U ranijoj seriji tekstova o sajber bezbednosti, detaljno smo objasnili Zero Trust princip — pristup bezbednosti koji ne veruje automatski nikome, već kontinuirano proverava svaki zahtev za pristup na osnovu konteksta. Conditional Access je konkretan alat unutar Microsoft 365 ekosistema koji omogućava implementaciju upravo ovog principa. U ovom tekstu objašnjavamo kako funkcioniše.
Šta je Conditional Access
Conditional Access omogućava definisanje pravila koja određuju pod kojim uslovima je pristup određenom resursu dozvoljen, ograničen, ili potpuno blokiran, na osnovu konteksta zahteva za pristup — ko se prijavljuje, odakle, sa kog uređaja, i u kom stanju je taj uređaj.
Kako funkcioniše osnovni princip
Umesto jednostavnog “dozvoljeno ili zabranjeno” pristupa zasnovanog samo na ispravnoj lozinci, Conditional Access analizira širi kontekst svakog pokušaja prijave i primenjuje odgovarajuću politiku — na primer, standardna prijava sa poznatog, korporativnog uređaja u kancelariji možda prolazi bez dodatnih koraka, dok ista lozinka, korišćena za prijavu sa nepoznatog uređaja iz strane zemlje u neuobičajeno doba noći, može zahtevati dodatnu verifikaciju ili biti potpuno blokirana.
Konkretni faktori koje Conditional Access uzima u obzir
Lokacija prijave
Pravila mogu biti definisana na osnovu geografske lokacije ili IP adrese sa koje dolazi zahtev za prijavu, na primer dozvoljavajući nesmetan pristup iz poznatih, očekivanih lokacija, dok zahtevaju dodatnu verifikaciju za prijave iz neočekivanih zemalja.
Stanje uređaja
Kao što smo pomenuli u tekstu o Intune-u, pristup može biti uslovljen time da li uređaj ispunjava definisane bezbednosne standarde — ažuriran operativni sistem, aktivna zaštita, šifrovan disk.
Tip aplikacije koja traži pristup
Različita pravila mogu se primeniti u zavisnosti od toga da li se pristupa kroz standardni veb pretraživač, mobilnu aplikaciju, ili stariji, manje bezbedan protokol koji možda ne podržava napredniju bezbednosnu proveru.
Procenjeni nivo rizika korisnika i sesije
Kroz analizu obrazaca ponašanja, Entra ID može proceniti da li konkretna sesija prijave nosi povišen rizik (na primer, ako su kredencijali korisnika prethodno pronađeni u poznatom curenju podataka), i primeniti stroža pravila u takvim slučajevima.
Tipične akcije koje Conditional Access politika može primeniti
Zahtevanje dodatne MFA verifikacije
Čak i ako korisnik ima MFA generalno omogućen, Conditional Access može zahtevati ponovnu MFA verifikaciju specifično u situacijama povišenog rizika, umesto da se oslanja samo na inicijalnu prijavu.
Ograničavanje pristupa određenim funkcionalnostima
Na primer, dozvoljavanje pregleda email-a sa nepoznatog uređaja, ali blokiranje mogućnosti preuzimanja priloga na taj isti uređaj, balansirajući praktičnost sa bezbednošću.
Potpuno blokiranje pristupa
Za situacije sa najvišim procenjenim rizikom, pristup može biti potpuno blokiran dok se identitet ne verifikuje kroz dodatne, sigurnije kanale.
Zahtevanje da uređaj bude registrovan i usklađen
Pristup određenim, posebno osetljivim resursima može biti ograničen isključivo na uređaje koji su registrovani kroz Intune i ispunjavaju definisane bezbednosne standarde.
Praktičan primer politike za malu firmu
Jednostavna, ali efikasna Conditional Access politika za tipičnu malu firmu mogla bi izgledati ovako: standardan pristup sa poznatih, korporativnih uređaja unutar zemlje je dozvoljen uz standardnu MFA proveru; pristup sa nepoznatih uređaja ili iz neuobičajenih lokacija zahteva dodatnu verifikaciju i ograničava mogućnost preuzimanja fajlova; administratorski nalozi imaju stroža pravila koja uvek zahtevaju najjaču formu MFA, bez obzira na kontekst.
Zašto je ovo praktičnija implementacija Zero Trust principa
Umesto binarnog pristupa gde je nešto ili potpuno dozvoljeno ili potpuno zabranjeno, Conditional Access omogućava nijansiran, kontekstualno svestan pristup koji balansira bezbednost sa praktičnošću svakodnevnog rada — legitimni korisnici u očekivanim okolnostima nailaze na minimalno trenje, dok se dodatna pažnja fokusira upravo na situacije koje nose povišen rizik.
Postepeno uvođenje Conditional Access politika
Za firme koje tek počinju sa implementacijom, preporučuje se postepen pristup — početi sa osnovnim, manje restriktivnim politikama, pratiti kako utiču na svakodnevni rad, i postepeno dodavati stroža pravila kako se stiče poverenje i razumevanje kako sistem funkcioniše u praksi za konkretnu organizaciju.
Naš pristup u Trace Link-u
Pomažemo firmama da definišu i implementiraju Conditional Access politike prilagođene njihovom stvarnom nivou rizika i načinu rada, balansirajući bezbednost sa praktičnošću, umesto generičkih, unapred definisanih pravila koja ne uzimaju u obzir specifičnosti svake firme. Radimo sa firmama u Novom Sadu, Beogradu i širom Srbije.
Zaključak
Conditional Access omogućava implementaciju pametnih, kontekstualno svesnih bezbednosnih pravila koja prilagođavaju nivo provere stvarnom riziku svakog pojedinačnog zahteva za pristup, predstavljajući praktičnu primenu Zero Trust principa unutar Microsoft 365 ekosistema. Ako želite pomoć da implementirate ovakve politike za vašu firmu, javite nam se preko kontakt forme.