როლური დელეგაცია და წვდომა

(განყოფილება: ოპერაციები და კონტროლი)

1) რატომ არის როლური დელეგაცია

მიზანია თითოეულ მონაწილეს (თანამშრომელს, პარტნიორს, მომსახურებას) მივცეთ ზუსტად იმდენი უფლებები, რამდენიც საჭიროა და ზუსტად იმდენი დრო, რამდენიც საჭიროა, მოქმედების სრული კვალიფიკაციით. ეს ამცირებს გაჟონვის და ბოროტად გამოყენების რისკებს, აჩქარებს ონბორდინგს და აუდიტს.

2) წვდომის მოდელი: დონე და დომენები

წვდომის დომენები: ადამიანები (კონსოლი/პანელები), სერვისები (მანქანების ნიშნები), მონაცემები (ცხრილები/ობიექტები), ინფრასტრუქტურა (ღრუბელი/K8s), კონტრარგუმენტები (გარე ინტეგრაცია), რეგიონები/ტენანტები.
ნდობის დონე: საზოგადოებრივი - შიდა და დაცული (PII/ფინანსები) - განსაკუთრებით კრიტიკული (გასაღებები/გადახდები).
ოპერაციების ზონები: staging/sandbox; წესი "ქვემოთ" "ზემოთ" - მხოლოდ დამტკიცებული მილების საშუალებით ".

3) ავტორიზაციის მოდელები

RBAC: როლები უკავშირდება დავალებებს („შინაარსის რედაქტორი“, „გადახდის ოპერატორი“). მარტივი დასაწყისი, ადვილია შემოწმება.
ABAC: პოლიტიკოსები საგნის/რესურსის/კონტექსტის ატრიბუტებზე (რეგიონი, ტენანტი, შეცვლა, მოწყობილობა, რისკის ესკალაცია).
ReBAC (relationship-based): უფლებები მიჰყვება კავშირებს (პროექტის მფლობელი, გუნდის წევრი).
ჰიბრიდი: RBAC საბაზო მატრიცისთვის, ABAC კონტექსტური შეზღუდვებისთვის, ReBAC მფლობელობისთვის.

4) მინიმალური დაშვება

დაწყება - მინიმალური ნაგულისხმევი როლები (read-only, PII- ის გარეშე).
ზრდა - მხოლოდ განაცხადის საშუალებით დასაბუთებით, ვადით და მფლობელით.
დროის ლიმიტი (TTL): უფლებები „დნება“ ავტომატურად; გაფართოება - შეგნებულად.
კონტექსტური გვარდიის რეილები: რეგიონი/ტენანტი, საათის საათები, მოწყობილობა, გეო.

5) პასუხისმგებლობის გამიჯვნა (SoD)

• "იწყებს შეზღუდვებს", - აცხადებენ ლიმიტები. "
• „ამზადებს გადახდას“, „ხელს აწერს გადახდას“.
• "წერს კოდს". ის გამოუშვებს ".
• „Admin BD“ - „კითხულობს PII ანალიტიკაში“.
• გააცნობიერეთ SoD პოლიტიკოსებში და თავად პროცესებში (ორი პუნქტი, M-of-N).

6) JML პროცესები (Joiner/Mover/Leaver)

Joiner: ძირითადი როლების მანქანის დანიშვნა თანამდებობაზე/გუნდში/რეგიონში, წვდომის ჩამონათვალი 24ch.
Mover: როლების გადასინჯვა გუნდის/პროექტის შეცვლისას; „ძველი“ უფლებების ავტომატური ამოღება.
Leaver: სესიების, გასაღებების, ნიშნების მიმოხილვა; საიდუმლოებების ხელახლა გამოცემა, საკუთრების გადაცემა არტეფაქტებით.

7) დროებითი პრივილეგიები: JIT/PAM

Just-In-Time (JIT): განაცხადის უფლებების ამაღლება 15-240 წუთის განმავლობაში MFA- ით და თიკეტის დასაბუთებით.
PAM (პირადი წვდომის მენეჯმენტი): მარიონეტული/შეყვანა „ჩანართის ქვეშ“, სესიების ჩანაწერი, ბრძანების ჟურნალი.
Break-glass: გადაუდებელი წვდომა მყისიერი ალერტით, მოკლე TTL და სავალდებულო პოსტ-mortem.

8) მომსახურების იდენტურობა და გასაღებები

Service Accounts: თითოეული მომსახურებისა და გარემოსთვის ცალკეული, არ არსებობს საიდუმლოებები.
Workload Identity: ნიშნების მიბმა/viru/ფუნქციებზე; ხანმოკლე კრედიტები.
საიდუმლოებები: KMS/Vault, როტაცია, ორმაგი წრიული დაშიფვრა, ლოგოებში შესვლის აკრძალვა.
ხელმოწერების/გადახდების გასაღებები: threshold/MPC, აპარატურა HSM, ნდობის დომენები.

