Разработка с использованием принципов "Никому не доверяй"

Эта статья поможет вам, как разработчику, понять руководящие принципы нулевого доверия, чтобы повысить безопасность приложений. Вы играете ключевую роль в безопасности организации; приложения и их разработчики больше не могут предположить, что периметр сети является безопасным. Скомпрометированные приложения могут повлиять на всю организацию.

Организации развертывают новые модели безопасности, которые адаптируются к сложным современным средам и принимают мобильных сотрудников. Новые модели предназначены для защиты людей, устройств, приложений и данных, где бы они ни находились. Организации стремятся достичь нулевого доверия, стратегии безопасности и подхода к разработке и реализации приложений, которые соответствуют этим руководящим принципам:

• Прямая проверка
• Использование наименьших привилегий для доступа
• Предполагайте наличие бреши в системе безопасности

Вместо того, чтобы считать, что все, что находится за корпоративным брандмауэром, безопасно, модель "Никому не доверяй" предполагает наличие нарушения и проверяет каждый запрос, как если бы он исходил из неконтролируемой сети. Независимо от того, где происходит запрос или какой ресурс он обращается, модель нулевого доверия требует от нас "никогда не доверять, всегда проверять".

Понять, что нулевое доверие не является заменой принципов безопасности. Работа, исходящая из любого устройства, разрабатывает приложения для внедрения принципов нулевого доверия на протяжении всего цикла разработки.

Зачем развиваться с точки зрения нулевого доверия?

• Мы видим рост уровня сложности атак кибербезопасности.
• "Работа из любого места" работники переопределили периметр безопасности. Доступ к данным осуществляется извне корпоративной сети и предоставляется внешним участникам совместной работы, таким как партнеры и поставщики.
• Корпоративные приложения и данные переносятся из локальной среды в гибридную и облачную среды. Традиционные сетевые элементы управления больше не могут полагаться на безопасность. Элементы управления должны перемещаться в расположение данных: на устройствах и внутри приложений.

Руководство по разработке в этом разделе помогает повысить безопасность, уменьшить радиус взрыва инцидента безопасности и быстро восстановить с помощью технологии Майкрософт.

Следующие шаги

Подпишитесь на наш веб-канал RSS для уведомления о новых статьях с помощью принципов нулевого доверия.

Общие сведения о руководстве разработчика

• Что мы имеем в виду на соответствие нулевому доверию? предоставляет обзор безопасности приложений с точки зрения разработчика для решения руководящих принципов нулевого доверия.
• Используйте рекомендации по разработке удостоверений и управления доступом в жизненном цикле разработки приложений для создания безопасных приложений.
• Методологии разработки на основе стандартов предоставляют общие сведения о поддерживаемых стандартах и их преимуществах.
• Обязанности разработчика и администратора для регистрации приложений, авторизации и доступа помогают лучше сотрудничать с ИТ-специалистами.

Разрешения и доступ

• Создание приложений, защищенных удостоверениями с помощью разрешений и согласия , предоставляет общие сведения о разрешениях и рекомендациях по доступу.
• Интеграция приложений с идентификатором Microsoft Entra и платформа удостоверений Майкрософт помогает разработчикам создавать и интегрировать приложения, которые ИТ-специалисты могут защитить в организации.
• Регистрация приложений представляет разработчикам процесс регистрации приложений и его требования. Это помогает им обеспечить, чтобы приложения соответствовали принципам использования наименее привилегированного доступа и предполагать нарушение.
• Поддерживаемые типы удостоверений и учетных записей для отдельных и мультитенантных приложений объясняют, разрешен ли ваше приложение только пользователям из клиента Microsoft Entra, любого клиента Microsoft Entra или пользователей с личными учетными записями Майкрософт.
• Проверка подлинности пользователей для zero Trust помогает разработчикам узнать рекомендации по проверке подлинности пользователей приложений в разработке приложений Zero Trust. В нем описывается, как повысить безопасность приложений с помощью принципов нулевого доверия наименьших привилегий и явно проверить их.
• Получение авторизации для доступа к ресурсам помогает понять, как лучше всего обеспечить нулевое доверие при получении разрешений доступа к ресурсам для приложения.
• Разработка стратегии делегированных разрешений помогает реализовать оптимальный подход к управлению разрешениями в приложении и разработке с помощью принципов нулевого доверия.
• Разработка стратегии разрешений приложений помогает решить вопрос о подходе приложений к управлению учетными данными.
• Запрос разрешений, требующих административного согласия , описывает разрешение и взаимодействие с согласием, когда разрешения приложений требуют административного согласия.
• Сокращение избыточных разрешений и приложений помогает ограничить привилегии для управления доступом и повышения безопасности.
• Укажите учетные данные удостоверения приложения, если нет пользователя, объясняющего управляемые удостоверения для ресурсов Azure, рекомендации по службам (неиспользуемым приложениям).
• Управление маркерами нулевого доверия помогает разработчикам создавать безопасность в приложениях с маркерами идентификатора, маркерами доступа и маркерами безопасности, которые они могут получать от платформа удостоверений Майкрософт.
• Настройка маркеров описывает сведения, которые можно получить в токенах Microsoft Entra и как можно настроить маркеры.
• Защита приложений с помощью непрерывной оценки доступа помогает разработчикам повысить безопасность приложений с помощью непрерывной оценки доступа. Узнайте, как обеспечить поддержку нулевого доверия в приложениях, которые получают авторизацию для доступа к ресурсам при получении маркеров доступа из идентификатора Microsoft Entra.
• Настройка утверждений групп и ролей приложений в маркерах показывает, как настроить приложения с определениями ролей приложения и назначить группы безопасности.
• Защита API описывает рекомендации по защите API путем регистрации, определения разрешений и согласия и принудительного доступа к достижению целей нулевого доверия.
• Пример API, защищенный платформой согласия на идентификацию Майкрософт, помогает разрабатывать стратегии с минимальными привилегиями приложений для оптимального взаимодействия с пользователем.
• Вызов API из другого API помогает обеспечить нулевое доверие при наличии одного API, который должен вызывать другой API. Вы узнаете, как безопасно разрабатывать приложение при его работе от имени пользователя.
• Рекомендации по авторизации помогут реализовать лучшие модели авторизации, разрешения и согласия для приложений.

Нулевое доверие DevSecOps

• Безопасные среды DevOps для нулевого доверия описывают рекомендации по защите сред DevOps.
• Защита среды платформы DevOps помогает реализовать принципы нулевого доверия в среде платформы DevOps и выделяет рекомендации по управлению секретами и сертификатами.
• Защита среды разработчика помогает реализовать принципы нулевого доверия в средах разработки с рекомендациями по наименьшей привилегии, безопасности ветви и доверия средствам, расширениям и интеграции.
• Внедрение безопасности нулевого доверия в рабочий процесс разработчика помогает быстро и безопасно внедрять инновации.

Дополнительная документация по нулю доверия

Ссылка на следующее содержимое Нулевого доверия на основе набора документации или ролей в организации.

Набор документации

Следуйте этой таблице для лучших наборов документации по нулю доверия для ваших потребностей.

Ваша роль

Следуйте этой таблице для лучших наборов документации для вашей роли в организации.