Übersicht – Schützen von Identitäten und geheimen Schlüsseln

Die Initiative Secure Future Initiative (SFI) ist eine mehrjährige, cross-Microsoft-Initiative, um die Art und Weise zu sichern, in der Microsoft produkte und Dienste entwickelt, erstellt, testet und betreibt. SFI basiert auf:

  • Eine Reihe von Sicherheitsprinzipien, die die Art und Weise leiten, wie wir Innovationen im Sicherheitsdesign entwickeln, diese Innovationen als sichere Vorgaben und Standards in Microsoft-Produkten implementieren und interne sowie externe Sicherheitsleitlinien bereitstellen. Erfahren Sie mehr.
  • Eine Reihe priorisierter Sicherheitspfeiler und -ziele. Erfahren Sie mehr.

Dieser Artikel enthält eine Übersicht über die SFI-Säule "Identitäten und Geheimnisse schützen".

Bevor du anfängst

Säule und Ziele

Die Säule "Identitäten und Geheimnisse schützen" zielt darauf ab:

  • Stärken Sie das Vertrauen in jede Identität und Anmeldeinformationen, die in allen Microsoft-Systemen verwendet werden, indem Sie Schwächen bei der Ausgabe, Speicherung und Verwendung von Konten, Token und Geheimen beseitigen.
  • Verringern Sie das Risiko eines nicht autorisierten Zugriffs, indem Sie Standards erzwingen, um die Identitäts- und geheime Infrastruktur zu härten und die Benutzer- und Anwendungsauthentifizierung und Autorisierung zu steuern.

Die Microsoft-Ziele und die Zero Trust/NIST-Zuordnung für diese Säule sind in der folgenden Tabelle zusammengefasst.

Säulenziel Zero Trust NIST-Zuordnung
1. Schützen von kryptografischen Signaturschlüsseln

Schützen Sie das Signieren von Identitätsinfrastrukturen und Plattformschlüsseln mit schneller und automatischer Drehung von Identitätsinfrastrukturschlüsseln unter Verwendung von Hardwarespeicher und -schutz.		 Explizit überprüfen: Schützen von Identitätssignaturressourcen. Integrieren Sie eine starke Authentifizierung von Schlüsseln in die Workflows.

Gehen Sie von Sicherheitsverletzungen aus: Schützen Sie Schlüssel so, als ob eine Kompromittierung auftreten kann, indem Sie die hardwaregestützte Isolation verwenden.		 PR. AA-04 (Access ist mit Segmentierung und geringsten Berechtigungen eingeschränkt)
Der Schlüsselschutz basiert auf einer strengen Zugriffssegmentierung und der Autorisierung mit den geringsten Berechtigungen, um die Schlüsselverwendung auf isolierte, dedizierte Schlüsseltresorumgebungen einzuschränken und nicht benötigte Zugriffs- und Lateral-Bewegungspfade zum Schlüsselspeicher zu entfernen.

PR.PS-01 (Ressourcen werden formal ausgewertet, um sicherzustellen, dass sie Sicherheitsanforderungen erfüllen, bevor sie zur Verwendung genehmigt werden)
Schlüssel müssen gemäß sicheren Standardstandards generiert und gespeichert werden.
2. Standard-SDKs für Identitätsverwaltung einsetzen

Stärken Sie Identitätsstandards und fördern Sie die Einführung von Standards mit der Verwendung von Standard-SDKs in allen Anwendungen, sodass Apps und Dienste eine einheitliche, gehärtete Bibliothek für die Überprüfung von Token verwenden.		 Explizit überprüfen: Standardüberprüfungsbibliotheken reduzieren Die Variabilität und das Risiko. Verwenden Sie eine konsistente Überprüfung.

Gehen Sie von Sicherheitsverletzungen aus: Reduziert die Angriffsfläche von benutzerdefinierten Implementierungen.		 PR. AA-01 (Identitäten werden entsprechend dem Risiko authentifiziert)
Die Verwendung von Standard-SDKs erzwingt starke, konsistente Authentifizierungsflüsse.

PR. AA-02 (Access ist mit rollenbasierten Attributen autorisiert)
Standard-SDKs integrieren sich mit Microsoft Entra RBAC und erzwingen rollenbewusste Token-Ansprüche.

PR. AA-03 (Access ist mit attributbasierten/kontextbezogenen Attributen autorisiert)
Standard-SDKs wenden automatisch bedingten Zugriff, Gerätekontext, MFA-Anforderungen und Risikosignale für die kontextbezogene Autorisierung an.
3. Erzwingen einer Phishing-resistenten MFA

Stellen Sie sicher, dass Benutzerkonten durch sicher verwaltete, phishing-resistente MFA geschützt sind.		 Explizit überprüfen: Sichere Authentifizierungstechniken überprüfen die Benutzeridentität bei jedem Zugriffsversuch.

Verwenden Sie die geringsten Berechtigungen: MFA stärkt die Erzwingung der geringsten Rechte, indem nicht autorisierter Zugriff reduziert wird.		 PR. AA-01 (Identitäten werden entsprechend dem Risiko authentifiziert)
Phishing-sichere MFA verwendet eine starke, risikogerechte Authentifizierung.

