IDENTITY IS KEY MICROSOFTS STRATEGIE ZUR BENUTZERORIENTIERTEN SECURITY!

Größe: px

Ab Seite anzeigen:

Download "IDENTITY IS KEY MICROSOFTS STRATEGIE ZUR BENUTZERORIENTIERTEN SECURITY!"

Rudolf Stein
vor 6 Jahren
Abrufe

1 IDENTITY IS KEY MICROSOFTS STRATEGIE ZUR BENUTZERORIENTIERTEN SECURITY! Andreas Schindler Team-Leader Cybersecurity & Enterprise Mobility Executive Cloud Architect, CISSP 1

2 Die (IT)Welt in der wir Leben. 2

3 Software Eats The World 3

DIE DIGITALE TRANSFORMATION verändert Geschäftsmodelle und

4 DIE DIGITALE TRANSFORMATION verändert Geschäftsmodelle und Kundenbeziehungen. bringt Veränderungen in der IT: Agilität wird gefordert. Daten und Anwendungen verlassen die Unternehmen bzw. werden in das Internet veröffentlicht. Die Grenzen von Netzwerken und Geräten lösen sich auf. Benutzer sind mobil, externe Benutzer kommen dazu. Der User (und seine Identity) steht im Fokus zum Schutz der Daten. 4

5 Benutzer (B2B, B2C) und Zugriffsrollen Authentifizierungsmethoden Administrative-Rollen und Rechte APP-Management & APP-Security Datenverarbeitung und Speicherung Datenverbindungen Geräte- und Patch-Management / Härtung 5

6 6

Compliance: Auf der technischen Seite sind die datenverarbeitenden Unternehmen weitreichender als bisher verpflichtet, technische und

7 EU DATENSCHUTZ-GRUNDVERORDNUNG Die DS-GVO wird nach der Übergangsphase von zwei Jahren am 25. Mai 2018 wirksam. Die EU-Datenschutz-Verordnung erfasst alle Unternehmen und Behörden welche mit personenbezogenen Daten umgehen. Compliance: Auf der technischen Seite sind die datenverarbeitenden Unternehmen weitreichender als bisher verpflichtet, technische und organisatorische Sicherheitsmaßnahmen zum Schutz der personenbezogenen Daten zu ergreifen und vor allem auch deren Einhaltung nachzuweisen. Bußgelder für Non-Compliance und Verletzung des Datenschutzes wurden deutlich erhöht. 7

8 EU DATENSCHUTZ-GRUNDVERORDNUNG Quelle: Rechtsberatung durch Juristen, nicht IT-Dienstleister. 8

9 DIGITALE IDENTITÄT? Eine Definition von digitaler Identität besagt, dass die digitale Identität einen Ausweis eines Objektes repräsentiert, der verschiedene Attribute beinhaltet. "Eine digitale Identität ist eine Identität, die von einem Rechner verstanden und verarbeitet werden kann. Diesen Vorgang nennt man Authentifizierung und Autorisierung. Die digitale Identität entsteht, indem Attribute einer natürlichen Person oder eines Objektes in einem Rechner in elektronischer Form sicher registriert werden. 9

10 10

11 MICROSOFT OFFICE 365 EMS 11

12 Identity and access management Managed mobile productivity Information protection Identity-driven security E5 Azure Active Directory Premium P2 (includes P1 features) Azure Information Protection Premium P2 (includes P1 features) Microsoft Cloud App Security E3 Azure Active Directory Premium P1 Microsoft Intune Azure Information Protection Premium P1 Microsoft Advanced Threat Analytics 12

13 NEW: SECURE PRODUCTIVE ENTERPRISE 13

Protect your data, everywhere Microsoft Cloud App Security Azure Information Protection Microsoft Microsoft Intune Intune

