מילון מושגים:
MFA - אימות רב-שלבי: דרישה ליותר מראיה אחת לזהות, למשל סיסמה בתוספת קוד חד-פעמי, לחיזוק האבטחה.
Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.
טוקן - פיסת מידע שמשמשת לאימות או להרשאה, שהמערכת מנפיקה ללקוח ומוצגת בבקשות הבאות במקום סיסמה.
פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.
NTLM - פרוטוקול אימות ותיק של מיקרוסופט המבוסס על ערכי האש של סיסמאות, שקדם ל-Kerberos.
Group Policy - מנגנון ב-Active Directory להחלת הגדרות ומדיניות אבטחה באופן מרכזי על משתמשים ומחשבים בדומיין.
SCCM - כלי של מיקרוסופט לניהול מרכזי של מחשבים בארגון: הפצת תוכנה, עדכונים ומערכות הפעלה.
Intune - שירות ענן של מיקרוסופט לניהול מכשירים ניידים ומחשבים בארגון ולאכיפת מדיניות עליהם.
הבדלים בין Azure AD בענן לבין Active Directory
בשיעור זה משווים בין Active Directory הקלאסי בתוך הארגון לבין Azure Active Directory בענן, שנקרא כיום Entra, ומבינים את ההבדלים בפרוטוקולים, בתמיכה במכשירים, בניהול, ב-federation, במיקום הסיסמאות וב-MFA המובנה.
נושאי הסיכום המוצגים בשיעור:
1. ההבדל הגדול בפרוטוקולים: ההבדל הגדול בין המערכות הוא הפרוטוקולים שהן תומכות בהן, השפות שבהן הן מדברות עם הלקוח ותחנות העבודה.
2. Kerberos ברשת הפנימית: ב-Active Directory הרגיל שרת ה-DC מדבר עם תחנות הווינדוס בשפת Kerberos, פרוטוקול שהומצא לפני כשלושים שנה כשעוד לא היה אינטרנט כמו היום, והוא לא בנוי לעבוד באינטרנט, התקשורת הזאת יועדה לרשת פנים ארגונית שפיזית מאובטחת.
3. פרוטוקולים מודרניים בענן: לעומת זאת Azure Active Directory הוא חדש יחסית והומצא בימי האינטרנט המהיר, והשפה שלו מול הלקוח היא OAuth2, OpenID או SAML, פרוטוקולים שרוכבים על גבי HTTP רגיל ומותאמים לעולם האינטרנט.
4. תמיכה במכשירים: בימי ה-Active Directory הקלאסי מיקרוסופט חשבה רק על הווינדוסים שלה ולכן הוא מיועד לעבוד רק על ווינדוס, בעוד ש-Azure Active Directory יודע לעבוד גם על אייפונים וגם על אנדרואידים.
5. היתרון של טוקנים מול סיסמאות: שניהם מנפיקים טיקטים או טוקנים, כרטיסי גישה למשאבים ברשת, והיתרון של הטוקן הוא שלא עוברת סיסמה על הכבל, במקום הסיסמה עובר טוקן שמיועד למשאב מסוים בלבד ולשרת אחד בלבד, ואי אפשר לגנוב אותו ולהשתמש בו במקום אחר כמו שאפשר עם סיסמה גנובה לגשת לכל שרת שהמשתמש רשום אליו.
6. הטוקן מבטל פישינג: הטוקן נשלח רק כשנכנסים בכתובת הנכונה, וכי הוא נשלח אוטומטית כל המיילים של הפישינג לא עובדים, כי במייל הפישינג יש כתובת מזויפת שדומה מאוד למקורית, ומנקודת מבט של אבטחה כל הפישינג מתבטל, והמשתמש מקבל חוויה נעימה של זיהוי אוטומטי בלי להקיש סיסמה, כך שהטוקנים נותנים גם אבטחה גבוהה יותר וגם נוחות למשתמש.