9) SSO/MFA/SCIM და ანგარიშების სასიცოცხლო ციკლი

SSO: IDP (SAML/OIDC), ერთი შესასვლელი, პაროლების/მოწყობილობების ცენტრალიზებული პოლიტიკა.
MFA: სავალდებულოა ადმინ/ფინანსებისთვის/PII; სასურველია FIDO2.
SCIM: ავტომატური შექმნა/მოცილება/შეცვლა ანგარიშები და ჯგუფები.
Device Posture: პირობითი წვდომა მოწყობილობის მდგომარეობის მიხედვით (დისკის დაშიფვრა, EDR, შესაბამისი პატჩი).

10) პოლიტიკა-კოდი და გადამოწმება

OPA/Authorization Service: პოლიტიკა კოდის სახით (Rego/JSON), შურისძიება PR- ის საშუალებით, ტესტები.
დრიფტის კონტროლი: რეგულარული შედარებები „ფაქტობრივად გამოცხადებულია vs“.
წინასწარი ფრენის შემოწმება: „დაუშვებს თუ არა პოლიტიკოსი ასეთ ოპერაციას?“ - გამოსცადეთ საქმეები გამოსვლამდე.

11) მონაცემების წვდომა

კლასიფიკაცია: საზოგადოების/შიდა/შეზღუდული/PII/ფინანსები.
„მინიმუმის“ წნევა: აგრეგატები/ნიღბები „ნედლეული“ მონაცემების ნაცვლად; PII მოთხოვნები - მხოლოდ დამტკიცებული ჯობის საშუალებით.
Tokenization/DE-ID: იდენტიფიკატორების შეცვლა, მოთხოვნის აუდიტი.
ფენები: prod, prektiles, wintrings - აგრეგატები; Prod BD- ზე პირდაპირი წვდომაა მხოლოდ JIT/PAM.

12) ღრუბელი, K8s, ქსელი

Cloud IAM: პერ ანგარიშის/პროექტის როლები; ადმინის ნაგულისხმევი აკრძალვა; ტეგების/მამების მოქმედების შეზღუდვა.
Kubernetes: RBAC Neimespaces, PSP/მსგავსი პოლიტიკოსები „კერძო“ გარეშე, სურათი-ალოვლისტი, საიდუმლოებები CSI- ს მეშვეობით, მომსახურების ანგარიშები per-on.
ქსელი: Zero-Trust (mTLS, პირადობის ჩვენება), jump-host- ზე წვდომა - მხოლოდ JIT, SSH სესიების ჩაწერა.

13) გარე პარტნიორები და ინტეგრაცია

იზოლირებული ტენანტები/გასაღებები, მინიმუმ OAuth2 ნაკრები, მოკლე TTL ტოქსინები.
ვებჰუკი: ხელმოწერა (HMAC/EdDSA), 'nonce + timestamp', ვიწრო მისაღები ფანჯარა.
გრაფიკული გასაღებების როტაცია, კომპრომისული მიმოხილვა, სტატუს ენდოინტი „ჯანმრთელობისთვის“.

14) აუდიტი, რეცენზიფიკაცია, მოხსენებები

Immutability: WORM ჟურნალები, პოლიტიკოსის გამოქვეყნების ხელმოწერები, მერკლის ნაჭრები.
რეცენზია: კრიტიკული როლების კვარტალური შემოწმება, ყოველთვიურად - admin უფლებები.
კარანტინი მართალია: „გამოუყენებელი 60 დღე“ - მანქანების ამოღება.
Evidence pack: როლების მატრიქსის გადმოტვირთვის, SoD ოპერაციების, JIT განაცხადების, PAM სესიების ჩაწერა.

15) მეტრიკა და SLO

TTG (Time-to-Grant): საშუალო წვდომა სტანდარტულ განაცხადზე (მიზანი 4ch).
JIT წვდომის წილი „პრივილეგირებულ“ შორის (მიზანი 80%).
SoD-violations: 0-ში, აღმოფხვრის დრო 24h.
მართლწერის უფლებები: ჭარბი უფლებების მქონე მომხმარებელთა% (მიზანი - 0. 0x%).
საიდუმლოებების როტაცია: საიდუმლოების საშუალო ასაკი (მიზანი მგრძნობიარე ადამიანებისთვის 30 დღე).
აუდიტის დაფარვა: სასურველი მოქმედებების 100% არტეფაქტებით (ჩანაწერები, ქვითრები).