14 MICROSOFT ENTERPRISE MOBILITY + SECURITY Azure Active Directory Premium Advanced Threat Protection Manage identity with hybrid integration to protect application access from identity attacks Extend enterprise-grade security to your cloud and SaaS apps Protect your data, everywhere Microsoft Cloud App Security Azure Information Protection Microsoft Microsoft Intune Intune Protect your users, devices, and apps Detect threats early with visibility and threat analytics Microsoft Advanced Threat Analytics 14

15 THEMENÜBERSICHT 15

IDENTITY MANAGEMENT Windows Server Active Directory Microsoft Identity Manager

synchronization with password (hash) sync or Federation via ADFS Kerberos /

16 IDENTITY MANAGEMENT Windows Server Active Directory Microsoft Identity Manager (Sync/Portal) Other directories Simple connection Self-services Single sign-on Azure pre-integrated SaaS-Appliations Published Apps Identity/attribute synchronization with password (hash) sync or Federation via ADFS Kerberos / Group Policy NTLM/LDAP SAML, WS-Fed OAuth2.0 OpenID Connect Azure AD & AD Domain Service Azure AD B2C Hybrid-Clouds On-Premises Microsoft Azure Active Directory Cloud 16

17 AZURE AD EDITIONEN / PREMIUM FEATURES Azure AD Premium provides: Self-Service Group and app Management/Self-Service application additions/ Dynamic Groups Self-service password reset/change/unlock with write-back to on-premises directories Azure Active Directory Premium P1 Yes Azure Active Directory Premium P2 Multi-Factor Authentication-Server (cloud and on-premises) Yes Yes Yes Yes Yes MIM CAL + MIM Server Yes Yes Cloud app discovery Yes Yes Connect Health Yes Yes Conditional Access based on group and location Yes Yes Conditional Access based on device state (allow access from managed devices) Identity Protection Privileged Identity Management Yes Yes Yes Yes 17

18 AZURE AD CONDITIONAL ACCESS User Conditions Location Device state User/Application Risk Actions Allow access Or Enforce MFA per user/per app Block access MFA 18

19 AZURE AD MULTI-FACTOR AUTHENTICATION Mobile apps Phone calls Text messages Per user consumption-based: $1.40 per month Per authentication-based: $1.40 per 10 authentications Azure AD 19

20 PRIVILEGED IDENTITY MANAGEMENT Azure AD Privileged Identity Management bietet ihnen einen Überblick über die aktuellen Azure AD Administratoren und deren Berechtigungen. die Aktivierung von administrativen Zugriffen auf Microsoft Online Services bei Bedarf ("just in time ) Reports über administrative Zugriffe und Veränderungen in administrativen Berechtigungen Alarmierung beim Zugriff auf privilegierte Konten Regelmäßige Überprüfung privilegierter Berechtigungen (Identity Governance) Verwaltung über REST API und PowerShell Azure AD Privileged Identity Management unterstützt Sie bei der Verwaltung der built-in Azure AD Berechtigungsrollen Global Administrator Billing Administrator Service Administrator User Administrator Password Administrator O365 Online Services Administrators (nur Administratoren) 20

21 21

22 AZURE AD IDENTITY PROTECTION Problemstellung: So bald ein Angreifer Zugriff auf ein unprivilegiertes Benutzerkonto erhält, ist die Beschaffung von Zugriff auf Unternehmensinformationen relativ einfach. Azure Active Directory Identity Protection ist eine Funktion von Azure AD Premium P2 mit folgenden Mehrwerten: Konfiguration risikobasierter Richtlinien welche automatisiert auf erkannte Probleme reagieren sobald eine definierbarer Risikolevel erreicht ist. Diese Richtlinien können Zugriff automatisch blockieren oder zusätzliche Sicherheitsmechanismen wie, Passwortreset oder Multi-Faktor-Authentifizierung für einzelne Benutzer aktivieren. Azure AD Identity Protection verwendet adaptive Machine Learning Algorithmen und Heuristiken zur Erkennung von Anomalien und verdächtigem Verhalten welches kompromitierte Identitäten anzeigt. 22

