Что такое нечеловеческие удостоверения?

Существуют различные типы нечеловеческих учетных записей, и каждый из них создается, используется и управляется в организации по-своему. Каждый тип служит определенной цели, но все они предназначены для того, чтобы программные системы могли безопасно получать доступ к ресурсам без участия человека.

Вот некоторые из наиболее распространенных типов:

1. Служебные учетные записи — это часто используемые учетные записи, создаваемые вручную и позволяющие приложениям или службам взаимодействовать с системами. Они используются, чтобы:
 

• Выполнение фоновых задач или автоматических заданий.
• Доступ к файлам или базам данных.
• Подключение служб в разных системах.

Для выполнения рутинных системных задач многие организации используют служебные учетные записи, однако при отсутствии надлежащего управления они могут получить доступ к тем частям системы, которые им на самом деле не нужны, что повышает риски для безопасности.

2. Управляемые удостоверения автоматически создаются и обслуживаются облачными платформами, что упрощает управление доступом к программному обеспечению. Каждая учетная запись привязана к конкретной системе или службе и существует лишь до тех пор, пока в ней есть необходимость. Это избавляет разработчиков от необходимости вручную работать с именами пользователей или паролями, снижая риск их утечки и повышая уровень безопасности. Их часто используют для того, чтобы:
 

• Выполняйте безопасную проверку подлинности в облачных службах не сохраняя секретные данные, такие как пароли, ключи API или токены доступа.
• Назначайте права доступа на основе ролей с минимальной настройкой.
• Управляйте удостоверениями программного обеспечения более эффективно по мере роста облачных сред.

Использование управляемых удостоверений помогает упростить доступ, сократить объем работ по управлению учетными данными и снизить риск предоставления программному обеспечению избыточных прав доступа.

3. Субъекты-службы — это идентификаторы безопасности, которые используются приложениями или службами для доступа к облачным ресурсам. Они действуют как удостоверение приложения в платформе удостоверений и широко используются для следующего:
 

• Задачи автоматизации и создания сценариев.
• Создание, тестирование и развертывание рабочего процесса.
• Подключения между облачными службами и сторонними средствами.

Служебные субъекты обеспечивают гибкий и детальный контроль над тем, к чему может получить доступ ПО, но их нужно внимательно отслеживать, чтобы избежать злоупотреблений и сохранить безопасность систем.

4. Агенты ИИ — это новый класс нечеловеческих удостоверений. Агенты ИИ, работающие на платформе агентного ИИ — это автономные, динамические не-человеческие удостоверения, которые могут рассуждать, делегировать задачи и действовать в разных системах без прямого участия человека. В отличие от традиционных NHI, агенты ИИ могут:
 

• Создаваться по запросу и использоваться в различных доменах.
• Получать доступ к API, базам данных и сервисам с помощью временных или контекстно-зависимых учетных данных.
• Анализировать задачи и переключаться между ролями — иногда выступая в качестве системных агентов, а иногда действуя от имени людей.

Динамичный жизненный цикл ИИ-агента бросает вызов традиционным системам управления идентификацией, таким как OAuth или SAML, которые рассчитаны на статические идентификационные данные людей или машин. Использование агентов ИИ добавляет новые требования к стратегиям управления нечеловеческими удостоверениями, в том числе:
 

• Временные учетные данные, которые действуют непродолжительное время и автоматически аннулируются.
• Оценка политик в реальном времени для предоставления динамического доступа на основе принципа минимальных привилегий.
• Подотчетность и возможность аудита автономных действий, выполняемых агентами.
• Контроль со стороны человека над выполнением агентами задач, требующих особого внимания или сопряженных с высоким риском.

При отсутствии надлежащего управления агенты ИИ могут создавать множество неконтролируемых учетных записей, что ведет к неконтролируемому росту числа учетных данных, необоснованному расширению прав доступа и появлению "слепых зон" в системе безопасности.

По мере того как организации используют все больше программных инструментов и служб, число не-человеческих удостоверений продолжает расти — как и потребность в разумном способе их управления. Без тщательного мониторинга такие удостоверения могут превратиться в скрытые уязвимости — особенно если они обладают избыточными правами доступа, остаются без присмотра или сохраняют активность после того, как в них отпадает необходимость. Их эффективное управление помогает снизить риски, повысить прозрачность процессов и обеспечить защиту ваших систем.

