.) Принудительно применяет ограничение [назначение FedRAMP: не более трех (3)] последовательных недопустимых попыток входа пользователем во время [назначения FedRAMP: пятнадцать (15) минут]; и
(b.) Автоматически [Выбор: блокирует учетную запись или узел в соответствии с требованиями FedRAMP на минимум три (3) часа или до разблокировки администратором; откладывает появление следующего запроса на вход в систему в соответствии с [назначенный организацией алгоритм задержки]] при превышении максимального числа неудачных попыток.

Включите параметры настраиваемой смарт-блокировки. Настройте порог и продолжительность блокировки (в секундах) для реализации этих требований.

Умная блокировка

Информационная система:
(a.) Показывает пользователям [Назначение: сообщение или баннер, определенные организацией, об использовании системы (назначение FedRAMP: см. дополнительные требования и рекомендации)] перед предоставлением доступа к системе, которая предоставляет уведомления о конфиденциальности и безопасности в соответствии с применимыми федеральными законами, указами исполнительной власти, директивами, политиками, правилами, стандартами и руководствами, и в которых указано, что:
(1.) Пользователи получают доступ к информационной системе США для государственных организаций;
(2.) Использование информационной системы может отслеживаться, записываться и подвергаться аудиту;
(3.) Несанкционированное использование информационной системы запрещено и подлежит уголовным и гражданским наказаниям; и
(4.) Использование информационной системы указывает согласие на мониторинг и запись;

(b.) Сохраняет сообщение уведомления или баннер на экране, пока пользователи не признают условия использования и выполняют явные действия для входа в информационную систему или дальнейшего доступа к ней; и

(c.) Для общедоступных систем:
(1.) Отображает сведения об использовании системы [Назначение: определенные организацией условия (Назначение FedRAMP: см. дополнительные требования и рекомендации)] перед предоставлением дополнительного доступа;
(2.) Отображает ссылки, если таковые имеются, на мониторинг, запись или аудит, которые соответствуют требованиям конфиденциальности таких систем, которые, как правило, запрещают эти действия; и
(3.) Включает описание авторизованного использования системы.

Дополнительные требования и рекомендации FedRAMP AC-8:
Требование. Поставщик услуг должен определять элементы облачной среды, для которых требуется элемент управления "Системное использование уведомлений". Элементы облачной среды, для которой требуется уведомление об использовании системы, утверждены и принимаются JAB/AO.
Требование. Поставщик услуг должен определить способ проверки уведомления об использовании системы и обеспечить соответствующую периодичность проверки. Проверка уведомления о использовании системы и его периодичность утверждены и принимаются организацией JAB/AO.
Руководство. Если выполняется в рамках проверки базовой конфигурации, то можно указать процент элементов, требующих настройки, которые проверяются и которые проходят (или не проходят) проверку.
Требование: Если проверка не проводится в рамках проверки базовой конфигурации, необходимо задокументировать соглашение о том, как обеспечить результаты верификации и необходимую периодичность выполнения верификации поставщиком услуг. Документированные соглашения о том, как обеспечить проверку результатов, утверждены и приняты JAB/AO.

С помощью Microsoft Entra ID вы можете доставлять уведомления или баннерные сообщения для всех приложений, которым требуется подтверждение и запись перед предоставлением доступа. Вы можете детализировать политики условий использования для конкретных пользователей (роль "Участник" или "Гость"), Их можно также настроить для каждого приложения с помощью политик условного доступа.

Условия использования

В настоящее время пользователи подключаются с нескольких устройств, иногда одновременно. Поэтому задание предела на количество одновременных сеансов может привести к снижению качества взаимодействия с пользователем и предоставляет ограниченные значения безопасности. Лучший подход к реализации этого намерения — применение стратегии обеспечения безопасности "Никому не доверяй". В этом случае условия будут явно проверяться до создания сеанса и впоследствии постоянно проходить проверку на протяжении всего сеанса.

Кроме того, используйте следующие компенсирующие меры управления.

Используйте политики условного доступа для ограничения доступа к соответствующим устройствам. Настройте параметры политики на устройстве для применения ограничений на вход пользователей на уровне ОС с помощью таких решений MDM, как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях.

Используйте Privileged Identity Management для дальнейшего ограничения и контроля привилегированных учетных записей.

Настройте смарт-блокировку учетных записей для неудачных попыток входа.

Руководство по реализации

Нулевая доверие

AC-11(1)
Информационная система скрывает данные с помощью блокировки сеанса, ранее видимые на экране с общедоступным изображением.

Реализуйте блокировку устройства с помощью политики условного доступа для ограничения доступа к соответствующим устройствам. Настройте параметры политики на устройстве, чтобы принудительно применять блокировку устройства на уровне ОС с помощью решений MDM, таких как Intune. Объекты Endpoint Manager или объекты групповой политики можно также использовать в гибридных развертываниях. Для неуправляемых устройств задайте для параметра "Частота входа" значение, чтобы применить принудительную проверку подлинности пользователей.

Условный доступ

Реализуйте автоматическую переоценку сеанса пользователя с помощью Microsoft Entra функций, таких как условный доступ на основе рисков и оценка непрерывного доступа. Условия бездействия можно реализовать на уровне устройства, как описано в разделе об AC-11.

Ресурсы

Дополнительные требования и рекомендации FedRAMP AC-8:
Руководство: Тестирование функциональности выхода (OTG-SESS-006) Тестирование функциональности выхода

Все Microsoft Entra ID всплывающие веб-интерфейсы предоставляют возможность выхода для сеансов связи, инициированных пользователем. При интеграции приложений SAML с Microsoft Entra ID реализуйте единый выход.

Возможность выхода из системы

AC-20(1)
Организация позволяет авторизованным лицам использовать внешнюю информационную систему для доступа к информационной системе или обработки, хранения или передачи информации, контролируемой организацией, только если организация:
(a.) Проверяет реализацию необходимых элементов управления безопасностью во внешней системе, как указано в политике информационной безопасности организации и плане безопасности; или
(b.) Сохраняет утвержденные соглашения о подключении к информационной системе или обработке с организацией, включающей внешнюю информационную систему.

Требуйте принятия условий использования полномочными пользователями, которые получают доступ к ресурсам из внешних систем. Реализуйте политики условного доступа, чтобы ограничить доступ из внешних систем. Политики условного доступа могут быть интегрированы с Defender for Cloud Apps, чтобы обеспечить управление облачными и локальными приложениями из внешних систем. Управление мобильными приложениями в Intune позволяет защитить на уровне приложений (в том числе пользовательских приложений и приложений из магазина) данные организации на управляемых устройствах, которые взаимодействуют с внешними системами. В качестве примера можно привести доступ к облачным службам. Вы можете использовать управление на устройствах, принадлежащих организации, а также личных устройствах.

Условия