Що таке програмні ідентичності?

Існують різні типи програмних ідентичностей, і процеси створення, використання й керування для них в організації відрізняються. Кожен тип виконує конкретну роль, але всі вони призначені для того, щоб допомагати програмним системам безпечно отримувати доступ до ресурсів без участі людини.

Ось десять найпоширеніших типів таких загроз:

1. Облікові записи служб – це часто використовувані облікові записи, що створюються вручну та дають змогу програмам або службам взаємодіяти із системами. Вони використовуються для:
 

• - виконання фонових або автоматизованих завдань;
• - доступу до файлів або баз даних;
• - підключення служб між різними системами.

Щоб виконувати рутинні системні завдання, багато організацій використовують облікові записи служб, але без належного керування вони можуть отримати доступ до частин системи, які їм насправді не потрібні, що може підвищити ризик для безпеки.

2. Керовані ідентичності автоматично створюються й керуються хмарними платформами, тому контролювати, до чого може отримувати доступ програмне забезпечення, простіше. Кожна ідентичність пов’язана з певною системою або службою та існує лише доти, доки вона потрібна. Завдяки цьому розробникам не доводиться вручну обробляти імена користувачів або паролі, що знижує ризик витоку даних і підвищує рівень безпеки. Їх часто використовують для:
 

• - безпечної автентифікації в хмарних службах без збереження конфіденційних даних, таких як паролі, ключі API або маркери доступу;
• - призначення дозволів на доступ на основі ролей із мінімальним обсягом налаштування;
• - ефективнішого керування програмними ідентичностями в міру розширення хмарних середовищ.

Використання керованих ідентичностей допомагає спростити доступ, зменшити потребу в керуванні обліковими даними та знизити ризик того, що програмне забезпечення матиме більше доступу, ніж потрібно.

3. Принципали служб – це ідентичності системи безпеки, які використовують програми або служби для доступу до хмарних ресурсів. Вони діють як ідентичність програми в межах платформи ідентичностей і широко використовуються для:
 

• - завдань з автоматизації та створення сценаріїв;
• - створення, тестування й розгортання робочих процесів;
• - підключень між хмарними службами та сторонніми інструментами.

Принципали служб забезпечують гнучкий детальний контроль над тим, до чого може отримати доступ програмне забезпечення, але їх потрібно уважно відстежувати, щоб уникнути зловживань і зберегти безпеку систем.

4. Агенти ШІ – це новий клас програмних ідентичностей. Агенти на основі агентного ШІ – це автономні, динамічні програмні ідентичності, які можуть міркувати, делегувати завдання та діяти в різних системах без прямого людського втручання. На відміну від традиційних NHI, агенти ШІ можуть:
 

• - створюватися за потреби та використовуватися в кількох доменах;
• - отримувати доступ до API, баз даних і служб за допомогою тимчасових або контекстних облікових даних;
• - обмірковувати завдання й змінювати ролі – іноді діючи як системні агенти, іноді від імені людей.

Динамічний життєвий цикл агента ШІ кидає виклик традиційним системам автентифікації, таким як OAuth або SAML, які розроблено для статичних людських або машинних ідентичностей. Використання агентів ШІ додає нові вимоги до ваших стратегій керування програмними ідентичностями, такі як:
 

• Використання тимчасових облікових даних, які діють недовго і автоматично скасовуються.
• ⁠Оцінювання відповідності політикам у реальному часі, яке надає динамічний доступ із мінімально необхідними правами.
• ⁠Підзвітність і можливість перевірки для автономних дій, які виконують агенти.
• Нагляд із боку людини за конфіденційними або високоризикованими завданнями, які виконують агенти.

Без належного керування агенти ШІ можуть створювати багато некерованих ідентичностей, що призводить до розростання обсягу облікових даних, поступового розширення прав і появи сліпих зон у системі безпеки.

Оскільки організації використовують дедалі більше програмних інструментів і служб, кількість програмних ідентичностей продовжує зростати – а разом із нею й потреба в раціональному керуванні ними. Без ретельного моніторингу ці ідентичності можуть стати прихованими прогалинами в безпеці, особливо якщо вони мають забагато прав доступу, не відстежуються або залишаються активними, коли вони вже не потрібні. Ефективне керування ними допомагає зменшити ризики, підвищити видимість і захистити ваші системи.

