Compartilhar via

Controle de Segurança v3: Acesso privilegiado

O Privileged Access abrange controles para proteger o acesso privilegiado ao seu locatário e recursos do Azure, incluindo uma série de controles para proteger seu modelo administrativo, contas administrativas e estações de trabalho de acesso privilegiado contra riscos deliberados e inadvertidas.

PA-1: separar e limitar usuários altamente privilegiados/administrativos

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
5,4, 6,8 AC-2, AC-6 7.1, 7.2, 8.1

Princípio de Segurança: Verifique se você está identificando todas as contas de alto impacto nos negócios. Limite o número de contas privilegiadas/administrativas no plano de controle, plano de gerenciamento e plano de dados/carga de trabalho da nuvem.

Diretrizes do Azure: O Azure AD (Azure Active Directory) é o serviço de gerenciamento de acesso e identidade padrão do Azure. As funções internas mais críticas no Azure AD são Administrador Global e Administrador de Funções Privilegiadas, pois os usuários atribuídos a essas duas funções podem delegar funções de administrador. Com esses privilégios, os usuários podem ler ou modificar indiretamente cada recurso em seu ambiente do Azure:

  • Administrador Global/Administrador da Empresa: os usuários com essa função têm acesso a todos os recursos administrativos no Azure AD, bem como aos serviços que usam identidades do Azure AD.
  • Administrador de funções com privilégios: os usuários com essa função podem gerenciar atribuições de função no Azure AD, bem como no Azure AD Privileged Identity Management (PIM). Além disso, essa função permite o gerenciamento de todos os aspectos do PIM e das unidades administrativas.

Fora do Azure AD, o Azure tem funções internas que podem ser críticas para acesso privilegiado no nível do recurso.

  • Proprietário: concede acesso total para gerenciar todos os recursos, incluindo a capacidade de atribuir funções no RBAC do Azure.
  • Colaborador: concede acesso total para gerenciar todos os recursos, mas não permite atribuir funções no RBAC do Azure, gerenciar atribuições no Azure Blueprints ou compartilhar galerias de imagens.
  • Administrador de Acesso do Usuário: permite gerenciar o acesso do usuário aos recursos do Azure. Observação: você pode ter outras funções críticas que precisam ser governadas se usar funções personalizadas no nível do Azure AD ou do recurso com certas permissões privilegiadas atribuídas.

Certifique-se de também restringir contas privilegiadas em outros sistemas de gerenciamento, identidade e segurança que tenham acesso administrativo a seus ativos comercialmente críticos, como controladores de domínio do Active Directory (DCs), ferramentas de segurança e ferramentas de gerenciamento de sistema com agentes instalados em sistemas comercialmente críticos. Os invasores que comprometem esses sistemas de gerenciamento e segurança podem armá-los imediatamente para comprometer ativos críticos para os negócios.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-2: evite o acesso permanente para contas de usuário e permissões

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
Não aplicável AC-2 Não aplicável

Princípio de Segurança: Em vez de criar privilégios permanentes, use o mecanismo JIT (just-in-time) para atribuir acesso privilegiado às diferentes camadas de recursos.

Diretrizes do Azure: Habilite o acesso privilegiado just-in-time aos recursos do Azure e ao Azure AD usando o Gerenciamento de Identidade Privilegiada (PIM) do Azure AD. O JIT é um modelo no qual os usuários recebem permissões temporárias para executar tarefas privilegiadas, o que impede que usuários mal-intencionados ou não autorizados obtenham acesso após a expiração das permissões. O acesso é concedido somente quando os usuários precisam dele. O PIM também pode gerar alertas de segurança quando há atividade suspeita ou não segura em sua organização do Azure AD.

Restringa o tráfego de entrada às portas de gerenciamento de máquinas virtuais (VM) confidenciais com o recurso de acesso just-in-time do Microsoft Defender para Nuvem. Isso garante que o acesso privilegiado à VM seja concedido somente quando os usuários precisarem dela.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-3: gerenciar o ciclo de vida de identidades e direitos

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
6.1, 6.2 AC-5, AC-6 7.1, 7.2, 8.1

Princípio de Segurança: Use um processo automatizado ou controle técnico para gerenciar a identidade e o ciclo de vida de acesso, incluindo a solicitação, revisão, aprovação, provisionamento e desprovisionamento.

Diretrizes do Azure: Use os recursos de gerenciamento de direitos do Azure AD para automatizar os fluxos de trabalho de solicitação de acesso (para grupos de recursos do Azure). Isso permite que os fluxos de trabalho para grupos de recursos do Azure gerenciem atribuições de acesso, revisões, expiração e aprovação dupla ou de vários estágios.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-4: examinar e reconciliar o acesso do usuário regularmente

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
5.1, 5.3, 5.5 AC-2, AC-6 7.1, 7.2, 8.1, A3.4

Princípio de Segurança: Realize uma revisão regular dos direitos de conta com privilégios. Verifique se o acesso concedido às contas é válido para a administração do plano de controle, do plano de gerenciamento e das cargas de trabalho.

Diretrizes do Azure: Examine todas as contas privilegiadas e os direitos de acesso no Azure, incluindo locatário do Azure, serviços do Azure, VM/IaaS, processos de CI/CD e ferramentas de gerenciamento corporativo e segurança.

