Håndtering av privilegert tilgang (PAM)

Privilegert tilgang viser til utvidede tillatelser som går utover standard brukerrettigheter – for eksempel root-/administratorkontoer, domen administrator-legitimasjon, tjenestekontoer med omfattende tillatelser og superbrukerkontoer for databaser. Privilegerte kontoer er angripernes primære mål fordi kompromittering av én slik konto kan gi kontroll over komplette systemer, databaser eller nettverksinfrastruktur. Målet med Privileged Access Management er å administrere disse kontoene på en sikker måte.

Ifølge Forrester Research involverer 80 % av sikkerhetsbrudd privilegert legitimasjon. Når en angriper får tilgang til en privilegert konto, kan vedkommende deaktivere sikkerhetskontroller, hente ut alle data, opprette bakdørskontoer og distribuere løsepengevirus i hele nettverket. Uten PAM-kontroller har organisasjoner ofte hundrevis av privilegerte kontoer med delte passord som aldri endres, ingen revisjonsspor for privilegerte handlinger og ingen mekanisme for raskt å tilbakekalle tilgang under en hendelse.

En sentral PAM-funksjon er lagring av legitimasjon i hvelv – privilegerte kontopassord lagres i et kryptert hvelv med tilgangskontroll i stedet for i regneark, på klistrelapper eller i hodet til de ansatte. Administratorer henter legitimasjon fra hvelvet ved behov, og hvelvet registrerer hver uthenting. Viktigere er at hvelvet kan rotere passord automatisk etter hver bruk, slik at uthentet legitimasjon blir ugyldig når den leveres tilbake. Dette eliminerer delte, statiske passord.

Prinsippet om minste privilegium sier at hver bruker, prosess eller hvert system bare skal ha de minste tilgangsrettighetene som er nødvendige for å utføre funksjonen sin. PAM håndhever dette ved å tildele detaljerte tillatelser i stedet for omfattende administratorrettigheter. I stedet for å gi en utvikler full tilgang som domeneadministrator for å starte én tjeneste på nytt, gir PAM akkurat tilstrekkelig tilgang til å starte den aktuelle tjenesten på nytt på de aktuelle serverne. Dette begrenser skadeomfanget hvis kontoen kompromitteres.

Privileged Session Management registrerer og overvåker alle privilegerte økter i sanntid. PSM-løsninger kan formidle tilkoblinger via PAM-plattformen og registrere tastetrykk, utførte kommandoer og fullskjermsvideo av all privilegert aktivitet. Dette oppretter et komplett revisjonsspor for samsvar, etterforskning og oppdagelse av innsidetrusler. Noen PAM-løsninger kan også avslutte økter i sanntid hvis brudd på retningslinjer oppdages.

Tjenestekontoer er identiteter som brukes av applikasjoner, skript og automatiserte prosesser, ikke av mennesker. De er en stor utfordring for PAM fordi de ofte har omfattende privilegier, passordene sjelden endres, passordene kan være innebygd i applikasjonskode eller skript, og det etter flere års drift er uklart hvem som eier dem. PAM-løsninger administrerer passord for tjenestekontoer via API-er og roterer dem automatisk uten at kodeendringer er nødvendige.

Just-Enough Administration (JEA) er en PowerShell-basert teknologi som begrenser hva en bruker kan gjøre, selv når brukeren har utvidet tilgang. I stedet for å gjøre en systemadministrator til full lokal administrator oppretter JEA et begrenset runspace som bare eksponerer cmdleter og parametere som er nødvendige for rollen. En helpdesk-medarbeider kan for eksempel få tillatelse til å tilbakestille passord, men ikke gjøre noe annet – uten å trenge Domain Admin-rettigheter.

PAM-markedet ledes av virksomhetsløsninger som CyberArk (markedsleder, lokalt installert og SaaS), BeyondTrust (sterk administrasjon av endepunktsprivilegier) og Delinea (tidligere Thycotic og Centrify). Disse plattformene tilbyr lagring av legitimasjon i hvelv, øktregistrering, sanntidsovervåking og integrasjoner med SIEM- og sakssystemer. Valg av PAM-løsning krever vurdering av skalerbarhet, skykompatibilitet, API-funksjoner og integrasjon med eksisterende identitetsinfrastruktur.

PAM omfatter administrasjon av hele livssyklusen til privilegerte kontoer: provisioning (oppretting av kontoer med passende tillatelser og begrunnede forretningsmessige årsaker), review (periodisk tilgangssertifisering for å bekrefte at kontoene fortsatt er nødvendige) og deprovisioning (umiddelbar fjerning når behovet opphører eller arbeidsforholdet avsluttes). Foreldreløse privilegerte kontoer – kontoer som ikke lenger eies av aktive ansatte – er høyrisikomål for angripere og et vanlig avvik ved samsvarskontroller.

PAM-løsninger integreres med SIEM-plattformer for å varsle i sanntid om mistenkelig privilegert aktivitet. Eksempler på atferd som bør utløse varsler, er at en privilegert konto logger på utenom arbeidstid, at en tjenestekonto brukes interaktivt, omfattende filtilgang eller filsletting fra en administratorkonto, privilegieeskalering uten en tilhørende sak og flere mislykkede privilegerte påloggingsforsøk etter hverandre. Atferdsbaserte normalprofiler gjør det enklere å skille normal administratoraktivitet fra avvikende atferd.

PAM er en grunnleggende komponent i Zero Trust-arkitektur. I en Zero Trust-modell antas eller tildeles ikke privilegert tilgang permanent – den må forespørres og godkjennes uttrykkelig, være tidsbegrenset og overvåkes. Dette samsvarer med Zero Trust-prinsippet om tilgang med minste privilegium kombinert med anta sikkerhetsbrudd: selv autoriserte privilegerte brukere behandles som potensielle trusler, og handlingene deres overvåkes og loggføres kontinuerlig for å oppdage avvik.

I denne leksjonen har De lært at: PAM-hvelv lagrer og roterer privilegert legitimasjon automatisk for å eliminere statiske, delte passord, administrasjon av privilegerte økter registrerer all administratoraktivitet for revisjons- og etterforskningsformål, og minste privilegium og just-enough administration begrenser skadeomfanget ved kompromittering av privilegerte kontoer. Neste tema er identitetsstyring og provisionering.