Zoho Directory 2.0: 8 новых функций безопасности, меняющих управление идентификацией

Что нового в каталоге Zoho 2.0

Zoho только что выпустила Directory 2.0, серьезное обновление своей платформы управления идентификацией сотрудников. Как консультант Zoho, внедривший решения по идентификации для десятков организаций, я особенно рад этим обновлениям, поскольку они устраняют реальные болевые точки, которые я вижу в этой области каждый день.

Обновление содержит восемь основных функций, которые упрощают управление идентификацией и одновременно повышают безопасность. Больше всего меня впечатляет то, что Zoho сосредоточился на удаление инфраструктурных зависимостей - больше не нужно поддерживать серверы RADIUS или экземпляры LDAP. Теперь все облачно.

1. Cloud RADIUS: безопасность Wi-Fi без аппаратного обеспечения

Cloud RADIUS полностью исключает это. Он связывает доступ к сети непосредственно с идентификаторами пользователей в каталоге Zoho, обеспечивая:

• Аутентификация на основе личности: Доступ к Wi-Fi привязан к учетным записям сотрудников, а не к общим паролям
• Нулевая инфраструктура: Нет серверов для обслуживания, исправлений или резервного копирования.
• Мгновенный отзыв доступа: Отключить учетную запись пользователя, немедленно потерять доступ к Wi-Fi
• Автоматизация сертификатов: Сертификаты пользователей выдаются и обновляются автоматически

2. Смарт-группы: установил и забыл Управление пользователями

Вот сценарий, который я вижу постоянно: HR нанимает кого-то в лондонский офис на должность менеджера по продажам. ИТ-специалист вручную добавляет их в:

• Лондонская офисная группа
• Группа отдела продаж
• Группа часовых поясов GMT
• Группа разрешений менеджера

Смарт-группы полностью автоматизируют это. Задайте условия один раз, и пользователи будут автоматически добавляться/удаляться на основе их атрибутов.

Примеры условий, которые я использую с клиентами

• Домен электронной почты: Подрядчики автогруппы (@contractor.company.com) vs сотрудники
• Местоположение: Региональные политики доступа (пользователи из ЕС получают другой доступ к приложениям)
• Отдел: Продажи получают доступ к CRM, финансы получают доступ к книгам
• Должность: Менеджеры автоматически получают разрешения на утверждение

3. Политики условного доступа: контекстно-зависимая безопасность

Именно здесь Zoho Directory 2.0 действительно проявляет себя с точки зрения безопасности предприятия. Условный доступ оценивает каждую попытку входа в систему на основе контекст, а не только учетные данные.

Пример политики из реальной жизни

Для клиента финансовых услуг я настроил:

Скомпрометированная учетная запись была обнаружена в течение двух часов после взлома: злоумышленник вошел в систему из Восточной Европы в 3 часа ночи по восточному стандартному времени. Система заблокировала доступ и автоматически предупредила службу безопасности.

4. Политика маршрутизации: методы аутентификации мандата

Разным командам нужны разные подходы к аутентификации. Политика маршрутизации позволяет применять определенные методы входа в систему в зависимости от групп пользователей или приложений.

Общие шаблоны маршрутизации

• Руководители: Только без пароля (биометрические или аппаратные ключи)
• Разработчики: Единый вход + 2FA с TOTP
• Общие сотрудники: Пароль + СМС 2FA
• Подрядчики: Вход через социальную сеть (Google/Microsoft) с ограниченным доступом к приложениям.

5. Принесите свой ключ (BYOK): максимальный контроль данных

Для регулируемых отраслей (здравоохранение, финансы, правительство) ключи шифрования данных имеют решающее значение. БЁК означает вы контролируете ключи шифрования которые защищают ваши данные в каталоге Zoho.

Кому это нужно: Если ваш сотрудник по соблюдению нормативных требований когда-либо спрашивал: «Где хранятся ключи шифрования?» - тебе нужен БЁК.