Переваги

Керування програмними ідентичностями передбачає виявлення, впорядкування, захист і моніторинг ідентичностей, які належать програмам, інструментам, ботам та іншим автоматизованим системам. Це передбачає:
 

• створення ідентичностей із використанням надійних угод про іменування й доступ;
• призначення ролей і дозволів на основі того, що потрібно кожній системі;
• захист облікових даних, наприклад маркерів, ключів і сертифікатів;
• моніторинг використання для виявлення незвичної поведінки або зловживання правами;
• автоматичне видалення невикористовуваних або прострочених ідентичностей.

Важливість

Організаціям слід використовувати такі інструменти, як системи керування ідентичностями та доступом (IAM), щоб допомогти командам безпеки керувати як людськими, так і програмними ідентичностями з одного центру.

Для програмних ідентичностей системи керування ідентичностями та доступом надають такі можливості:
 

• огляд того, які системи отримують доступ до яких ресурсів;
• керування доступом на основі політик для застосування дозволів із мінімально необхідними правами;
• автоматизація життєвого циклу, що дає змогу зменшити обсяг ручного обслуговування;
• моніторинг і журналювання для виявлення зловживань або ризикованої поведінки;
• ротація та зберігання облікових даних у сховищі для кращого захисту.

Ці інструменти допомагають командам безпеки та ІТ забезпечити надійну роботу програмних ідентичностей у визначених межах й гарантувати, що вони не створюватимуть прогалин у відповідності, видимості чи керуванні.

Рекомендації

Ефективне керування програмними ідентичностями потребує балансу між безпекою, автоматизацією та видимістю. Ці рекомендації допомагають зменшити ризики, уникнути розростання ідентичностей і забезпечити захист ваших систем у міру їхнього зростання.

1. Застосовуйте доступ із мінімальними правами. Надавайте кожній ідентичності лише ті дозволи, які їй потрібні, – і нічого зайвого. Намагайтеся не надавати широких прав доступу або прав адміністратора. Це мінімізує вплив у разі компрометації ідентичності.

2. Автоматизуйте керування життєвим циклом. Використовуйте інструменти керування ідентичностями, щоб автоматизувати створення, ротацію та видалення програмних ідентичностей. Прив’язування облікових записів до життєвого циклу завдання або служби, які вони підтримують, допомагає уникнути ситуації, коли у вашому середовищі залишаються невикористані облікові записи.

3. Використовуйте керовані ідентичності, якщо це можливо. У хмарних середовищах керовані ідентичності автоматично забезпечують захищений доступ і оновлення паролів. Це означає, що немає потреби зберігати конфіденційні відомості, як-от паролі або ключі доступу, у вашому коді.

4. Централізуйте видимість і керування. Відстежуйте всі програмні ідентичності через централізовану систему IAM. Видимість у хмарних, локальних і гібридних середовищах полегшує виявлення невикористовуваних, неправильно налаштованих або ризикованих ідентичностей.

5. Захищайте облікові дані. Зберігайте конфіденційні відомості, як-от паролі, ключі доступу та сертифікати безпеки, у захищеній системі зберігання, а не в коді програми чи файлах налаштувань. Оновлюйте їх регулярно та стежте за будь-якою незвичною активністю.

6. Відстежуйте й перевіряйте дії. Налаштуйте журналювання та сповіщення, щоб відстежувати, як використовуються програмні ідентичності. Виявляйте незвичні або надмірні спроби доступу чи неочікувану поведінку, які можуть вказувати на зловживання.

7. Регулярно переглядайте та очищайте ідентичності. Заплануйте регулярні перевірки програмних ідентичностей та їхніх дозволів. Видаляйте невикористовувані ідентичності та обмежуйте надто широкий доступ, щоб підтримувати порядок і безпеку у вашому середовищі.

Запровадження цих рекомендованих методів допомагає організаціям випереджати ризики, пов’язані з ідентичностями, і водночас упевнено підтримувати автоматизацію та інновації.