Что это делает

Управление идентификационными данными нечеловеческих идентичностей включает обнаружение, систематизацию, защиту и мониторинг учетных данных, принадлежащих приложениям, инструментам, ботам и другим автоматизированным системам. Это включает:
 

• Создание удостоверений с использованием безопасных соглашений об именовании и доступе.
• Назначение ролей и разрешений в зависимости от потребностей каждой системы.
• Защита учетных данных, таких как маркеры, ключи и сертификаты.
• Аудит использования для обнаружения необычного поведения или неправильного использования привилегий.
• Автоматическое удаление неиспользуемых или просроченных удостоверений.

Почему это важно

Организациям следует использовать такие инструменты, как системы управления идентификацией и доступом (IAM), чтобы помочь командам по безопасности централизованно управлять учетными данными как людей, так и нечеловеческих идентичностей.

Для нечеловеческих идентичностей системы IAM обеспечивают:
 

• Видимость того, какие системы обращаются к каким ресурсам.
• Управление доступом на основе политики для применения разрешений с наименьшими привилегиями.
• Автоматизация жизненного цикла для сокращения обслуживания вручную.
• Мониторинг и ведение журнала для обнаружения неправильного использования или рискованного поведения.
• Ротация и безопасное хранение учетных данных для усиления защиты.

Эти инструменты помогают специалистам по безопасности и ИТ-командам гарантировать, что нечеловеческие идентичности функционируют безопасно в установленных границах и не создают пробелов в соблюдении нормативных требований, прозрачности или контроле.

Что лучше всего работает

Эффективное управление нечеловеческими учетными записями требует баланса между безопасностью, автоматизацией и прозрачностью. Эти методики помогают снизить риск, избежать спрайта удостоверений и обеспечить защиту систем по мере роста системы.

1. Применяйте принцип минимальных привилегий. Предоставляйте каждому субъекту только те права доступа, которые ему необходимы, — и ничего больше. Старайтесь избегать предоставления широких прав доступа или прав администратора. Это минимизирует влияние при компрометации удостоверения.

2. Автоматизация управления жизненным циклом. Используйте инструменты управления идентификационными данными для автоматизации создания, ротации и удаления учетных записей, не принадлежащих людям. Привязка учетных записей к жизненному циклу поддерживаемых ими задач или сервисов помогает предотвратить сохранение в вашей среде неиспользуемых учетных записей.

3. По возможности используйте управляемые удостоверения. В облачных средах управляемые удостоверения автоматически обеспечивают безопасный доступ и обновление паролей. Это означает, что вам не нужно хранить в коде конфиденциальную информацию, например пароли или ключи доступа.

4. Централизованная видимость и управление. Отслеживайте все нечеловеческие удостоверения с помощью централизованной системы IAM. Видимость облачных, локальных и гибридных сред упрощает выявление неиспользуемых, неправильно настроенных или рискованных учетных записей.

5. Безопасные учетные данные. Храните конфиденциальную информацию — например, пароли, ключи доступа и сертификаты безопасности — в защищенной системе хранения, а не в коде приложения или файлах настроек. Регулярно обновляйте их и следите за необычными действиями.

6. Отслеживайте и проверяйте действия. Настройте ведение журналов и оповещения для отслеживания использования нечеловеческих удостоверений. Обращайте внимание на необычные или чрезмерные попытки доступа, а также на неожиданное поведение, которое может указывать на неправомерное использование.

7. Регулярно проводите проверку и очистку. Запланируйте регулярные проверки учетных записей нечеловеческих субъектов и их прав доступа. Удалите неиспользуемые удостоверения и ограничьте избыточные права доступа, чтобы поддерживать чистоту и безопасность вашей среды.

Внедрение этих рекомендаций помогает организациям опережать риски, связанные с идентификаторами, и уверенно поддерживать автоматизацию и инновации.

