Политики безопасности в UniFi Identity

Обзор политик безопасности

Политики безопасности в UniFi Identity позволяют централизованно управлять правилами доступа пользователей к корпоративным ресурсам. Они определяют, как пользователи аутентифицируются, какие дополнительные проверки проходят, и при каких условиях получают доступ.

Типы политик

Иерархия политик

Политики применяются в определённом порядке приоритета:

1. Политики организации — применяются ко всем пользователям по умолчанию
2. Политики группы — переопределяют организационные для участников группы
3. Индивидуальные политики — высший приоритет, применяются к конкретному пользователю

Политики паролей

Политики паролей определяют требования к созданию и управлению паролями пользователей. Настраиваются в разделе Security → Password Policy.

Параметры политики паролей

Сложность пароля

Жизненный цикл

Защита от атак

Настройка политики паролей

1. Откройте настройки безопасности
   В Identity Hub перейдите в Security → Password Policy
2. Настройте требования к сложности
   Рекомендуемые настройки для бизнеса:
   • Минимальная длина: 12 символов
   • Требовать: заглавные + строчные + цифры
   • Спецсимволы: опционально
   • Проверка утечек: включено
3. Настройте жизненный цикл
   • Срок действия: 90 дней
   • Предупреждение: за 14 дней
   • История паролей: 12 последних
4. Настройте защиту от атак
   • Блокировка после: 5 неудачных попыток
   • Длительность блокировки: 15 минут

Многофакторная аутентификация (MFA)

MFA значительно повышает безопасность, требуя дополнительное подтверждение личности помимо пароля. UniFi Identity поддерживает несколько методов MFA.

Поддерживаемые методы MFA

Настройка политики MFA

1. Откройте настройки MFA
   Перейдите в Security → Multi-Factor Authentication
2. Выберите режим MFA
   • Optional — пользователи могут включить MFA по желанию
   • Required for admins — MFA обязательна только для администраторов
   • Required for all — MFA обязательна для всех пользователей (рекомендуется)
3. Разрешите методы MFA
   Выберите, какие методы MFA могут использовать пользователи
4. Настройте grace period
   Дайте пользователям время на настройку MFA после включения политики: 7-14 дней — рекомендуемый период

Условный доступ

Политики условного доступа позволяют применять дополнительные требования или ограничения на основе контекста запроса: местоположения, устройства, приложения, времени и уровня риска.

Компоненты условного доступа

Условия (IF):

• Пользователь/Группа
• Приложение
• Местоположение
• Устройство
• Время
• Уровень риска

Действия (THEN):

• Разрешить доступ
• Требовать MFA
• Требовать доверенное устройство
• Заблокировать

Примеры политик условного доступа

Создание политики условного доступа

1. Откройте раздел политик — Security → Conditional Access → Create Policy
2. Задайте условия — выберите, к кому и при каких обстоятельствах применяется политика
3. Определите действие — укажите, что происходит при выполнении условий
4. Включите в режиме "Report-only" — сначала протестируйте политику без блокировки пользователей

Политики сессий

Политики сессий контролируют время жизни аутентифицированных сессий и требования к повторной аутентификации.

Параметры сессий

Step-up аутентификация

Для особо чувствительных действий можно требовать дополнительную аутентификацию, даже если пользователь уже вошёл в систему:

• Изменение пароля → Требовать текущий пароль
• Изменение MFA → Требовать MFA + пароль
• Доступ к финансовым данным → Требовать MFA каждые 15 мин
• Административные действия → Требовать Hardware Key

Доверие устройствам

Device Trust позволяет ограничить доступ к ресурсам только с устройств, соответствующих корпоративным требованиям безопасности.

Уровни доверия устройств

Требования соответствия

Вы можете определить требования, которым должно соответствовать устройство для получения статуса "Compliant":

Операционная система:

• Windows 10/11 с последними обновлениями
• macOS 12+ с обновлениями безопасности
• iOS 15+ / Android 12+

Безопасность:

• Шифрование диска (BitLocker/FileVault)
• Firewall включён
• Антивирус активен и обновлён
• Блокировка экрана настроена

Конфигурация:

• Jailbreak/Root не обнаружен
• Developer mode выключен
• USB debugging отключён (Android)

Сетевые политики

Сетевые политики определяют, как Identity интегрируется с сетевой инфраструктурой для контроля доступа к WiFi, VPN и сегментации сети.

