Краткая выжимка: Выполнение требований CMMC 2.0 AU с использованием телеметрии удостоверений
Okta помогает оборонным подрядчикам выполнять требования CMMC 2.0 в области аудита и подотчетности (AU), преобразуя события идентификации в неизменяемые записи, проверяемые аудиторами. Связывая каждое взаимодействие с системой с уникальными учетными данными, подтвержденными с помощью многофакторной аутентификации (MFA), и передавая непрерывную телеметрию в SIEM-платформы, авторизованные по стандарту FedRAMP, организации могут удовлетворить требования к базовому хранению журналов (AU.L1-3.3.1), индивидуальной неотказуемости (AU.L2-3.3.2) и автоматическому анализу журналов (AU.L3-3.3.5).
Это вторая статья из нашей серии из трех частей, посвященной роли управления удостоверениями в структуре Cybersecurity Maturity Model (CMMC) 2.0. Если вы ее пропустили, вы можете прочитать Часть 1: Как Okta может помочь организациям выполнить требования CMMC 2.0 по идентификации и аутентификации.
Почему домен «Аудит и подотчетность» (AU) важен в CMMC 2.0
Проверка личности пользователей (IA) и ограничение доступа к приложениям (AC) представляют собой лишь часть задачи по обеспечению соответствия требованиям. В рамках структуры CMMC 2.0 вы должны активно демонстрировать, что ваши средства контроля безопасности функционируют так, как задумано. Домен «Аудит и подотчетность» (AU) служит вашей непрерывной, защищенной от несанкционированного вмешательства системой учета.
Когда происходит инцидент или прибывает аудитор из Сертифицированной сторонней организации по оценке (C3PAO), ваша организация должна ответить на три ключевых вопроса:
- Кто получил доступ к среде или пытался получить к ней доступ?
- Когда была совершена транзакция?
- К каким конкретным данным, приложениям или административным конфигурациям они получили доступ или что именно они изменили?
Домен AU состоит из критически важных высокоприоритетных базовых средств контроля, каждое из которых весит по 5 баллов. Несоблюдение хотя бы одного пятибалльного требования приводит к немедленному провалу оценки. В этой статье подробно описывается, как централизованное ведение журналов удостоверений Okta удовлетворяет этим требованиям на уровнях CMMC 1, 2 и 3, превращая ручную координацию журналов в автоматизированные доказательства, готовые к проверке аудитором.
Как Okta обеспечивает хранение журналов аудита для CMMC уровня 1?
Уровень 1 сосредоточен на базовой кибергигиене. Даже на этом начальном этапе организации, работающие с федеральной контрактной информацией (FCI), должны наложить базовое отслеживание системы, чтобы команды могли расследовать несанкционированную активность.
Техническая реализация с использованием Okta
- Централизованный системный журнал Okta: Okta автоматически записывает исчерпывающий журнал аудита только для чтения, в котором фиксируются все события системы, администраторов и пользователей. Сюда входят успешные и неудачные попытки входа в систему, сброс учетных данных и изменения политик.
- Единый конвейер удостоверений: Вместо того чтобы входить в десятки изолированных приложений для сбора фрагментированных журналов активности, Okta направляет весь трафик федеративных приложений через единый конвейер. Это объединяет события аутентификации из нисходящих систем в единый централизованный поток, обеспечивая последовательный мониторинг на уровне всего предприятия.
- Долгосрочное хранение и потоковая передача: Хотя интерфейс системного журнала Okta предоставляет возможности для немедленного поиска, федеральные правила требуют многолетнего хранения. Okta изначально интегрируется с защищенными хранилищами (такими как AWS S3) и системами управления информацией и событиями безопасности (SIEM) (например, Splunk и QRadar) через Okta Event API, гарантируя сохранение журналов в соответствии с требованиями.
Пакет доказательств для аудитора (артефакты C3PAO)
- Продемонстрируйте средство просмотра журналов в реальном времени: Перейдите по интерфейсу системного журнала Okta, чтобы продемонстрировать отслеживание событий в реальном времени, показывая успешные входы в систему, обновления политик и отклоненные попытки.
- Проверьте интеграцию с SIEM: Покажите активные API-коннекторы, передающие телеметрию удостоверений из Okta напрямую в вашу централизованную панель мониторинга SIEM.
- Изучите правила хранения: Предоставьте задокументированные конфигурации в AWS или вашей SIEM, демонстрирующие, что журналы заблокированы и не могут быть преждевременно удалены администраторами.
Как Okta обеспечивает уникальную подотчетность пользователей для CMMC уровня 2?
Для подрядчиков, работающих с контролируемой несекретной информацией (CUI), уровень 2 CMMC требует строгой индивидуальной подотчетности. Оценщики должны иметь возможность проследить каждое цифровое действие до конкретного живого человека.
Техническая реализация с использованием Okta
- Исключение общих учетных записей: Okta Universal Directory создает уникальный и неизменяемый профиль учетной записи для каждого сотрудника, подрядчика и администратора.