Use as revisões de acesso do Azure AD para examinar as funções do Azure AD e as funções de acesso a recursos do Azure, associações de grupo, acesso a aplicativos empresariais. Os relatórios do Azure AD também podem fornecer logs para ajudar a descobrir contas obsoletas, contas que não estão sendo usadas por determinado período de tempo.

Além disso, o Azure AD Privileged Identity Management pode ser configurado para alertar quando um número excessivo de contas de administrador é criado para uma função específica e para identificar contas de administrador obsoletas ou configuradas incorretamente.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-5: Configurar o acesso de emergência

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
Não aplicável AC-2 Não aplicável

Princípio de Segurança: Configure o acesso de emergência para garantir que você não seja bloqueado acidentalmente de sua infraestrutura de nuvem crítica (como seu sistema de gerenciamento de identidade e acesso) em uma emergência.

As contas de acesso de emergência raramente devem ser usadas e podem ser altamente prejudiciais para a organização se comprometidas, mas sua disponibilidade para a organização também é extremamente importante para os poucos cenários em que são necessárias.

Diretrizes do Azure: Para evitar o bloqueio acidental de sua organização do Azure AD, configure uma conta de acesso de emergência (por exemplo, uma conta com função de Administrador Global) para acesso quando contas administrativas normais não puderem ser usadas. As contas de acesso de emergência geralmente são altamente privilegiadas e não devem ser atribuídas a indivíduos específicos. As contas de acesso de emergência são limitadas à emergência ou cenários de "break glass" em que as contas administrativas normais não podem ser usadas.

Você deve garantir que as credenciais (como senha, certificado ou cartão inteligente) para contas de acesso de emergência sejam mantidas seguras e conhecidas apenas por indivíduos autorizados a usá-las apenas em uma emergência. Você também pode usar controles adicionais, como controles duplos (por exemplo, dividir a credencial em duas partes e dá-la a pessoas separadas) para aprimorar a segurança desse processo. Você também deve monitorar os logs de entrada e auditoria para garantir que as contas de acesso de emergência só possam ser usadas sob autorização.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-6: Usar estações de trabalho de acesso privilegiado

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
12.8, 13.5 AC-2, SC-2, SC-7 Não aplicável

Princípio de Segurança: Estações de trabalho protegidas e isoladas são extremamente importantes para a segurança de funções confidenciais, como administrador, desenvolvedor e operador de serviço crítico.

Diretrizes do Azure: Use o Azure Active Directory, o Microsoft Defender e/ou o Microsoft Intune para implantar PAW (Estações de Trabalho de Acesso Privilegiado) no local ou no Azure para tarefas privilegiadas. A PAW deve ser gerenciada centralmente para impor a configuração protegida, incluindo autenticação forte, linhas de base de software e hardware e acesso lógico e de rede restritos.

Você também pode usar o Azure Bastion, que é um serviço de PaaS totalmente gerenciado por plataforma que pode ser provisionado dentro de sua rede virtual. O Azure Bastion permite a conectividade RDP/SSH com suas máquinas virtuais diretamente do portal do Azure usando o navegador.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-7: Siga o princípio de administração suficiente (privilégio mínimo)

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
3.3, 6.8 AC-2, AC-3, AC-6 7.1, 7.2

Princípio de Segurança: Siga o princípio de administração suficiente (privilégio mínimo) para gerenciar permissões em nível refinado. Use recursos como RBAC (controle de acesso baseado em função) para gerenciar o acesso a recursos por meio de atribuições de função.

Diretrizes do Azure: Use o RBAC (controle de acesso baseado em função) do Azure para gerenciar o acesso a recursos do Azure por meio de atribuições de função. Por meio do RBAC, você pode atribuir funções a usuários, entidades de serviço de grupo e identidades gerenciadas. Há funções internas predefinidas para determinados recursos e essas funções podem ser inventariadas ou consultadas por meio de ferramentas como a CLI do Azure, o Azure PowerShell e o portal do Azure.

Os privilégios que você atribui aos recursos por meio do RBAC do Azure devem ser sempre limitados ao que é exigido pelas funções. Privilégios limitados complementarão a abordagem JIT (just-in-time) do PIM (Privileged Identity Management) do Azure AD, e esses privilégios devem ser revisados periodicamente. Se necessário, você também pode usar o PIM para definir a condição de tempo (atribuição com limite de tempo) na atribuição de função em que um usuário pode ativar ou usar a função apenas entre as datas de início e término.

Observação: use funções internas do Azure para alocar permissões e criar apenas funções personalizadas quando necessário.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

PA-8 Determinar o processo de acesso para suporte ao provedor de nuvem

ID(s) do CIS Controls v8 ID(s) do NIST SP 800-53 r4 ID(s) do PCI-DSS v3.2.1
6.1, 6.2 AC-4, AC-2, AC-3 Não aplicável

Princípio de Segurança: Estabeleça um processo de aprovação e um caminho de acesso para solicitar e aprovar a solicitação de suporte do fornecedor e o acesso temporário aos seus dados por meio de um canal seguro.

Diretrizes do Azure: Em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Customer Lockbox para examinar e aprovar ou rejeitar cada solicitação de acesso a dados da Microsoft.

Implementação e contexto adicional:

Partes Interessadas em Segurança do Cliente (Saiba mais):

  • Last updated on