16) დაშბორდი

Access Health: აქტიური როლები, მართლწერის უფლებები, JIT vs მუდმივი.
PAM & Sessions: პრივილეგირებული სესიების რაოდენობა, ხანგრძლივობა, MFA- ს წარმატება.
SoD & Incidents: დაბლოკვის სტატისტიკა, მიზეზები, MTTR.
Secrets & Keys: მომავალი როტაციის ასაკი, „წითელი“ გასაღებები.
JML: SLA Onboarding/offboarding, ვადაგადაცილებული განაცხადები.
Audit Evidence: კვარტალური რეცენზიფიკაციის სტატუსი, completeness 100%.

17) ინციდენტების ფლეიბუკი

ნიშნის/გასაღების კომპრომისი: დაუყოვნებლივი მიმოხილვა, გამოყენების გლობალური ძებნა, დამოკიდებულების როტაცია, რეტრო აუდიტი N დღისთვის.
SoD- ის დარღვევა: ოპერაციის ბლოკი, როლის დროებითი გამორთვა, პოსტ-შურისმაძიებელი და პოლიტიკის ცვლილება.
PII- ს უნებართვო წვდომა: იზოლაცია, DPO შეტყობინება, გაჟონვის ინვენტარი, იურიდიული პროცედურები.
Escalation abuse: JIT გაყინვა საგანი/გუნდისთვის, განაცხადების/დასაბუთების ანალიზი, TTL ლიმიტების კორექტირება.

18) ოპერაციული პრაქტიკა

ოთხი თვალი კრიტიკული უფლებების გაცემაზე/შეცვლაზე.
როლების კატალოგი, სადაც აღწერილია დავალებები, რისკები და დასაშვები ოპერაციები.
ტესტის გარემო ანონიმური მონაცემებით და სხვა როლებით.
policy dry-run: გამოყენებამდე ცვლილებების შედეგების სიმულაცია.
GameDays წვდომის თვალსაზრისით: „IDP- ის დაკარგვა“, „PAM- ის უარყოფა“, „საიდუმლოების გაჟონვა“.

19) განხორციელების სია

• ჩამოაყალიბეთ როლებისა და SoD მატრიქსის ტაქსონომია საკვანძო პროცესებზე.
• ჩართეთ SSO + MFA ყველასთვის, SCIM ნაკადები JML- სთვის.
• განლაგება PAM/JIT, კონფიგურაცია break-glass ალერტებით და მოკლე TTL- ით.
• შეიყვანეთ პოლიტიკა-კოდი (OPA), აუდიტი PR და ავტოსადგურების საშუალებით.
• ცალკეული სერვისული ანგარიშები და სამუშაო იდენტურობა; აკრძალული საიდუმლოების აკრძალვა.
• Vault/KMS, საიდუმლოებებისა და გასაღებების რეგულარული როტაცია, კოდის/ლოგიკის საიდუმლოებების აკრძალვა.
• გააზიარეთ გარემო და რეგიონები, გააძლიერეთ ჯვარედინი რეგიონალური წვდომის წესები.
• დაიწყეთ დაშბორდები და SLO, ყოველთვიური მოხსენებები რეცენზიფიკაციის შესახებ.
• გამართეთ უფლებების გრაფიკის SoD სკანი და აღმოფხვრა ესკალაციის გზები.
• რეგულარული წვრთნები და პოსტ-mortems მოქმედების items.

20) FAQ

RBAC ან ABAC?
RBAC არის კითხვის ძირითადი ფენა, ABAC არის კონტექსტი და დინამიკა. გამოიყენეთ ჰიბრიდი.

სჭირდება PAM, თუ არსებობს JIT?
დიახ: PAM იძლევა სესიების ჩაწერას და პრივილეგირებული წვდომის კონტროლირებად არხებს.

როგორ შევამციროთ უფლებების „გაძარცვა“?
TTL როლებზე, გამოუყენებელი მანქანების ამოღება, ყოველთვიური რეცენზიფიკაცია და SoD ალერტები.

რა უნდა გავაკეთოთ გარე კონტრაქტორებთან?
იზოლირებული ტენანტები/ჯგუფები, შეზღუდული ნაკრები, მოკლე TTL, სავალდებულო მოხსენებები და რეცესიფიკაცია.

რეზიუმე: როლური დელეგაცია და წვდომა არ არის „შეცდომების ერთობლიობა“, არამედ უფლებების სასიცოცხლო ციკლი: მინიმალური აუცილებელი როლები, SoD, JIT/PAM, მსგავსი პოლიტიკა, დაკვირვება და რეგულარული რეცენზიფიკაცია. ასეთი წრე აძლევს გუნდებს სწრაფ მუშაობას და ბიზნესისა და აუდიტის პროგნოზირებადი უსაფრთხოებას.