Configurar controles de acesso de identidade para atender ao nível de alto impacto do FedRAMP

A Organização
a) Identifica e seleciona os seguintes tipos de contas do sistema de informação para suportar missões organizacionais/funções de negócios: [Atribuição: tipos de conta de sistema de informação definidos pela organização];

b) Atribui gestores de contas para contas do sistema de informação;

c) Estabelece condições para a participação em grupos e funções;

d) Especifica usuários autorizados do sistema de informações, associação de grupo e função, e autorizações de acesso (ou seja, privilégios) e outros atributos (conforme necessário) para cada conta;

e) Requer aprovações por [Atribuição: pessoal ou funções definidas pela organização] para solicitações de criação de contas do sistema de informações;

f) Cria, habilita, modifica, desabilita e remove contas do sistema de informações de acordo com [Atribuição: procedimentos ou condições definidos pela organização];

g) Monitoriza a utilização das contas do sistema de informação;

h) Notifica os gerentes de conta:
(1.) Quando as contas não são mais necessárias;
(2.) Quando os usuários são encerrados ou transferidos; e ainda
(3.) Quando a utilização individual do sistema de informação ou a necessidade de conhecimento mudam;

i) Autoriza o acesso ao sistema de informação com base em:
(1.) Uma autorização de acesso válida;
(2.) Utilização prevista do sistema; e ainda
(3.) Outros atributos conforme exigido pela organização ou missões/funções de negócios associadas;

j.) Analisa as contas quanto à conformidade com os requisitos de gerenciamento de conta [Atribuição FedRAMP: mensalmente para acesso privilegiado, a cada 6 (seis) meses para acesso não privilegiado]; e

k) Estabelece um processo para reemitir credenciais de conta compartilhada/de grupo (se implantadas) quando indivíduos são removidos do grupo.

Use o Microsoft Entra ID para provisionar contas de sistemas de RH externos, Ative Directory local ou diretamente na nuvem. Todas as operações do ciclo de vida da conta são auditadas nos logs de auditoria do Microsoft Entra. Você pode coletar e analisar logs usando uma solução de Gerenciamento de Informações e Eventos de Segurança (SIEM), como o Microsoft Sentinel. Como alternativa, você pode usar os Hubs de Eventos do Azure para integrar logs com soluções SIEM de terceiros para habilitar o monitoramento e a notificação. Use o gerenciamento de direitos do Microsoft Entra com revisões de acesso para garantir o status de conformidade das contas.

Contas de provisão

Configure o provisionamento automatizado de contas controladas pelo cliente a partir de sistemas de RH externos ou do Ative Directory local. Para aplicativos que oferecem suporte ao provisionamento de aplicativos, configure o Microsoft Entra ID para criar automaticamente identidades de usuário e funções em aplicativos de software de nuvem como uma solução (SaaS) aos quais os usuários precisam acessar. Além de criar identidades de usuário, o provisionamento automático inclui a manutenção e a remoção de identidades de usuário à medida que o status ou as funções mudam. Para facilitar o monitoramento do uso da conta, você pode transmitir logs de Proteção de ID do Microsoft Entra, que mostram usuários arriscados, entradas arriscadas e deteções de risco, e logs de auditoria diretamente no Microsoft Sentinel ou Hubs de Eventos.

Aprovisionar o

AC-02(3)
O sistema de informação desativa automaticamente as contas inativas após [Atribuição FedRAMP: trinta e cinco (35) dias para contas de utilizador].

AC-2 (3) Requisitos e orientações adicionais do FedRAMP:
Requisito: O provedor de serviços define o período de tempo para contas de não-usuário (por exemplo, contas associadas a dispositivos). Os prazos são aprovados e aceites pelo JAB/AO. Sempre que a gestão dos utilizadores seja uma função do serviço, devem ser disponibilizados relatórios de atividade dos utilizadores consumidores.

Implemente a automação do gerenciamento de contas com o Microsoft Graph e o Microsoft Graph PowerShell. Use o Microsoft Graph para monitorar a atividade de entrada e o Microsoft Graph PowerShell para executar ações em contas no período de tempo necessário.

Determinar inatividade

Todas as operações do ciclo de vida da conta, como ações de criação, modificação, habilitação, desativação e remoção de contas, são auditadas nos logs de auditoria do Azure. Você pode transmitir os logs diretamente para o Microsoft Sentinel ou Hubs de Eventos para ajudar com a notificação.

Audit

AC-2 (5) Requisitos e orientações adicionais do FedRAMP:
Orientação: Deve usar um período de tempo mais curto do que AC-12

Implemente o bloqueio de dispositivo usando uma política de Acesso Condicional que restrinja o acesso a dispositivos compatíveis. Configure as definições de política no dispositivo para impor o bloqueio do dispositivo ao nível do SO com soluções de gestão de dispositivos móveis (MDM), como o Intune. O Endpoint Manager ou objetos de política de grupo também podem ser considerados em implantações híbridas. Para dispositivos não gerenciados, configure a configuração Freqüência de entrada para forçar os usuários a se autenticarem novamente.

