Opracowywanie zgodne z zasadami Zero Trust

Ten artykuł ułatwia deweloperom zrozumienie wytycznych dotyczących modelu Zero Trust w celu zwiększenia bezpieczeństwa aplikacji. Odgrywasz kluczową rolę w zabezpieczeniach organizacji. Aplikacje i ich deweloperzy nie mogą już zakładać, że obwód sieci jest bezpieczny. Naruszone aplikacje mogą mieć wpływ na całą organizację.

Organizacje wdrażają nowe modele zabezpieczeń, które dostosowują się do złożonych nowoczesnych środowisk i korzystają z pracowników mobilnych. Nowe modele chronią osoby, urządzenia, aplikacje i dane wszędzie tam, gdzie się znajdują. Organizacje starają się osiągnąć zero trust, strategię zabezpieczeń i podejście do projektowania i implementowania aplikacji, które są zgodne z następującymi zasadami przewodnimi:

• Zweryfikuj jawnie
• Korzystanie z dostępu z najmniejszymi uprawnieniami
• Przyjmij naruszenie

Zamiast wierzyć, że wszystko za zaporą firmową jest bezpieczne, model Zero Trust zakłada naruszenie i weryfikuje każde żądanie tak, jakby pochodziło z niekontrolowanych sieci. Niezależnie od tego, skąd pochodzi żądanie ani do jakiego zasobu uzyskuje dostęp, model Zero Trust wymaga nigdy nie ufać, zawsze weryfikować.

Dowiedz się, że zero trust nie zastępuje podstaw zabezpieczeń. Dzięki pracy pochodzącej z dowolnego miejsca na dowolnym urządzeniu zaprojektuj aplikacje tak, aby uwzględniały zasady zero trustu w całym cyklu programowania.

Dlaczego warto rozwijać się z perspektywą zero trust?

• Widzimy wzrost poziomu wyrafinowania ataków cyberbezpieczeństwa.
• Praca z dowolnego miejsca na nowo zdefiniowała obwód zabezpieczeń. Dane są dostępne poza siecią firmową i udostępniane zewnętrznym współpracownikom, takim jak partnerzy i dostawcy.
• Aplikacje i dane firmowe są przenoszone ze środowisk lokalnych do środowisk hybrydowych i w chmurze. Tradycyjne mechanizmy kontroli sieci nie mogą już polegać na zabezpieczeniach. Kontrolki muszą przejść do miejsca, w którym znajdują się dane na urządzeniach i wewnątrz aplikacji.

Wskazówki dotyczące rozwoju w tej sekcji pomagają zwiększyć bezpieczeństwo, ograniczyć skutki incydentu związanego z bezpieczeństwem oraz szybko odzyskać po nim za pomocą technologii Microsoft.

Omówienie wskazówek dla deweloperów

• Co oznacza zgodność z zerowym zaufaniem? Zawiera omówienie zabezpieczeń aplikacji z perspektywy dewelopera w celu rozwiązania wytycznych dotyczących zerowego zaufania.
• Użyj najlepszych praktyk zarządzania tożsamością i dostępem Zero Trust w cyklu rozwoju aplikacji, aby projektować bezpieczne aplikacje.
• Metodologie opracowywania oparte na standardach to omówienie obsługiwanych standardów i ich korzyści.
• Obowiązki deweloperów i administratorów dotyczące rejestracji aplikacji, autoryzacji i dostępu ułatwiają współpracę z informatykami.

Uprawnienia i dostęp

• Budowanie aplikacji, które zabezpieczają tożsamość za pomocą uprawnień i zgody zawiera omówienie uprawnień i najlepszych rozwiązań dotyczących dostępu.
• Integrowanie aplikacji z identyfikatorem Entra firmy Microsoft i platformą tożsamości firmy Microsoft ułatwia deweloperom tworzenie i integrowanie aplikacji, które specjalista IT może zabezpieczyć w przedsiębiorstwie.
• Rejestrowanie aplikacji wprowadza deweloperów do procesu rejestracji aplikacji i jej wymagań. Pomaga im to zapewnić, że aplikacje spełniają zasady zerowego zaufania, stosując podejście najmniej uprzywilejowanego dostępu i zakładając, że do naruszeń bezpieczeństwa może dojść.
• Obsługiwane typy tożsamości i kont dla aplikacji z jedną i wieloma dzierżawami wyjaśnia, jak można wybrać, czy aplikacja zezwala tylko użytkownikom z dzierżawy Microsoft Entra, dowolnej dzierżawy Microsoft Entra, lub użytkownikom z osobistymi kontami Microsoft.
• Uwierzytelnianie użytkowników w usłudze Zero Trust pomaga deweloperom poznać najlepsze rozwiązania dotyczące uwierzytelniania użytkowników aplikacji w tworzeniu aplikacji Zero Trust. Zawiera opis, jak zwiększyć bezpieczeństwo aplikacji poprzez zasady zerowego zaufania: minimalnych uprawnień i jawnej weryfikacji.
• Uzyskiwanie autoryzacji dostępu do zasobów pomaga zrozumieć, jak najlepiej zapewnić zero trust podczas uzyskiwania uprawnień dostępu do zasobów dla aplikacji.
• Opracowanie strategii uprawnień delegowanych ułatwia zaimplementowanie najlepszego podejścia do zarządzania uprawnieniami w aplikacji i opracowywania przy użyciu zasad zero trust.
• Opracowywanie strategii uprawnień aplikacji ułatwia podjęcie decyzji o podejściu do uprawnień aplikacji przy zarządzaniu poświadczeniami.
• Żądanie uprawnień wymagających zgody administracyjnej opisuje środowisko uprawnień i zgody, gdy uprawnienia aplikacji wymagają zgody administracyjnej.
• Zmniejszenie uprawnień i aplikacji nadmiernie uprzywilejowanych pomaga ograniczyć uprawnienia do zarządzania dostępem i poprawiania zabezpieczeń.
• Podaj poświadczenia tożsamości aplikacji, gdy nie ma użytkownika wyjaśnia zarządzane tożsamości dla zasobów platformy Azure jako dobre praktyki dla usług (aplikacji bez użytkowników).
• Zarządzanie tokenami dla rozwiązania Zero Trust ułatwia deweloperom tworzenie zabezpieczeń w aplikacjach przy użyciu tokenów identyfikatorów, tokenów dostępu i tokenów zabezpieczających, które mogą odbierać z platformy tożsamości firmy Microsoft.
• Dostosowywanie tokenów opisuje informacje, które można otrzymywać w tokenach firmy Microsoft Entra i jak można dostosować tokeny.
• Zabezpieczanie aplikacji za pomocą oceny ciągłego dostępu pomaga deweloperom w ulepszaniu zabezpieczeń aplikacji dzięki ciągłej ocenie dostępu. Dowiedz się, jak zapewnić obsługę usługi Zero Trust w aplikacjach, które otrzymują autoryzację dostępu do zasobów podczas uzyskiwania tokenów dostępu z identyfikatora Entra firmy Microsoft.
• Konfigurowanie oświadczeń grup i ról aplikacji w tokenach pokazuje, jak skonfigurować aplikacje przy użyciu definicji ról aplikacji i przypisać grupy zabezpieczeń.
• Usługa API Protection opisuje najlepsze rozwiązania dotyczące ochrony interfejsu API za pośrednictwem rejestracji, definiowania uprawnień i zgody oraz wymuszania dostępu w celu osiągnięcia celów zero trust.
• Przykład interfejsu API chronionego przez ramy zgody na tożsamość firmy Microsoft pomaga w projektowaniu strategii uprawnień aplikacji minimalnych, co zapewnia najlepsze doświadczenie użytkownika.
• Wywołanie interfejsu API z innego interfejsu API pomaga zapewnić zero trust, gdy masz jeden interfejs API, który musi wywoływać inny interfejs API. Dowiesz się, jak bezpiecznie opracowywać aplikację, gdy działa ona w imieniu użytkownika.
• Najlepsze rozwiązania dotyczące autoryzacji pomagają zaimplementować najlepsze modele autoryzacji, uprawnień i zgody dla aplikacji.

DevSecOps z zerowym zaufaniem

• W artykule Secure DevOps environments for Zero Trust opisano najlepsze rozwiązania dotyczące zabezpieczania środowisk DevOps.
• Zabezpieczanie środowiska platformy DevOps pomaga zaimplementować zasady Zero Trust w środowisku platformy DevOps i wyróżnia najlepsze rozwiązania dotyczące zarządzania wpisami tajnymi i certyfikatami.
• Zabezpieczenie środowiska deweloperskiego pomaga zaimplementować zasady Zero Trust w środowiskach deweloperskich poprzez najlepsze praktyki dotyczące zasady najmniejszych uprawnień, bezpieczeństwa gałęzi oraz zaufania do narzędzi, rozszerzeń i integracji.
• Osadzanie zabezpieczeń Zero Trust w przepływie pracy dla deweloperów ułatwia szybkie i bezpieczne wprowadzanie innowacji.

Więcej dokumentacji Zero Trust

Skonsultuj się z następującą zawartością dotyczącą Zero Trust, opartą na zestawie dokumentacji lub rolach w organizacji.

Zestaw dokumentacji

Skorzystaj z tej tabeli, aby uzyskać najlepsze zestawy dokumentacji Zero Trust, które odpowiadają Twoim potrzebom.

Twoja rola

Postępuj zgodnie z tą tabelą, aby uzyskać najlepsze zestawy dokumentacji dla Twojej roli w organizacji.