Funkcjonalność

Weryfikacja urządzeń (Device assurance)

Jak działa: Sesję dostają tylko zarządzane, zdrowe urządzenia, niezależnie od przedstawionych danych logowania.

WIC

W skrócie

Weryfikacja urządzeń sprawdza stan urządzenia, zanim dostanie ono sesję. Urządzenie nieaktualne, nieszyfrowane albo spoza Twojej listy może zostać odrzucone. Sprawdzenie zachodzi niezależnie od tego, jakie dane logowania poda użytkownik.13

Umów rozmowęJak to robi Okta ↓
5
rodzajów ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Poprawne hasło i poprawna odpowiedź MFA potwierdzają, kto się loguje. Nie mówią nic o urządzeniu - może być niezarządzane, nieaktualne albo już przejęte.

Weryfikacja urządzeń odpowiada za ten drugi aspekt - admini definiują w Okcie wymagane warunki dla urządzeń, takie jak wersja systemu, szyfrowanie dysku czy blokada ekranu, a polityka logowania do aplikacji może wymagać ich spełnienia, zanim przyzna dostęp.13

Device assurance pomaga w sytuacjach, takich jak:

1

Skradzione dane logowania użyte z nieznanego urządzenia

Atakujący loguje się z własnego komputera, używając wykradzionego hasła. To urządzenie, którego Twoja organizacja nigdy wcześniej nie widziała.

2

Nieaktualne urządzenia bez poprawek

Laptop, który pominął kilka aktualizacji systemu i ma znane podatności, które złośliwe oprogramowanie może wykorzystać, by dotrzeć do sesji.

3

Zgubione lub skradzione urządzenia bez szyfrowania i blokady ekranu

Kto trzyma urządzenie, dostaje dostęp do wszystkiego, do czego jest na nim zalogowany.

4

Telefony z jailbreakiem lub rootem

Zmodyfikowany telefon może osłabiać zabezpieczenia, na których polegają aplikacje.

5

Prywatne urządzenia, których nikt nie sprawdził

Pracownicy i kontraktorzy logują się z prywatnych laptopów i telefonów, ale nikt w firmie nie wie, co jest zainstalowane na ich urządzeniach.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedKażde urządzenie z właściwymi danymi logowania dostaje sesję.
PoSesja zależy od tego, czy urządzenie spełnia ustalone warunki, a nie tylko od danych logowania.13
PrzedStare systemy i brak szyfrowania zostają niezauważone do czasu incydentu.
PoPolityka device assurance może przy logowaniu sprawdzać warunki, takie jak wersja systemu i szyfrowanie dysku.1
PrzedUrządzenia prywatne i zarządzane wyglądają dla logowania tak samo.
PoReguły polityki mogą różnie traktować urządzenia, zależnie od tego, czy przechodzą device assurance check.13
PrzedAdmini dowiadują się o ryzykownym urządzeniu ze zgłoszenia użytkownika albo z incydentu.
PoAdmini definiują warunki dla urządzeń raz w Okcie, a polityka stosuje je przy każdym logowaniu do objętych aplikacji.3

Jak to robi Okta

Okta ocenia warunki dla urządzeń w ramach polityki logowania do aplikacji, korzystając z informacji z urządzeń z Okta Verify.23

1

Użytkownik otwiera logowanie

Użytkownik loguje się do aplikacji chronionej przez Okta.

2

Okta pobiera informacje o urządzeniu

Okta Verify na urządzeniu przekazuje atrybuty, takie jak wersja systemu i status blokady ekranu.12

3

Polityka porównuje urządzenie z Twoimi warunkami

Reguła polityki logowania do aplikacji sprawdza urządzenie względem polityki device assurance wskazanej przez admina.13

4

Reguła decyduje, co jest dozwolone

Zależnie od konfiguracji admina logowanie jest dozwolone, wymaga czegoś więcej albo zostaje odrzucone.3