PR. AA-03 (Access ist mit attributbasierten und kontextbezogenen Attributen autorisiert)
Phishing-beständige MFA stärkt kontextbezogene Zugriffsentscheidungen.
4. Standard für sichere geheime Schlüssel

Wechseln Sie von langlebigen Geheimschlüsseln wie Dienstkontoanmeldeinformationen weg, um sicherzustellen, dass Anwendungen mit vom System verwalteten Anmeldeinformationen wie verwalteten Identitäten geschützt sind.		 Verwenden Sie die geringsten Berechtigungen: Zugriff auf geheime Schlüssel einschränken. Vermeiden Sie hartcodierte oder persistente Anmeldeinformationen.

Gehen Sie von Sicherheitsverletzungen aus: Behandeln Sie jedes Geheimnis als potenziell kompromittiert, es sei denn, es ist sicher geschützt.		 PR. AA-04 (Access ist mit Segmentierung und Prinzip der geringsten Rechte eingeschränkt)
Die Standards für sichere geheime Schlüssel beschränken, auf welche Identitäten und Dienste zugreifen oder geheime Schlüssel verwenden können, wodurch die geringsten Berechtigungen erzwungen und laterale Bewegungspfade beseitigt werden, die durch statische Anmeldeinformationen verursacht werden.

PR.DS-01 (Daten werden in Übereinstimmung mit den Unternehmensanforderungen verwaltet)
Geheimnisse werden in Übereinstimmung mit Lebenszyklus- und Speicheranforderungen wie zentralisierte Verwahrung, Rotation und Protokollierung behandelt.

PR.PS-01 (Ressourcen werden formal ausgewertet, um sicherzustellen, dass sie Sicherheitsanforderungen erfüllen, bevor sie zur Verwendung genehmigt werden)
Die Verwendung sicherer geheimer Schlüssel bedeutet, dass Apps und Dienste Sicherheitsgrundwerte einhalten müssen.
5. Zustandsorientierte Überprüfung für Identitätstoken

Stellen Sie sicher, dass Identitätstoken durch Zustands- und Zeitüberprüfung geschützt sind.		 Explizit überprüfen: Vollüberprüfung von Identitätstoken an jedem Erzwingungspunkt.

Annehmen eines Verstoßes: Stellen Sie sicher, dass ungültige oder falsch formatierte Token abgelehnt werden.		 PR. AA-03 (Access ist mit attributbasierten und kontextbezogenen Attributen autorisiert)
Die Tokenüberprüfung stellt den Identitätskontext in Echtzeit für Autorisierungsentscheidungen dar.

DE. AE-02 (Erkannte Ereignisse werden analysiert, um Angriffsziele und -methoden zu verstehen)
Die zustandsbehaftete Überprüfung erkennt anomale Aktivitäten wie manipulierte Tokens und ungewöhnliche Tokenverwendung.

DE. AE-07 (Prozesse erkennen und analysieren anomale Aktivitäten zur Unterstützung von Reaktion und Wiederherstellung)
Da Token kontinuierlich überprüft werden, kann SFI schnell auf nicht autorisierte Tokenaktivitäten reagieren, um die Erkennung zu verbessern und die Verweildauer der Angreifer zu reduzieren.
6. Feinkörnige Schlüsselpartitionierung

Übernehmen Sie eine differenzierte Partitionierung von Identitätssignaturschlüsseln und Plattformschlüsseln.		 Verwenden Sie die geringsten Berechtigungen: Partitionierung schränkt Berechtigungsbereiche für die Schlüsselverwendung ein.

Gehen Sie von Sicherheitsverletzungen aus: Beschränkt die Auswirkungen, wenn das Schlüsselsegment kompromittiert ist.		 PR.AA-04 (Der Zugriff ist mit Hilfe von Segmentierungs- und Prinzipien des geringsten Privilegs eingeschränkt)
Feinkörnige Schlüsselpartitionierung erzwingt eine strikte Segmentierung des Schlüsselmaterials und verhindert die laterale Bewegung über Schlüsselressourcen hinweg.

PR. AA-05 (Berechtigungen und Autorisierungen werden verwaltet, erzwungen und regelmäßig überprüft)
Partitionierte Schlüssel erfordern strenge Autorisierungskontrollen, kontinuierliche Überprüfung und Grenzerzwingung, um sicherzustellen, dass nur richtige Dienstidentitäten auf isolierte Schlüsselpartitionen zugreifen können.
7. Quantensichere PKI-Systeme

Stellen Sie sicher, dass Identitäts- und Zertifikat-PKI-Systeme für eine Post-Quantum-Kryptografiewelt bereit sind.		 Explizit überprüfen: Verwenden Sie die Post-Quantum-Kryptografie für Identitäts assertionen.

Annehmen von Sicherheitsverletzungen: Antizipieren zukünftiger Bedrohungen; Bereiten Sie sich auf einen stärkeren Widerstand vor.		 PR.AA-04 (Der Zugriff ist mit Hilfe von Segmentierungs- und Prinzipien des geringsten Privilegs eingeschränkt)
Quantensichere PKI erfordert segmentierten Zugriff mit minimalen Privilegien auf Schlüsselsignatursysteme, CAs, HSMS usw.

Nächste Schritte

  • Last updated on