Результати
 

• Вищий рівень безпеки завдяки обмеженню точок доступу, які часто залишаються поза увагою.
• Простіші перевірки та відповідність вимогам завдяки кращому відстеженню того, хто або які системи мають доступ.
• Менша ймовірність помилок або надмірного використання доступу завдяки ефективному керуванню дозволами.
• Підвищена ефективність завдяки автоматизованому налаштуванню, моніторингу та очищенню ідентичностей.

Коли застосовуються правильні системи та методи, керування програмними ідентичностями дає можливість посилити безпеку та водночас підтримати швидкість і масштаб сучасних ІТ-операцій.

Керування доступом у сучасному світі, підключеному до хмари, потребує більшого, ніж просто традиційні інструменти для роботи з ідентичностями. Рішення Microsoft для керування ідентичністю та доступом допомагають організаціям захищати користувачів, пристрої, програми та автоматизовані служби незалежно від того, звідки вони підключаються або які методи чи технології використовують.

Рішення Microsoft Entra для керування ідентичністю та мережевим доступом розроблено, щоб запобігати атакам, забезпечувати доступ із мінімальними привілеями та покращувати взаємодію з користувачами, водночас надаючи захищений доступ до ресурсів. Такі інструменти, як Microsoft Entra ID, Керування ідентифікатором Microsoft Entra, Зовнішній ID Microsoft Entra та ID робочих навантажень Microsoft Entra, створено спеціально для керування програмними ідентичностями.

Комплексне рішення для керування доступом Microsoft Entra забезпечує захищений доступ для робочих, клієнтських, партнерських і програмних ідентичностей до ресурсів у локальних і хмарних середовищах. Воно включає такі можливості:
 

• єдиний вхід для спрощеного доступу до програм і служб;
• багатофакторна автентифікація, зокрема без автентифікація без пароля та двофакторна автентифікація, наприклад із використанням біометрії, ключів FIDO та програм-автентифікаторів;
• ⁠керування привілейованим доступом для захисту та моніторингу облікових записів із високим рівнем впливу та підвищеним рівнем дозволів;
• безпека входу, яка захищає від атак прямим добором, повторного використання паролів і перехоплення сеансів;
• ⁠умовний доступ, який коригує дозволи на основі сигналів у реальному часі, як-от рівень ризику, розташування та справність пристроїв;
• захист ідентичностей завдяки виявленню загроз у реальному часі та автоматизованому реагуванню;
• сучасний мережевий доступ до загальнодоступних і приватних мереж;
• керування доступом для моніторингу, перевірки й автоматизації того, як користувачі та системи отримують доступ.

Ця уніфікована платформа допомагає захищати всі ідентичності – людські й програмні, – водночас підтримуючи захищений доступ у хмарних і гібридних середовищах. Завдяки вбудованим інструментам для керування, дозволів і автоматизації Microsoft Entra надає організаціям гнучкі можливості керування ідентичностями на кожному рівні.

ID робочих навантажень Microsoft Entra

Оскільки компанії використовують дедалі більше інструментів автоматизації, хмарних програм і підключених служб, керування програмними ідентичностями стає настільки ж важливим, як і захист людських ідентичностей. ID робочих навантажень Microsoft Entra надає централізовані інструменти для захисту таких програмних ідентичностей – зокрема принципалів служб, програм і керованих ідентичностей, – щоб допомогти командам:
 

• - надавати доступ без жорстко кодованих облікових даних;
• - відстежувати підключення ПЗ в різних середовищах;
• - моніторингу справності й використання ідентичностей.

Разом із Захистом ідентифікатора Microsoft Entra рішення "ID робочих навантажень" безперервно відстежує програмні ідентичності на наявність ознак компрометації – таких як витоки секретів, незвичні моделі входу або збіги з даними аналізу загроз – і позначає їх для негайного усунення.