Acesso Condicional

A organização:
a) Estabelece e administra contas de usuário privilegiadas de acordo com um esquema de acesso baseado em função que organiza o acesso permitido ao sistema de informações e privilégios em funções;
(b) Monitoriza as atribuições de funções privilegiadas;
(c) Aceita [Atribuição FedRAMP: desabilita/revoga o acesso dentro de um período de tempo especificado pela organização] quando as atribuições de função privilegiadas não são mais apropriadas.

Implemente o Microsoft Entra Privileged Identity Management com revisões de acesso para funções privilegiadas no Microsoft Entra ID para monitorar atribuições de função e remover atribuições de função quando não forem mais apropriadas. Você pode transmitir logs de auditoria diretamente para o Microsoft Sentinel ou Hubs de Eventos para ajudar no monitoramento.

Administrar

Crie políticas de Acesso Condicional para impor decisões de controle de acesso entre usuários e dispositivos.

Acesso Condicional

A organização:
(a) Monitoriza as contas do sistema de informação para [Atribuição: utilização atípica definida pela organização];
(b) Relata o uso atípico de contas do sistema de informação para [Atribuição FedRAMP: no mínimo, o ISSO e/ou função semelhante dentro da organização].

AC-2 (12) (a) e AC-2 (12) (b) Requisitos e orientações adicionais do FedRAMP:
Necessário para contas privilegiadas.

Para obter ajuda com o monitoramento do uso atípico, você pode transmitir logs de Proteção de ID do Microsoft Entra, que mostram usuários arriscados, entradas arriscadas e deteções de risco, e logs de auditoria, que ajudam na correlação com a atribuição de privilégios, diretamente em uma solução SIEM, como o Microsoft Sentinel. Você também pode usar Hubs de Eventos para integrar logs com soluções SIEM de terceiros.

Proteção de ID

No Microsoft Entra ID Protection, configure e habilite uma política de risco do usuário com o limite definido como Alto. Crie políticas de Acesso Condicional para bloquear o acesso de utilizadores arriscados e entradas arriscadas. Configure políticas de risco para permitir que os usuários se autocorrijam e desbloqueiem tentativas de entrada subsequentes.

Proteção de ID

A organização:
a) Revisa [Atribuição FedRAMP: no mínimo, anualmente] os privilégios atribuídos a [Atribuição FedRAMP: todos os usuários com privilégios] para validar a necessidade de tais privilégios;
b) Reatribui ou remove privilégios, se necessário, para refletir corretamente a missão organizacional/necessidades de negócios.

Use o gerenciamento de direitos do Microsoft Entra com revisões de acesso para usuários privilegiados para verificar se o acesso privilegiado é necessário.

Revisões de acesso

A organização:
a) Impõe um limite de [Atribuição FedRAMP: não mais de três (3)] tentativas de logon inválidas consecutivas por um usuário durante uma [Atribuição FedRAMP: quinze (15) minutos];
b) Automaticamente [Seleção: bloqueia a conta/nó para uma [Atribuição FedRAMP: mínimo de três (3) horas ou até ser desbloqueado por um administrador]; atrasa o próximo prompt de logon de acordo com [Atribuição: algoritmo de atraso definido pela organização]] quando o número máximo de tentativas malsucedidas é excedido.

Habilite as configurações personalizadas de bloqueio inteligente. Configure o limite e a duração do bloqueio em segundos para implementar esses requisitos.

Bloqueio inteligente

O sistema de informação:
a) Exibe aos usuários [Atribuição: mensagem ou banner de notificação de uso do sistema definido pela organização (Atribuição FedRAMP: consulte Requisitos e Orientações adicionais)] antes de conceder acesso ao sistema que fornece avisos de privacidade e segurança consistentes com as leis federais, ordens executivas, diretrizes, políticas, regulamentos, normas e orientações aplicáveis e declara que:
(1.) Os usuários estão acessando um sistema de informações do governo dos EUA;
(2.) A utilização do sistema de informação pode ser monitorizada, registada e sujeita a auditoria;
(3.) A utilização não autorizada do sistema de informação é proibida e sujeita a sanções penais e civis; e ainda
(4.) A utilização do sistema de informação indica o consentimento para a monitorização e o registo;

b) Retém a mensagem de notificação ou banner na tela até que os usuários reconheçam as condições de uso e tomem ações explícitas para fazer logon ou acessar ainda mais o sistema de informação; e ainda

c) Para os sistemas acessíveis ao público:
(1.) Exibe informações de uso do sistema [Atribuição: condições definidas pela organização (Atribuição FedRAMP: consulte Requisitos e Orientações adicionais)], antes de conceder acesso adicional;
(2.) Exibe referências, se houver, a monitoramento, gravação ou auditoria que sejam consistentes com acomodações de privacidade para tais sistemas que geralmente proíbem essas atividades; e ainda
(3.) Inclui uma descrição das utilizações autorizadas do sistema.