23 Brute force attacks Leaked credentials Suspicious sign-in activities Infected devices Configuration vulnerabilities Risk-Based policies Reporting APIs 23

(AZURE) AD HEALTH Azure AD Connect Health Microsoft Advanced Threat

credentials based on machine-learning and behavioral analytics Protection

and ADFS Health Insights Receive Windows Events or data from Syslog or

24 (AZURE) AD HEALTH Azure AD Connect Health Microsoft Advanced Threat Analytics (ATA) Monitor your Identity Bridge Detection of compromised credentials based on machine-learning and behavioral analytics Protection of AD Controllers of one Forest AD DS Infrastructure + Azure AD Connect and ADFS Health Insights Receive Windows Events or data from Syslog or SIEM-Systems Support for IBM QRadar Implement regular and automated pen-testings! 24

PEOPLE-CENTRIC DATA PROTECTION Cloud App Security (based on Adallom acquisition) Microsoft Intune Azure Information Protection Use Rights aezqar]ibr{qbfrf C;jx+Tg@XL2,Jzu( )&(*7812(*: Shadow IT

25 PEOPLE-CENTRIC DATA PROTECTION Cloud App Security (based on Adallom acquisition) Microsoft Intune Azure Information Protection Use Rights aezqar]ibr{qbfrf )&(*7812(*: Shadow IT App-Discovery Risk scoring + Threat protection Policies for data control Supported 3 rd Party-Apps for API-Integration Mobile Device & APP Management incl. BYOD Inventory and Policies Malware Protection and Patch Management Monitor and Alerts Document based data Protection on-prem/cloud User-/Group-based Access-Management Secure Collaboration with partners and customers Template-based Classification & Labeling Lookout Mobile Security Document use tracking 25

26 IT V1 IT V2 Storage, corp data Users On-premises Limitierte Anwendungen für die Benutzer Zugriff auf Unternehmendienste über das interne Netzwerk, von verwalteten Geräten IT schützt Anwendungen/Daten durch Firewalls Benutzer wählen Apps (Vielfalt, Schatten-IT) Zugriff auf Unternehmensressourcen von überall Daten warden geteilt in hybriden Architekturen Die IT hat neue Herausforderungen 26

27 IDENTITY & SOFTWARE ASSET MANAGEMENT Identity Management zur Erhöhung der Geschwindigkeit und Qualität bei User- Vermessungen und Lizenz-Management SAM Uservermessung und Lizenzbilanz Eindeutige User über die gesamte Organisation und valider Status (aktiv/nicht aktiv). Valides und schnelles Mapping von Usern und zugewiesenen Software-Lizenzen und Endgeräte. Valide Aussage zu Usern und deren Zugriffe auf Systeme basierend auf RBAC. Valide Aussage zu Usern und deren Stammdaten (Land, Kostenstelle, Job-Role). Automatisiertes Lizenzmanagement (Zuweisung und Entzug) zur Vermeidung unnötiger Lizenzkosten. 27

28 ZUSAMMENFASSUNG / TASKLIST 28

29 WHAT NEXT IDENTITY MANAGEMENT ON THE BLOCKCHAIN 29

30 AXIANS-SECURITY FACHARTIKEL & REFERENZEN Krieg im Security-Weltraum: Die dunkle Seite der digitalen Transformation Identity und Access Management im Wandel Mobility-Management aus einem Guss Datendiebstahl mit privilegierten Konten Kuka: Aus vielen eins gemacht Rheinland Versicherungsgruppe: Wer geht ins Netz? Niemand, der s nicht darf! 30

Ähnliche Dokumente

AZURE ACTIVE DIRECTORY

1 AZURE ACTIVE DIRECTORY Hype oder Revolution? Mario Fuchs Welcome 2 Agenda 3 Was ist [Azure] Active Directory? Synchronization, Federation, Integration Praktische Anwendungen z.b.: Multifactor Authentication