WIC
Kogo chroniPracownicy, kontraktorzy, admini
Polityki weryfikacji urządzeńAdmini definiują wymagania dla urządzeń na każdej platformie, takie jak wersja systemu, szyfrowanie dysku czy blokada ekranu.1
App sign-in policy rulesReguła polityki logowania do aplikacji może wymagać spełnienia polityki device assurance.3
Okta Verify i FastPassNa urządzeniach z Okta Verify aplikacja przekazuje Okcie informacje o stanie urządzenia i jednocześnie służy do logowania przez Okta FastPass.2

Jak wdrażamy to w Zelto

Okta dostarcza silnik polityk - Zelto ustala z Tobą, które urządzenia uznajemy za akceptowalne i jak doprowadzić do tego poziomu pozostałe. Planujemy politykę etapami, aby zminimalizować ryzyko i skutki. Zaczynamy od najważniejszych aplikacji, a każdy użytkownik, którego urządzenie nie przejdzie sprawdzenia, dostaje jasną ścieżkę naprawy.

Typowy przebieg wdrożenia

  1. Sprawdzamy, z jakich urządzeń się logują

    Spisujemy platformy, właścicieli urządzeń i narzędzie do zarządzania, z którego dziś korzystasz, razem z urządzeniami prywatnymi i kontraktorów.

  2. Ustalamy minimum dla każdej platformy

    Razem z Twoim działem IT ustalamy minimum dla każdej platformy, na przykład wersję systemu, szyfrowanie dysku i blokadę ekranu, oraz właściciela każdego wymagania.

  3. Pilotaż z adminami i działem IT

    Zaczynamy od adminów i działu IT. Sprawdzamy, które z ich urządzeń nie przechodzą testu i dlaczego, zanim jakakolwiek reguła stanie się obowiązkowa.

  4. Wdrażamy aplikacja po aplikacji i grupa po grupie

    Każda aplikacja i grupa dostaje w Okcie własną regułę polityki logowania. Helpdesk dostaje instrukcję dla użytkowników, których urządzenie nie przechodzi sprawdzenia.

  5. Podnosimy minimum i przeglądamy wyjątki

    Podnosimy minimum wraz z nowymi wersjami systemów, a wyjątki przeglądamy regularnie.

Pułapki, które uwzględniamy w planie

Laptop użytkownika nie przechodzi sprawdzenia w dniu terminu.

−Dodajemy stały wyjątek dla tego użytkownika, więc reguła przestaje go dotyczyć.

+Pokazujemy użytkownikowi, co naprawić, każdy wyjątek ma datę wygaśnięcia, a jego właściciel go przegląda.

Kontraktorzy i prywatne urządzenia nie mają narzędzia do zarządzania.

−Stosujemy to samo minimum co dla pracowników albo pomijamy te urządzenia w polityce.

+Piszemy osobną regułę z minimum, które te urządzenia mogą spełnić, i ograniczamy dostęp do aplikacji potrzebnych kontraktorowi.

Minimum wersji systemu zostaje ustawione na najnowszą z dnia na dzień.

−Wymagamy najnowszej wersji od razu, więc każdy, kto nie zdążył zaktualizować, traci dostęp.

+Ustawiamy minimum o jedną wersję wcześniej, ogłaszamy datę i podnosimy je etapami.

Urządzenie zostaje zgubione, wymienione albo zresetowane.

−Traktujemy nowe urządzenie jak stare i rejestrujemy je po kilku pytaniach przez telefon.

+Rejestrujemy je przez proces odzyskiwania dostępu, który weryfikuje użytkownika, a nowe urządzenie musi najpierw przejść sprawdzenie.

Chcesz wiedzieć, jakie urządzenia mają dziś dostęp do Twoich aplikacji?

Sprawdzimy, z jakich urządzeń logują się Twoi pracownicy. Potem powiemy, jakie warunki wymagać w pierwszej kolejności.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy Twoje urządzenia i dzisiejsze polityki logowania.

Powiązane wpisy na blogu

Notatki z wdrożeń

Z Is For Zero Trust: Revalidate Access ContinuouslyCzytaj na blogu →

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Device assuranceOkta Help Center
  2. 2Okta Verify and Okta FastPassOkta Help Center
  3. 3About app sign-in policiesOkta Help Center