AC-8 Requisitos e orientações adicionais do FedRAMP:
Requisito: O provedor de serviços deve determinar os elementos do ambiente de nuvem que exigem o controle de Notificação de Uso do Sistema. Os elementos do ambiente de nuvem que exigem Notificação de Uso do Sistema são aprovados e aceitos pelo JAB/AO.
Requisito: O prestador de serviços deve determinar a forma como a Notificação de Utilização do Sistema vai ser verificada e fornecer a periodicidade adequada da verificação. A verificação e a periodicidade da Notificação de Utilização do Sistema são aprovadas e aceites pelo JAB/AO.
Orientação: Se realizada como parte de uma verificação da Linha de Base de Configuração, a % de itens que requerem configuração que estão marcados e que passam (ou falham) na verificação podem ser fornecidas.
Requisito: Se não for realizada como parte de uma verificação da Linha de Base de Configuração, deve haver um acordo documentado sobre como fornecer os resultados da verificação e a periodicidade necessária da verificação pelo provedor de serviços. O acordo documentado sobre como fornecer verificação dos resultados é aprovado e aceito pelo JAB/AO.

Com o Microsoft Entra ID, você pode enviar mensagens de notificação ou banner para todos os aplicativos que exigem e registrar confirmação antes de conceder acesso. Você pode segmentar granularmente essas políticas de termos de uso para usuários específicos (Membro ou Convidado). Você também pode personalizá-los por aplicativo por meio de políticas de Acesso Condicional.

Termos de Uso

Atualmente, os usuários se conectam a partir de vários dispositivos, às vezes simultaneamente. Limitar sessões simultâneas leva a uma experiência de usuário degradada e fornece valor de segurança limitado. Uma abordagem melhor para lidar com a intenção por trás desse controle é adotar uma postura de segurança de confiança zero. As condições são explicitamente validadas antes de uma sessão ser criada e continuamente validadas ao longo da vida de uma sessão.

Além disso, use os seguintes controles de compensação.

Use políticas de Acesso Condicional para restringir o acesso a dispositivos compatíveis. Configure as definições de política no dispositivo para impor restrições de início de sessão ao nível do SO com soluções MDM, como o Intune. O Endpoint Manager ou objetos de política de grupo também podem ser considerados em implantações híbridas.

Use o Privileged Identity Management para restringir e controlar ainda mais as contas privilegiadas.

Configure o bloqueio de conta inteligente para tentativas de entrada inválidas.

Orientações para a aplicação

Confiança zero

AC-11(1)
O sistema de informação oculta, através do bloqueio da sessão, informações previamente visíveis no visor com uma imagem visível publicamente.

Implemente o bloqueio de dispositivo usando uma política de Acesso Condicional para restringir o acesso a dispositivos compatíveis. Configure as definições de política no dispositivo para impor o bloqueio do dispositivo ao nível do SO com soluções MDM, como o Intune. O Endpoint Manager ou objetos de política de grupo também podem ser considerados em implantações híbridas. Para dispositivos não gerenciados, configure a configuração Freqüência de entrada para forçar os usuários a se autenticarem novamente.

Acesso Condicional

Implemente a reavaliação automática da sessão do usuário com recursos do Microsoft Entra, como Acesso Condicional baseado em risco e avaliação contínua de acesso. Você pode implementar condições de inatividade em um nível de dispositivo, conforme descrito em AC-11.

Recursos

AC-8 Requisitos e orientações adicionais do FedRAMP:
Orientação: Testando a funcionalidade de logout (OTG-SESS-006) Testando a funcionalidade de logout

Todas as interfaces da Web com ID do Microsoft Entra fornecem um recurso de logout para sessões de comunicação iniciadas pelo usuário. Quando os aplicativos SAML são integrados com o Microsoft Entra ID, implemente o logon único.

Capacidade de logout

AC-20(1)
A organização permite que indivíduos autorizados usem um sistema de informação externo para acessar o sistema de informações ou para processar, armazenar ou transmitir informações controladas pela organização somente quando a organização:
a) Verifica a implementação dos controles de segurança necessários no sistema externo, conforme especificado na política de segurança da informação e no plano de segurança da organização; quer
b) Retém acordos aprovados de conexão ou processamento do sistema de informação com a entidade organizacional que hospeda o sistema de informação externo.

Exigir a aceitação dos termos de uso para usuários autorizados que acessam recursos de sistemas externos. Implementar políticas de Acesso Condicional para restringir o acesso de sistemas externos. As políticas de Acesso Condicional podem ser integradas ao Defender for Cloud Apps para fornecer controles para aplicativos na nuvem e locais de sistemas externos. O gerenciamento de aplicativos móveis no Intune pode proteger os dados da organização no nível do aplicativo, incluindo aplicativos personalizados e aplicativos da loja, de dispositivos gerenciados que interagem com sistemas externos. Um exemplo seria o acesso a serviços em nuvem. Você pode usar o gerenciamento de aplicativos em dispositivos de propriedade da organização e dispositivos pessoais.

Termos e condições da pré-visualização