Условный доступ

Условный доступ — это механизм политик безопасности, применяемый в системах управления идентификацией и доступом (IAM), который перед предоставлением доступа к ресурсу (например, корпоративному приложению, облачному сервису, данным) оценивает набор заранее заданных условий (сигналов) в реальном времени и на основе этой оценки принимает решение: разрешить доступ, запретить его, запросить дополнительную проверку (например, многофакторную аутентификацию (МФА)) или ограничить сеанс. Условный доступ является ключевым компонентом модели безопасности «нулевого доверия» (Zero Trust), так как он не доверяет ни одному запросу по умолчанию, а проверяет каждый.

История и предпосылки возникновения

До появления условного доступа контроль доступа в корпоративных сетях был преимущественно статическим. Пользователь, прошедший аутентификацию (например, по паролю), получал доступ ко всем ресурсам, к которым у него были права, независимо от того, откуда он входит, с какого устройства и в какое время. С ростом популярности облачных сервисов (SaaS), мобильных устройств и удалённой работы (BYOD — Bring Your Own Device) этот подход перестал отвечать требованиям безопасности. Риск компрометации учётных данных, использование уязвимых устройств и доступ из ненадёжных сетей (например, публичных Wi-Fi) потребовали создания динамической системы принятия решений.

Первые коммерческие реализации условного доступа появились в середине 2010-х годов. Крупные поставщики облачных платформ, такие как Microsoft (с сервисом Azure Active Directory Conditional Access, анонсированным в 2015 году) и Google (с политиками контекстного доступа в Google Workspace), начали внедрять этот механизм как часть своих продуктов для управления идентификацией. Позднее аналогичные функции были реализованы в решениях других вендоров (Okta, Ping Identity, Cisco Duo) и в системах управления доступом к корпоративным сетям (NAC — Network Access Control).

Основные компоненты и принцип работы

Работа условного доступа строится на оценке набора сигналов (условий), которые объединяются в политику. Политика условного доступа — это правило, состоящее из двух частей: «Если выполнены условия A, B и C, то применить действие D».

Сигналы (условия)

Сигналы, которые система анализирует для принятия решения, могут включать:

Идентификация пользователя или группы: Кто запрашивает доступ. Может включать проверку членства в группах безопасности, ролей или атрибутов (например, «Руководители отдела продаж»).
Состояние устройства: Является ли устройство, с которого выполняется вход, зарегистрированным в домене, управляемым (например, через Microsoft Intune, Jamf, VMware Workspace ONE), соответствует ли оно политикам безопасности (установлены ли обновления, включён ли антивирус, не взломано ли оно — jailbreak/root).
Местоположение (IP-адрес): Географическое местоположение пользователя или IP-адрес, с которого поступает запрос. Позволяет блокировать доступ из стран, с которыми компания не работает, или, наоборот, требовать МФА при входе из ненадёжных сетей.
Приложение или действие: К какому приложению (например, Salesforce, SharePoint, внутренняя CRM) или действию (чтение, запись, администрирование) запрашивается доступ.
Риск входа (риск аутентификации): Оценка вероятности того, что попытка входа исходит не от законного владельца учётной записи. Вычисляется на основе машинного обучения и анализа аномалий (например, вход из необычного места, с подозрительного IP, в необычное время, с использованием анонимайзера).
Риск пользователя (риск учётной записи): Оценка вероятности того, что учётная запись скомпрометирована. Учитывает такие события, как утечка учётных данных, подозрительная активность, заражение вредоносным ПО.
Время и день недели: Ограничение доступа в нерабочее время или в выходные дни.
Тип клиентского приложения: Используется ли браузер, настольное приложение, мобильное приложение или почтовый клиент (например, Outlook, Exchange ActiveSync).

Действия (решения)

На основе анализа сигналов система принимает одно из следующих решений:

Разрешить доступ: Предоставить полный доступ к запрашиваемому ресурсу.
Заблокировать доступ: Отклонить запрос на доступ. Обычно сопровождается сообщением об ошибке или уведомлением администратору.
Требовать дополнительную проверку: Запросить у пользователя дополнительные факторы аутентификации (например, код из приложения-аутентификатора, звонок, SMS, биометрию). Это наиболее распространённое действие для повышения безопасности при подозрительных входах.
Ограничить сеанс: Предоставить доступ, но с ограничениями. Например, разрешить только чтение, запретить скачивание файлов, отключить печать, ограничить доступ к определённым функциям приложения. Это часто реализуется через политики управления сеансами (Session Policies).
Требовать использование управляемого устройства: Принудительно заставить пользователя использовать устройство, зарегистрированное в системе управления мобильными устройствами (MDM).
Требовать смену пароля: Принудительно заставить пользователя сменить пароль, если обнаружен высокий риск компрометации учётной записи.