- Внедрение федеративных удостоверений: Когда пользователь получает доступ к приложению, содержащему CUI, через единый вход Okta (SSO), Okta внедряет его уникальные атрибуты удостоверения (например, адрес электронной почты или уникальный идентификатор пользователя) в защищенное утверждение SAML (Security Assertion Markup Language) или OIDC (OpenID Connect). Локальные журналы аудита целевого приложения должны регистрировать конкретный профиль физического лица, не позволяя пользователям скрываться за общими учетными записями локальных служб приложений.
- Индивидуальные административные роли: Okta предотвращает совместное использование учетных данных администратора. Управление доступом на основе ролей (RBAC) в Okta назначает конкретные, детализированные административные привилегии непосредственно индивидуальным профилям, каждый из которых требует отдельного защищенного от фишинга запроса многофакторной аутентификации (MFA).
Пакет доказательств для аудитора (артефакты C3PAO)
- Продемонстрируйте сопоставление с Universal Directory: Покажите, как ваши каталоги Active Directory, LDAP или HR синхронизируются напрямую с Okta, доказывая, что каждые активные учетные данные сопоставляются с проверенным, конкретным человеком.
- Выполните сквозной трассировочный аудит: Выберите случайное административное изменение в критически важном инструменте (например, AWS GovCloud или Microsoft 365) и проследите идентификатор сеанса этого действия через системный журнал Okta, чтобы найти точное имя пользователя, IP-адрес, состояние устройства и использованный метод MFA.
- Проверьте конфигурации SSO: Покажите страницы конфигурации для приложений, содержащих CUI, чтобы продемонстрировать, что локальные входы с паролем через бэкдор полностью отключены, что заставляет весь доступ проходить через проверяемые пути Okta.
Как Okta автоматизирует непрерывный анализ журналов аудита для CMMC уровня 3?
Уровень 3 CMMC предназначен для организаций, работающих над критически важными программами Министерства обороны, которые могут стать мишенью для сложных угроз повышенной интенсивности (APT). На этом этапе статичные ретроспективные проверки журналов недостаточны; вы должны доказать, что ваша система ведения журналов динамична и способна обеспечивать автоматизированную защиту.
Техническая реализация с использованием Okta
- Okta Identity Threat Protection: Работая на базе непрерывной оценки сеансов, Okta Identity Threat Protection действует как автоматизированный анализатор журналов в реальном времени. Она непрерывно отслеживает телеметрию безопасности и журналы во всей вашей экосистеме удостоверений.
- Оркестрация на базе Shared Signals Framework: Если подключенный инструмент безопасности — например, агент обнаружения и реагирования на конечных точках (EDR) CrowdStrike на ноутбуке или шлюз брокера безопасности облачного доступа (CASB) Zscaler — регистрирует событие высокого риска, он передает этот сигнал безопасности в Okta в режиме реального времени. Okta принимает журнал, динамически пересчитывает показатель риска пользователя и автоматически запускает реагирование.
- Автоматизированные сценарии безопасности: с помощью Okta Workflows организации могут создавать сценарии обеспечения соответствия без участия человека. Если Okta регистрирует оповещение о высокой степени критичности (например, вход из невозможного места перемещения), Workflows может автоматически поместить пользователя в карантин в каталоге, приостановить доступ к активным приложениям и открыть инцидент в ServiceNow или Jira.
Пакет доказательств для аудитора (артефакты C3PAO)
- Демонстрация консоли Identity Threat Protection: покажите аудитору панель мониторинга Okta Identity Threat Protection, продемонстрировав, как коррелируются телеметрические данные об угрозах с ваших конечных точек, сети и журналов идентификации.
- Проведение живой симуляции угроз: вызовите оповещение на тестовой машине (например, активировав смоделированное оповещение о вредоносном ПО в агенте конечной точки). Продемонстрируйте, как Okta немедленно принимает этот сигнал журнала и выполняет универсальный выход (Universal Logout) для завершения активных облачных сеансов.
- Представление журналов выполнения рабочих процессов. Предоставьте аудитору журналы выполнения из Okta Workflows, иллюстрирующие, как оповещения об идентификации систематически генерируют тикеты и запускают автоматические административные блокировки.
Сводка по сопоставлению домена AU и идентификации CMMC 2.0
План аудита: соединяем все воедино
Успешная оценка CMMC зависит от связной истории идентификации. В рамках этой серии мы определили ключевую последовательность:
Централизуя телеметрию безопасности в Okta for Government, вы можете превратить то, что раньше занимало недели ручного сбора журналов и подготовки к аудиту, в единый, загружаемый массив доказательств.
Далее
Следите за обновлениями в Части 3: Управление доступом (AC), где мы рассмотрим, как динамически обеспечивать соблюдение границ удаленного доступа на основе принципа наименьших привилегий и предотвращать латеральное перемещение угроз.
Готовитесь к оценке CMMC 2.0? Свяжитесь с нашими федеральными архитекторами безопасности, чтобы привести вашу инфраструктуру идентификации в соответствие с федеральными стандартами.
Погрузитесь глубже в стратегию соблюдения требований, основанную на идентификации: загрузите наше руководство по обнаружению CMMC, чтобы узнать основные лучшие практики, избежать распространенных ошибок в критически важных доменех и ознакомиться с полным функциональным сопоставлением CMMC 2.0 для Okta.
