Zero Trust in zasebne naprave

graph TD
    C["Odjemalec: Access, Excel, Power BI, poslovna aplikacija – službeni računalnik, zasebna naprava, zunanji izvajalec"] -->|"zahteva s prijavo"| S["Signali: izvor, država, postopek prijave, oseba, ključ, 2FA"]
    S --> R["Pravilnik prijave: zavrnitev, zahteva kode ali nič"]
    R --> A["Pravice: alias, objekt, metoda, samo za branje; omejitve ključa"]
    A --> D[("Podatkovna zbirka: pogledi in procedure za vrstice in stolpce")]
    R --> L["Dnevniki: dogodek prijave, revizijska sled, ugotovitve, dnevnik sprememb"]
    A --> L

Slika: Vsaka zahteva gre skozi isto verigo. Pravilnik in pravice določite vi; prehod ju uveljavi pri vsaki zahtevi in zapiše, kako se je odločil.

Podatkovni prehod ne določa poslovnega pravilnika. Ali sme zasebni prenosnik videti podatke strank, ali zaposleni dela iz tujine in ali zunanji izvajalec dobi dostop za dva tedna, odločite vi kot upravitelj. Prehod vam omogoča, da te odločitve nastavite; uveljavi jih pri vsaki zahtevi in jih zapiše, tako da jih lahko pozneje dokažete. Na tej strani je opisano, katere signale ima prehod na voljo, kako zanesljivi so in kje so meje.

Ključne funkcije

Brez zaupanja zgolj na podlagi omrežja. Vsaka zahteva vsebuje prijavo; v omrežju podjetja lahko odpade koda 2FA, prijava pa nikoli.
Dostop po osebi in namenu. Oseba ima več osebnih ključev, po enega za vsako napravo ali namen, vsak omejen, časovno omejen in posamično preklicljiv.
Pravilnik po situaciji. Pravila prijave zahtevajo 2FA ali zavrnejo dostop glede na postopek prijave, omrežje, državo, operaterja omrežja, program, uro, osebo in skupino Windows; izjeme lahko veljajo le do določenega časa.
Najmanjše potrebne pravice do ravni objekta. Pravila navajajo aliase, vrste objektov, posamezne objekte, metode HTTP in način samo za branje; podatkovna zbirka omeji vrstice in stolpce s pogledi, pod prijavo osebe.
Takojšen preklic. Preklicani ključi, onemogočene osebe in končane seje začnejo veljati z naslednjo zahtevo.
Dokazila. Dogodki prijave z izvorom in razlogom, revizijski vnos za vsako zahtevo, ugotovitve pravil prijave in dnevnik sprememb vseh nastavitev.

Osnovni pojmi

Kaj prehod ugotovi in česa ne

Prehod razlikuje tri vrste podatkov: kaj opazi na lastni povezavi, kaj odjemalec le navaja in kaj potrdi zaupanja vredna stran. Navedeni podatki lahko v pravilih dostop le omejijo, sami nikoli ne veljajo kot izjema.

Podatek	Vrsta	Kot pogoj pravila	Meja
Omrežni naslov zahteve (za zaupanja vrednim posredniškim strežnikom posredovani)	opažen	da: omrežja, lastna omrežja	Za NAT ali posredniškim strežnikom je to naslov te naprave
Država in omrežni operater iz naslova	opažen, ocenjen	da: država, operater omrežja	VPN, mobilna omrežja in izhodi v oblaku premaknejo državo in operaterja omrežja
Postopek prijave (Windows, osebni ključ, prijava SQL Server, ključ storitve)	potrjen	da	–
Oseba in skupine Windows	potrjen	da	Skupine le pri prijavi z računom Windows
2FA (koda iz aplikacije za preverjanje pristnosti)	potrjen	da	Dokazuje posest telefona, ne naprave, ki pošilja zahtevo
Program (`User-Agent`)	naveden	da, za omejitev; kot edini pogoj izjeme izvzame vsakogar, ki pošlje to besedilo	Excel in Power BI Desktop pošiljata isto besedilo; vsak program se lahko izdaja za drugega
Ura	opažen	da: časovna okna	Časovni pas iz `Gateway:SignInLog:TimeZone`
Stanje naprave (upravljana, šifrirana, protivirusni program posodobljen)	–	ne	Prehod ni povezan z upravljanjem naprav (MDM) ali zaščito končnih točk