6. Облачный LDAP: службы каталогов без серверов

Подобно Cloud RADIUS, Cloud LDAP переносит традиционную аутентификацию LDAP в облако. Это очень важно для организаций с устаревшими приложениями, которым требуется LDAP, но которые не хотят поддерживать серверы Active Directory или OpenLDAP.

Варианты использования, которые я реализовал

• VPN-аутентификация: OpenVPN/WireGuard прошел проверку подлинности в каталоге Zoho.
• Сетевое оборудование: Коммутаторы, маршрутизаторы, межсетевые экраны, использующие LDAP для доступа администратора
• Устаревшие приложения: Старые приложения Java, поддерживающие только аутентификацию LDAP
• Linux-серверы: Аутентификация SSH через LDAP без поддержки локального каталога

7 и 8. Журналы аудита + обнаружение аномалий

Эти две функции работают вместе, обеспечивая полная видимость и автоматическое обнаружение угроз.

Журналы аудита

Каждая операция администратора протоколируется с помощью:

• Кто совершил действие
• Что изменилось (значения до/после)
• Когда это произошло (с часовым поясом)
• С какого IP-адреса

Это важно для аудита соответствия. Я не могу сказать вам, сколько раз группы по обеспечению соответствия требованиям просят «доказать, что пользователь X имел доступ к системе Y в день Z» — журналы аудита делают этот запрос 30-секундным, а не трехдневным расследованием.

Обнаружение аномалий

Машинное обучение анализирует модели поведения пользователей и отмечает необычную активность:

• Вход с нового устройства в неурочные часы
• Внезапный скачок количества загрузок файлов
• Доступ к приложениям, которые никогда раньше не использовались
• Географическое невозможное путешествие (Токио → Нью-Йорк за 2 часа)

Рекомендации по внедрению

После внедрения Zoho Directory для более чем 20 организаций я рекомендую следующий подход к развертыванию:

Этап 1: Фонд (1-2 недели)

1. Немедленно включите журналы аудита (вам нужны исторические данные)
2. Настройка смарт-групп для базовой структуры организации
3. Настройте обнаружение аномалий с консервативными пороговыми значениями

Этап 2: Контроль доступа (недели 3–4)

1. Сначала внедрите условный доступ для приложений с высоким уровнем риска (финансы, HR-системы).
2. Тестирование политики маршрутизации с пилотной группой (ИТ-команда или руководители)
3. Документирование исключений из политики и рабочих процессов утверждения

Этап 3: Замена инфраструктуры (недели 5–8)

1. Разверните Cloud RADIUS для тестирования сети (Wi-Fi в конференц-зале).
2. Переносите приложения, зависящие от LDAP, в Cloud LDAP по одному.
3. Запустите параллельные системы в течение 2 недель перед выводом из эксплуатации старой инфраструктуры.

Этап 4: Расширенная безопасность (неделя 9+)

1. Внедрите BYOK, если это необходимо для обеспечения соответствия
2. Точная настройка порогов обнаружения аномалий на основе реальных данных
3. Расширить условный доступ ко всем приложениям
4. Обучите команду реагированию на инциденты с помощью журналов аудита

Итог

Zoho Directory 2.0 — это не просто постепенное обновление, это фундаментальный переход от «управления идентификацией требуется инфраструктура» к «управлению идентификацией исключительно в облаке». Восемь новых функций решают реальные проблемы, с которыми я сталкиваюсь почти при каждом взаимодействии с клиентом:

• Cloud RADIUS устраняет проблемы с безопасностью Wi-Fi
• Смарт-группы снижают нагрузку на администраторов на 60–80 %.
• Условный доступ обнаруживает угрозы, которые упускает из виду традиционный MFA
• BYOK удовлетворит даже самых параноидальных сотрудников, отвечающих за соблюдение требований
• Журналы аудита + обнаружение аномалий обеспечивают прозрачность корпоративного уровня.

Если вы в настоящее время управляете Active Directory, серверами RADIUS или инфраструктурой LDAP, Zoho Directory 2.0 заслуживает серьезной оценки. Усилия по переходу реальны, но долгосрочная экономия на эксплуатации и повышение безопасности делают его целесообразным для большинства организаций.