WiFi политики

Password-Free WiFi:

Пользователи с Identity Endpoint App автоматически подключаются к корпоративному WiFi без ввода пароля. Устройство аутентифицируется через сертификат.

• SSID: Corp-WiFi
• Метод: EAP-TLS (сертификат)
• VLAN: Динамически по группе

Динамическое назначение VLAN:

В зависимости от группы пользователя назначается соответствующий VLAN при подключении к WiFi:

VPN политики

Подробнее о VPN политиках читайте в статье VPN доступ через Identity.

RADIUS политики

Интеграция с RADIUS для аутентификации на сетевом оборудовании описана в статье RADIUS интеграция.

Соответствие требованиям

UniFi Identity помогает организациям соответствовать различным стандартам и регуляторным требованиям в области информационной безопасности.

Поддерживаемые стандарты

Compliance-готовые политики

UniFi Identity предлагает преднастроенные шаблоны политик для быстрого соответствия требованиям:

Базовый уровень безопасности:

• Пароль: 8+ символов
• MFA: опционально
• Сессия: 8 часов

Рекомендуемый уровень:

• Пароль: 12+ символов, смена 90 дней
• MFA: обязательно для всех
• Сессия: 4 часа, re-auth 24ч
• Условный доступ: по геолокации

Строгий уровень (финансы, медицина):

• Пароль: 14+ символов, смена 60 дней
• MFA: Hardware key или TOTP
• Сессия: 1 час, re-auth 4ч
• Device Trust: только Compliant
• Полный аудит всех действий

Аудит и логирование

UniFi Identity ведёт детальные логи всех событий, связанных с аутентификацией и авторизацией, что необходимо для безопасности и compliance.

Типы логируемых событий

Структура лога

{
  "timestamp": "2024-01-15T14:32:15.123Z",
  "event_type": "authentication.login.success",
  "user": {
    "id": "usr_abc123",
    "email": "ivan.petrov@company.ru",
    "name": "Иван Петров"
  },
  "client": {
    "ip": "203.0.113.45",
    "user_agent": "Mozilla/5.0...",
    "device_id": "dev_xyz789"
  },
  "location": {
    "country": "RU",
    "city": "Moscow"
  },
  "context": {
    "mfa_used": true,
    "mfa_method": "totp",
    "session_id": "sess_123456"
  }
}

Хранение и экспорт логов

Лучшие практики

Рекомендации

• Включите MFA для всех — MFA блокирует 99.9% автоматизированных атак. Начните с администраторов, затем распространите на всех
• Используйте условный доступ — блокируйте входы из неразрешённых стран и требуйте MFA вне корпоративной сети
• Проверяйте утечки паролей — включите проверку паролей по базам утечек при создании и смене пароля
• Регулярно проверяйте логи — настройте оповещения о подозрительных событиях: множественные неудачные входы, входы из новых стран

Чего избегать

• Не используйте SMS для MFA — SMS уязвим к SIM-swapping атакам. Используйте TOTP, Push или Hardware ключи
• Не ставьте слишком длинные сессии — сессии более 24 часов увеличивают риск при компрометации устройства

Чеклист безопасности

Базовый уровень:

• Пароли минимум 12 символов
• MFA для администраторов
• Блокировка после 5 неудачных попыток
• Логирование включено

Средний уровень:

• MFA для всех пользователей
• Условный доступ по геолокации
• Проверка утечек паролей
• Регулярный аудит доступов

Высокий уровень:

• Hardware ключи для админов
• Device Trust обязателен
• SIEM интеграция
• Автоматизированные оповещения

Заключение

Правильно настроенные политики безопасности — основа защиты корпоративных ресурсов. UniFi Identity предоставляет все необходимые инструменты для реализации современного подхода Zero Trust: многофакторная аутентификация, условный доступ, Device Trust и детальное логирование.

Начните с базовых политик и постепенно усиливайте защиту по мере роста зрелости безопасности в организации.