Функції

Захищайте програмний доступ у великих середовищах за допомогою функцій рішення "ID робочих навантажень Microsoft Entra", таких як:
 

• Автоматичне виявлення ідентичностей. Виявляйте й інвентаризуйте ідентичності завдань – наприклад, програми, служби й сценарії – у середовищах Azure і гібридних середовищах.
• Автентифікація без облікових даних. Усуньте необхідність зберігати паролі або ключі доступу в коді, використовуючи керовані ідентифікаційні дані та тимчасові маркери для захищеного автоматичного доступу.
• Застосування доступу з мінімальними правами. Застосовуйте дозволи на основі ролей, які обмежують доступ лише областю, необхідною для кожного завдання. Це допоможе зменшити ризик виникнення надмірно привілейованих ідентичностей.
• ⁠Умовний доступ для робочих навантажень. Застосовуйте політики в реальному часі залежно від рівня ризику, розташування та контексту, щоб поширити елементи керування за принципом нульової довіри на програмні ідентичності.
• ⁠Централізований моніторинг і звітування. Відстежуйте дії ідентичностей робочих навантажень завдяки вбудованому журналюванню, виявленню аномалій і звітності, готовій до аудиту.
• ⁠Інтеграція з екосистемою Microsoft Entra. Використовуйте рішення "ID робочих навантажень Microsoft Entra" разом із такими продуктами, як Entra ID, "Захист ідентифікаторів", "Керування ідентифікатором" та іншими інструментами безпеки Microsoft для уніфікованого захисту ідентичностей.

Результати

Організації, які використовують ID робочих навантажень Microsoft Entra, можуть:
 

• автоматично виявляти й контролювати ідентичності робочих навантажень у середовищах Azure та інших середовищах;
• ⁠застосовувати доступ із мінімальними правами за допомогою керування доступом на основі ролей і політик умовного доступу;
• посилити захист облікових даних, усунувши жорстко кодовані секрети та ввімкнувши надійні методи автентифікації;
• ⁠покращити огляд системи безпеки завдяки безперервному моніторингу та виявленню ризиків на основі дій;
• ⁠спростити аудит і дотримання вимог за допомогою централізованого керування ідентичністю та політик.

Приклади сценаріїв, які відображають реальні труднощі

Автоматизація захищених випусків програм у сфері фінансових послуг

Фінансова установа створює й розгортає програми для клієнтів, використовуючи автоматизовані інструменти для створення та запуску програмного забезпечення. Щоб зменшити ризик розкриття облікових даних, вони використовують ID робочих навантажень Microsoft Entra для призначення керованих ідентичностей кожному етапу циклу випуску.

Це допомагає організації:
 

• виключити жорстко кодовані секрети в сценаріях автоматизації;
• обмежити доступ до конфіденційних фінансових даних і API з урахуванням середовища й завдання;
• прискорити перевірки відповідності, ведучи чіткі журнали доступу.

Підтримка надійного обміну даними в системах IoT для охорони здоров’я

Постачальник послуг охорони здоров’я використовує медичні пристрої з підтримкою IoT, щоб збирати й надсилати телеметричні дані пацієнтів до розміщених у хмарі програм для моніторингу в реальному часі. Кожному пристрою присвоюється унікальна ідентичність за допомогою ID робочих навантажень Microsoft Entra, щоб перевіряти його автентичність і забезпечувати захищений зв’язок.

Таким чином постачальник може:
 

• автоматично автентифікувати пристрої, перш ніж вони почнуть передавати дані пацієнтів;
• заборонити доступ неавторизованих пристроїв до регульованих систем охорони здоров’я;
• спростити керування ідентичностями під час заміни пристроїв або виведення їх із експлуатації.

Захист доступу для ботів автоматизації роздрібної торгівлі

Велика роздрібна мережа використовує ботів на основі ШІ для відстеження запасів, повторного замовлення товарів і аналізу тенденцій у точках продажу. Кожному боту потрібен індивідуальний доступ до внутрішніх систем, як-от бази даних запасів або API постачальників. ID робочих навантажень Microsoft Entra дає ІТ-команді змогу призначати й застосовувати точні дозволи для кожного бота.

Це дає компанії змогу:
 

• призначати доступ на основі конкретної функції кожного бота;
• мінімізувати ризик, уникаючи надання широких стандартних дозволів;
• перевіряти дії на предмет дотримання внутрішніх і галузевих стандартів.