7. סוגי הטוקנים וה-NTLM: ל-Kerberos יש טיקטים משלו וב-Azure יש טוקנים בתקן של Java Web Token, וזה אותו רעיון, ובנוסף Active Directory תומך גם ב-NTLM, פרוטוקול שקדם לעידן הטוקנים שבו השתמשו בשם וסיסמה לאימות, והיום מיקרוסופט מנסה להיפטר ממנו ולעבוד רק עם Kerberos.
8. ניהול מכשירים מול העבר: בעולם הקלאסי ניהלו את הווינדוסים עם Group Policy או שרת SCCM, ובעולם הענן במקום SCCM משתמשים ב-Intune, ששולט על ההגדרות של המחשבים וגם יודע לנהל אייפונים ואנדרואידים ולא רק ווינדוסים, כי כשהמציאו את Group Policy בכלל לא היו סמארטפונים.
9. Conditional Access: בעולם הענן יש גם אפשרות לעשות Conditional Access, גישה מותנית לפי מצב המכשיר, למשל אם האנטי וירוס לא מעודכן המכשיר לא מקבל גישה פנימה ולא מקבל את הטוקן, וכך עושים פוליסות שונות גם על טלפונים ומנהלים לא רק ווינדוסים.
10. Federation מול רשת פנימית: עולם ה-Active Directory הרגיל יודע לעבוד רק עם אפליקציות של ווינדוס בתוך הרשת הפנימית, בעוד ש-Azure Active Directory יודע להשתלב עם אפליקציות בענן, יש לו federation, ברית עם חברות ואתרים אחרים שסומכים על הטוקנים שלו, ואם מגדירים ברית כזאת אפשר לבוא עם טוקן של Azure לאפליקציה בענן או ל-Office 365 והיא מזהה אותנו מיד, וב-Active Directory הישן הכל התנהל ברשת פנימית ורק באמצעות VPN אפשר להתחבר מבחוץ כאילו בפנים.
11. מיקום הסיסמאות והסנכרון: הסיסמאות ב-Active Directory נמצאות מקומית בשרת והוא חייב Domain Controllers פיזיים, בעוד ש-Azure Active Directory נמצא בענן ואפשר לסנכרן אליו סיסמאות דרך Azure AD Connect מתוך ה-Active Directory המקומי, וכך בונים סביבה היברידית שבה אותו משתמש קיים גם מקומית וגם בענן עם אותה סיסמה, והחלפת סיסמה מקומית מתעדכנת גם בענן בזכות התוכנה הזאת, וקיימות שתי תוכנות שיודעות לעשות את הסנכרון הזה.
12. MFA מובנה בענן: אחת היכולות החשובות בענן היא MFA, אימות דו שלבי בעזרת סמס או אפליקציה בטלפון שמייצרת קוד גישה חדש כל שלושים שניות, שמוסיף אבטחה ומונע התקפות פישינג, כי גם אם גנבו למשתמש שם וסיסמה נשאר השלב השני של האימות מתוך הטלפון שהתוקף אינו מגיע אליו, ובעולם הקלאסי לא היה MFA והיה צריך פתרון מורכב ויקר להתקנה, בעוד שבענן זה מובנה ומספיק להפעיל אותו.
סיכום:
בשיעור זה השווינו בין שני העולמות והבנו ששניהם מנפיקים טוקנים כרטיסי גישה שמזהים אותנו מול שרתים ואפליקציות, אבל בעולם הישן זה נעשה בפרוטוקול Kerberos על רשת פנימית מאובטחת עם ניהול ב-Group Policy ו-SCCM, סיסמאות מקומיות וללא MFA מובנה, ואילו בענן זה טוקנים מודרניים על גבי HTTP עם תמיכה בכל המכשירים, federation עם אפליקציות ואתרים חיצוניים, ניהול ב-Intune, גישה מותנית, סנכרון סיסמאות בסביבה היברידית ו-MFA מובנה בלחיצת כפתור.
SR13804HE