Что это дает
 

• Повышение уровня безопасности за счет ограничения доступа через часто упускаемые из виду точки входа.
• Упрощение аудита и обеспечение соответствия требованиям благодаря более эффективному отслеживанию того, кто или какие системы имеют доступ.
• Снижение вероятности ошибок или злоупотребления доступом за счет надлежащего управления правами доступа.
• Повышение эффективности за счет автоматизации настройки, мониторинга и очистки учетных записей.

При наличии надлежащих систем и методик управление нечеловеческими удостоверениями становится возможностью повысить уровень безопасности, одновременно поддерживая высокую скорость и масштабируемость современных ИТ-операций.

Управление доступом в современном мире, где все связано с облачными технологиями, требует большего, чем просто традиционные инструменты идентификации. Решения Майкрософт по управлению идентификацией и доступом помогают организациям защищать пользователей, устройства, приложения и автоматизированные службы — независимо от того, откуда осуществляется подключение и какие методы или технологии при этом используются.

Решения Microsoft Entra для управления удостоверениями и доступом к сети призваны предотвращать атаки, обеспечивать доступ на основе принципа минимальных привилегий и улучшать пользовательский опыт, гарантируя при этом безопасный доступ к ресурсам. Такие инструменты, как Microsoft Entra ID, Azure Active Directory Identity Governance, Внешняя идентификация Microsoft Entra и Идентификация рабочей нагрузки Microsoft Entra, разработаны специально для управления идентификационными данными нечеловеческих субъектов.

Microsoft Entra — это комплексное решение для управления доступом, обеспечивающее безопасный доступ сотрудников, клиентов, партнеров и нечеловеческих субъектов к ресурсам как в локальных, так и в облачных средах. Это включает такие возможности, как:
 

• Единый вход для упрощенного доступа к приложениям и службам.
• Многофакторная проверка подлинности, включая беспарольную и двухфакторную проверку подлинности (например, с использованием биометрии, ключей FIDO и приложений для аутентификации).
• Privileged Access Management для защиты и мониторинга критически важных учетных записей с расширенными правами.
• Система защиты входа, предотвращающая атаки методом перебора, повторное использование паролей и перехват сеансов.
• ⁠Условный доступ, который корректирует права доступа на основе сигналов, поступающих в режиме реального времени, таких как уровень риска, местоположение и состояние устройства.
• Защита удостоверений с обнаружением угроз в режиме реального времени и автоматическим реагированием.
• Доступ к современной сети к общедоступным и частным сетям.
• Управление доступом для отслеживания, просмотра и автоматизации доступа пользователей и систем.

Эта унифицированная платформа помогает защитить все учетные записи — как принадлежащие людям, так и нечеловеческие, — обеспечивая при этом безопасный доступ в облачных и гибридных средах. Благодаря встроенным инструментам для управления, настройки прав доступа и автоматизации Microsoft Entra предоставляет организациям гибкие возможности управления идентификационными данными на всех уровнях.

Идентификация рабочей нагрузки Microsoft Entra

По мере того как компании используют все больше автоматизации, облачных приложений и подключенных служб, управление программными идентификаторами становится столь же важным, как и обеспечение безопасности идентификаторов пользователей-людей. Идентификация рабочей нагрузки Microsoft Entra предоставляет централизованные инструменты для защиты таких нечеловеческих учетных записей — включая субъекты-службы, приложения и управляемые удостоверения, — что помогает командам:
 

• Назначайте доступ без использования жестко закодированных учетных данных
• Отслеживайте связи программного обеспечения между средами
• Отслеживайте состояние и использование удостоверений

В сочетании с Защитой Microsoft Entra ID решение Идентификация рабочей нагрузки непрерывно отслеживает нечеловеческие удостоверения на предмет признаков компрометации — таких как утечка секретов, аномальные схемы входа или совпадения с данными аналитики угроз, — и помечает их для принятия незамедлительных мер по устранению проблемы.