Prehod ne trdi ničesar o napravi, ki je ne more preveriti. “Zasebne naprave” kot take ne prepozna. Lahko pa razlikuje, kako in od kod se nekdo prijavi: prijava z računom Windows iz omrežja podjetja skoraj vedno prihaja s službenega računalnika v domeni; osebni ključ iz interneta lahko prihaja s katere koli naprave. Navodila v nadaljevanju uporabljajo prav to razliko.

Česa prehod ne nadzoruje

Podatkov na napravi. Kar je odjemalec prejel, ostane tam: v datoteki Excel, v predpomnilniku Power BI, v podatkovni zbirki Access. Shranjevanja, kopiranja in tiskanja prehod ne nadzoruje; to je naloga upravljanja naprav in aplikacije.
Stanja telefona z aplikacijo za 2FA. Koda dokazuje posest aplikacije, ne pa, da je naprava, ki pošilja zahtevo, varna.
Poslovnih pravil za posamezne vrstice. Ali sme zastopnik videti določeno stranko, odloči podatkovna zbirka (pogled, procedura), ne drug sistem pravil v prehodu; glejte Omejitev po vrsticah.

Vsakdanje situacije

Situacija	Glavni ukrep	Navodilo
Upravljan službeni računalnik	prijava z računom Windows, pravila po skupini Windows, omrežje podjetja	Nastavitev prijave z računom Windows, Stopnjevanje dostopa glede na lokacijo
Zasebni prenosnik	lasten osebni ključ, omejen, od zunaj s kodo	Dostop z zasebnih naprav
Zaposleni v tujini	pravilo po državi, časovno omejena izjema	Dostop na potovanju
Zastopnik z lastno napravo	pogled za vsakega zastopnika, pravilo za pogled, časovno omejen ključ	Omejitev zastopnikov na njihove stranke
Excel in Power BI	en ključ za vsak namen, samo za branje, en alias	Ločevanje poročil in osveževanja
Poslovna aplikacija v Accessu in VBA	posredovanje osebe strežniku SQL Server, lasten alias za vsako aplikacijo	Povezava poslovne aplikacije
Neznana ali sumljiva naprava	zavrnitev po izvoru, koda, ugotovitve z obvestilom	Preverjanje vzorcev prijav in njihovega izvora
Začasni zunanji izvajalec	oseba s časovno omejenim ključem, ključ na zahtevo	Časovno omejen dostop
Izgubljena naprava	preklic ključa, končanje sej, ponastavitev 2FA	Ukrepanje ob izgubljeni napravi
Revizija	dogodek prijave, revizijska sled, dnevnik sprememb, pojasnilo pravilnika	Sledenje odločitvi o dostopu

Preverjanje pravila pred uveljavitvijo

Pravilo prijave v načinu uveljavljanja začne veljati takoj, ko ga shranite. Novo pravilo zato najprej preverite v načinu preizkusa:

Pravilo ustvarite z Mode = Report. Oceni se pri vsaki prijavi, a ničesar ne spremeni.
Z ukazom explain-sign-in za tipične osebe in izvore ugotovite, kako bi pravilo odločilo (tried).
Počakajte nekaj dni resničnega delovanja in v SignInRuleReports poglejte, koliko prijav bi zadelo, od koliko oseb in izvorov. Posamezne prijave najde SignInEvents s contains(Rules,'"mode":"report"').
Če je rezultat ustrezen, pravilo preklopite na Enforce; sicer prilagodite pogoje ali izjeme in preizkušajte naprej.

Podrobnosti so v razdelku Preizkus pravila.

Zavrnitve ustvarite z ukazom save-sign-in-rule v enem koraku skupaj z izjemami, da se med dvema spremembama ne zaklenete (glejte Pravilnik prijave in 2FA).