Классификация политик условного доступа

Политики условного доступа можно классифицировать по нескольким признакам:

По типу сигнала: Политики на основе местоположения, на основе состояния устройства, на основе риска, на основе приложения.
По уровню строгости: Базовые (например, требование МФА для всех администраторов), средние (требование МФА для доступа к конфиденциальным данным из ненадёжных сетей), высокие (блокировка доступа с несоответствующих устройств).
По цели: Политики защиты от компрометации учётных данных (МФА при подозрительном входе), политики защиты данных (ограничение доступа к конфиденциальным данным), политики управления устройствами (требование управляемого устройства).

Применение и значение

Условный доступ широко применяется в корпоративном секторе, государственных учреждениях и организациях, работающих с конфиденциальными данными. Его основные преимущества:

Повышение безопасности: Снижает риск несанкционированного доступа, особенно при компрометации паролей. Условный доступ является одним из основных инструментов для защиты от атак типа «человек посередине» (MitM) и фишинга.
Гибкость и адаптивность: Политики могут быть настроены под конкретные сценарии использования, типы пользователей и уровни риска. Это позволяет не блокировать работу законных пользователей, а лишь запрашивать дополнительную проверку в подозрительных ситуациях.
Упрощение управления доступом: Администраторы могут управлять доступом к сотням приложений с помощью небольшого набора политик, а не настраивать каждое приложение отдельно.
Соответствие требованиям регуляторов: Помогает организациям выполнять требования законодательства (например, Федеральный закон № 152-ФЗ «О персональных данных» в РФ, GDPR в Европе, HIPAA в США) по защите данных и контролю доступа.
Поддержка модели «нулевого доверия»: Является одним из ключевых элементов архитектуры Zero Trust, так как обеспечивает постоянную проверку каждого запроса на доступ, независимо от его источника.

Примеры реализации

Microsoft Entra ID (ранее Azure Active Directory)

Условный доступ является одной из ключевых функций Microsoft Entra ID (ранее Azure Active Directory). Политики настраиваются через портал Azure и могут применяться к облачным приложениям (Microsoft 365, Dynamics 365, Azure), а также к локальным приложениям через прокси-сервер приложений. Microsoft предоставляет готовые шаблоны политик, а также интеграцию с Microsoft Defender for Cloud Apps для управления сеансами.

Google Workspace

Google предлагает контекстный доступ (Context-Aware Access) для своих сервисов (Gmail, Google Drive, Google Meet). Политики позволяют настраивать доступ на основе уровня доступа (Access Levels), которые могут включать такие сигналы, как IP-адрес, состояние устройства (через Endpoint Verification), идентификатор пользователя и тип приложения.

Cisco Duo

Cisco Duo — это решение для многофакторной аутентификации и условного доступа, которое может работать как с облачными, так и с локальными приложениями. Политики Duo позволяют настраивать доступ на основе местоположения, устройства, времени и других факторов.

Критика и ограничения

Несмотря на свою эффективность, условный доступ имеет ряд ограничений:

Сложность настройки: Неправильно настроенные политики могут привести к блокировке доступа для законных пользователей (ложное срабатывание) или, наоборот, к пропуску угроз. Требуется тщательное тестирование и мониторинг.
Зависимость от качества сигналов: Если сигналы (например, оценка риска, состояние устройства) неточны или устарели, эффективность политик снижается. Например, если устройство не обновляет информацию о своём состоянии, система может принять неверное решение.
Необходимость в инфраструктуре: Для работы условного доступа требуется развёртывание и поддержка таких компонентов, как система управления мобильными устройствами (MDM), система управления идентификацией (IdP) и, возможно, система анализа рисков.
Проблемы с конфиденциальностью: Сбор большого количества сигналов (местоположение, состояние устройства, поведение) может вызывать опасения с точки зрения конфиденциальности пользователей. Организации должны соблюдать законодательство о защите персональных данных.
Возможность обхода: Злоумышленники могут попытаться обойти политики условного доступа, например, используя скомпрометированные устройства, подделывая сигналы или используя легитимные, но скомпрометированные учётные записи.

Источники

Microsoft. «Что такое условный доступ в Microsoft Entra ID?» — Документация Microsoft.
Google Cloud. «Обзор контекстного доступа» — Документация Google Cloud.
Cisco. «Cisco Duo — Условный доступ» — Документация Cisco.
NIST. «Zero Trust Architecture» — Специальная публикация NIST SP 800-207.
Gartner. «Market Guide for Zero Trust Network Access» — Отчёт Gartner.

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →