Разработка с использованием принципов "Никому не доверяй"

Эта статья поможет вам, как разработчику, понять руководящие принципы нулевого доверия, чтобы повысить безопасность приложений. Вы играете ключевую роль в безопасности организации. Приложения и их разработчики больше не могут предположить, что периметр сети является безопасным. Скомпрометированные приложения могут повлиять на всю организацию.

Организации развертывают новые модели безопасности, которые адаптируются к сложным современным средам и принимают мобильных сотрудников. Новые модели защищают людей, устройства, приложения и данные, где бы они ни находились. Организации стремятся достичь нулевого доверия, стратегии безопасности и подхода к разработке и реализации приложений, которые соответствуют этим руководящим принципам:

• Явная проверка
• Использование наименьших привилегий для доступа
• Предположим взлом.

Вместо того, чтобы полагать, что все, что находится за корпоративным брандмауэром, является безопасным, модель нулевого доверия предполагает нарушение и проверяет каждый запрос, как будто он исходит из неконтролируемой сети. Независимо от того, где создается запрос или к какому ресурсу он обращается, модель нулевого доверия требует, чтобы мы никогда не доверяем, всегда проверяем.

Понять, что нулевое доверие не является заменой принципов безопасности. Разрабатывайте приложения для работы из любого места и на любом устройстве, чтобы внедрить принципы нулевого доверия на всех этапах цикла разработки.

Зачем развиваться с точки зрения нулевого доверия?

• Мы видим рост уровня сложности атак кибербезопасности.
• Работа из любого места рабочей силы переопределила периметр безопасности. Доступ к данным осуществляется за пределами корпоративной сети и предоставляется внешним участникам совместной работы, таким как партнеры и поставщики.
• Корпоративные приложения и данные перемещаются из локальной среды в гибридные и облачные среды. Традиционные сетевые элементы управления больше не могут полагаться на безопасность. Элементы управления должны перемещаться в место расположения данных на устройствах и в приложениях.

Руководство по разработке в этом разделе помогает повысить безопасность, уменьшить радиус взрыва инцидента безопасности и быстро восстановиться с помощью технологии Майкрософт.

Общие сведения о руководстве разработчика

• Что мы подразумеваем под соответствием принципам нулевого доверия? предоставляет обзор безопасности приложений, основываясь на взгляде разработчика, для рассмотрения руководящих принципов нулевого доверия.
• Используйте лучшие практики разработки управления идентификацией и доступом по модели Zero Trust в жизненном цикле разработки приложений для создания безопасных приложений.
• Методологии разработки на основе стандартов предоставляют общие сведения о поддерживаемых стандартах и их преимуществах.
• Обязанности разработчика и администратора для регистрации приложений, авторизации и доступа помогают лучше сотрудничать с ИТ-специалистами.

Разрешения и доступ

• Создание приложений, защищенных удостоверениями с помощью разрешений и согласия , предоставляет общие сведения о разрешениях и рекомендациях по доступу.
• Интеграция приложений с идентификатором Microsoft Entra и платформой удостоверений Майкрософт помогает разработчикам создавать и интегрировать приложения, которые ИТ-специалисты могут защитить в организации.
• Регистрация приложений представляет разработчикам процесс регистрации приложений и его требования. Это помогает им убедиться, что приложения соответствуют принципам нулевого доверия, используя наименее привилегированный доступ и предполагая возможность нарушения.
• Поддерживаемые типы удостоверений и учетных записей для отдельных и мультитенантных приложений объясняют, как вы можете выбрать, разрешает ли ваше приложение доступ только пользователям из вашего клиента Microsoft Entra, из любого клиента Microsoft Entra, или пользователям с личными учетными записями Microsoft.
• Проверка подлинности пользователей для zero Trust помогает разработчикам узнать рекомендации по проверке подлинности пользователей приложений в разработке приложений Zero Trust. В нем описывается, как повысить безопасность приложений, применяя принципы "нулевого доверия": наименьшие привилегии и явная проверка.
• Получение авторизации для доступа к ресурсам помогает понять, как лучше всего обеспечить нулевое доверие при получении разрешений доступа к ресурсам для приложения.
• Разработка стратегии делегированных разрешений помогает реализовать оптимальный подход к управлению разрешениями в приложении и разработке с использованием принципов нулевого доверия.
• Стратегия разрешений приложений помогает вам определиться с подходом к управлению учетными данными ваших приложений.
• Запрос разрешений, требующих административного согласия, описывает опыт работы с разрешениями и согласием, когда разрешения для приложений требуют административного согласия.
• Сокращение избыточных разрешений и приложений помогает ограничить привилегии для управления доступом и повышения безопасности.
• Укажите учетные данные удостоверения приложения, если нет пользователя. Это объясняет лучшие практики управляемых удостоверений для ресурсов Azure для служб (непользовательских приложений).
• Управление маркерами нулевого доверия помогает разработчикам создавать безопасность в приложениях с маркерами идентификаторов, маркерами доступа и маркерами безопасности, которые они могут получать от платформы удостоверений Майкрософт.
• Настройка маркеров описывает сведения, которые можно получить в токенах Microsoft Entra и как можно настроить маркеры.
• Защита приложений с помощью непрерывной оценки доступа помогает разработчикам повысить безопасность приложений с помощью непрерывной оценки доступа. Узнайте, как обеспечить поддержку нулевого доверия в приложениях, которые получают авторизацию для доступа к ресурсам при получении маркеров доступа из идентификатора Microsoft Entra.
• Настройка утверждений групп и ролей приложений в токенах объясняет, как настроить ваши приложения с помощью определений ролей приложений и назначить группы безопасности.
• Защита API описывает лучшие практики для защиты вашего API путем регистрации, определения разрешений и согласия, а также обеспечения доступа для достижения целей "Zero Trust".
• Пример API, защищенный платформой согласия на идентификацию Майкрософт, помогает разрабатывать стратегии с минимальными привилегиями приложений для оптимального взаимодействия с пользователем.
• Вызов API из другого API помогает обеспечить нулевое доверие при наличии одного API, который должен вызывать другой API. Вы узнаете, как безопасно разрабатывать приложение при его работе от имени пользователя.
• Рекомендации по авторизации помогут реализовать лучшие модели авторизации, разрешения и согласия для приложений.

Нулевое доверие DevSecOps

• Безопасные среды DevOps для нулевого доверия описывают рекомендации по защите сред DevOps.
• Защита среды платформы DevOps помогает реализовать принципы нулевого доверия в среде платформы DevOps и выделяет рекомендации по управлению секретами и сертификатами.
• Обеспечение безопасности среды разработчика помогает вам реализовать принципы нулевого доверия в средах разработки, используя лучшие практики для минимизации привилегий, обеспечения безопасности ветвей и доверия инструментам, расширениям и интеграциям.
• Внедрение безопасности нулевого доверия в рабочий процесс разработчика помогает быстро и безопасно внедрять инновации.

Более обширная документация по Zero Trust

См. следующее содержание Zero Trust в зависимости от набора документов или ролей в вашей организации.

Набор документации

Используйте эту таблицу, чтобы выбрать лучшие наборы документации по Zero Trust, которые соответствуют вашим потребностям.

Ваша роль

Следуйте этой таблице для лучших наборов документации для вашей роли в организации.