Функции и возможности

Обеспечьте безопасный доступ для нечеловеческих учетных записей в масштабных средах с помощью функций Идентификации рабочей нагрузки Microsoft Entra, таких как:
 

• Автоматическое обнаружение удостоверений. Обнаруживайте и проводите инвентаризацию удостоверений задач — таких как приложения, службы и скрипты — в средах Azure и гибридных средах.
• Проверка подлинности без учетных данных. Избавьтесь от необходимости хранить пароли или ключи доступа в коде, используя управляемые удостоверения и временные токены для безопасного автоматизированного доступа.
• Обеспечение доступа на основе принципа минимальных привилегий. Применяйте разрешения на основе ролей, ограничивая доступ рамками, необходимыми для выполнения конкретных задач, — это поможет снизить риски, связанные с избыточными полномочиями учетных записей.
• Условный доступ для рабочих нагрузок. Применяйте политики в реальном времени, учитывающие уровень риска, местоположение и контекст, чтобы распространить механизмы контроля модели "Никому не доверяй" на нечеловеческие учетные записи.
• Централизованный мониторинг и отчетность. Обеспечивайте видимость действий удостоверений рабочих нагрузок благодаря встроенным средствам ведения журналов, обнаружения аномалий и формирования отчетности, готовой к аудиту.
• Интеграция с экосистемой Microsoft Entra. Используйте Идентификация рабочей нагрузки Microsoft Entra в сочетании с Entra ID, ID Protection, Управлением идентификацией и другими инструментами Microsoft Security для обеспечения унифицированной защиты удостоверений.

Результаты

Организации, использующие Идентификацию рабочей нагрузки Microsoft Entra, могут:
 

• Автоматически обнаруживайте и управляйте удостоверениями рабочих нагрузок в Azure и других средах.
• Обеспечьте соблюдение принципа минимальных привилегий с помощью управления доступом на основе ролей и политик условного доступа.
• Усильте защиту учетных данных: исключите жестко закодированные секреты и внедрите безопасные методы проверки подлинности.
• Повысьте уровень видимости системы безопасности за счет непрерывного мониторинга и выявления рисков на основе анализа активности.
• Упростите процессы аудита и обеспечения соответствия требованиям благодаря централизованному управлению идентификационными данными и контролю политик.

Примеры сценариев, отражающих реальные проблемы

Автоматизация безопасного выпуска программного обеспечения в сфере финансовых служб

Финансовая организация разрабатывает и внедряет клиентские приложения, используя автоматизированные инструменты для создания и запуска программного обеспечения. Для снижения риска утечки учетных данных они используют Идентификацию рабочей нагрузки Microsoft Entra, чтобы назначать управляемые удостоверения каждому этапу цикла выпуска.

Это помогает организации:
 

• Устраните жестко закодированные секреты в сценариях автоматизации.
• Ограничьте доступ к конфиденциальным финансовым данным и API в зависимости от среды и задачи.
• Ускорьте проверки на соответствие требованиям, обеспечив четкую прослеживаемость доступа.

Обеспечение доверенного обмена данными в системах Интернета вещей (IoT) в сфере здравоохранения

Поставщик медицинских услуг использует подключенные к Интернету медицинские устройства для сбора и отправки телеметрии пациентов в облачные приложения для мониторинга в реальном времени. Каждому устройству присваивается уникальный идентификатор с использованием Идентификации рабочей нагрузки Microsoft Entra для проверки подлинности и обеспечения безопасности обмена данными.

При таком подходе поставщик может:
 

• Автоматически проверять подлинность устройств перед передачей данных о пациентах.
• Не допускать неавторизованные устройства к доступу к регулируемым системам здравоохранения.
• Упростить управление идентификаторами при замене или вывода устройств из эксплуатации.

Защита доступа для торговых ботов автоматизации

Крупная розничная сеть использует ботов на базе ИИ для отслеживания запасов, повторного заказа товаров и анализа тенденций в точках продаж. Каждому боту требуется настроенный доступ к внутренним системам, например к базам данных инвентаризации или API поставщиков. Идентификация рабочей нагрузки Microsoft Entra позволяет ИТ-команде назначать и обеспечивать соблюдение точных прав доступа для каждого бота.

Это позволяет бизнесу:
 

• Назначать доступ на основе конкретной функции каждого бота.
• Уменьшить риски, избегая широких разрешений, заданных по умолчанию.
• Проводить аудит действий для соблюдения внутренних и отраслевых стандартов.