Zarządzanie uprzywilejowanym dostępem (PAM)

Uprzywilejowany dostęp oznacza podwyższone uprawnienia wykraczające poza standardowe prawa użytkownika — na przykład konta root/administratora, dane uwierzytelniające administratorów domeny, konta usług z szerokimi uprawnieniami oraz konta superużytkowników baz danych. Konta uprzywilejowane są głównym celem napastników, ponieważ przejęcie jednego z nich może zapewnić kontrolę nad całymi systemami, bazami danych lub infrastrukturą sieciową. Bezpieczne zarządzanie tymi kontami jest celem zarządzania uprzywilejowanym dostępem.

Według Forrester Research 80% naruszeń bezpieczeństwa obejmuje dane uwierzytelniające kont uprzywilejowanych. Gdy napastnik uzyska konto uprzywilejowane, może: wyłączyć mechanizmy zabezpieczeń, wykraść wszystkie dane, utworzyć konta backdoor oraz wdrożyć ransomware w całej sieci. Bez mechanizmów PAM organizacje często mają setki kont uprzywilejowanych ze współdzielonymi hasłami, które nigdy się nie zmieniają, brak ścieżki audytowej działań uprzywilejowanych oraz brak możliwości szybkiego odebrania dostępu podczas incydentu.

Podstawową funkcją PAM jest przechowywanie danych uwierzytelniających w sejfie — przechowywanie haseł kont uprzywilejowanych w zaszyfrowanym sejfie z kontrolą dostępu zamiast w arkuszach kalkulacyjnych, na karteczkach samoprzylepnych lub w pamięci pracowników. Administratorzy pobierają dane uwierzytelniające z sejfu, gdy są potrzebne, a sejf rejestruje każde pobranie. Co najważniejsze, sejf może automatycznie zmieniać hasła po każdym użyciu, dzięki czemu pobrane dane uwierzytelniające stają się nieważne po ich zwróceniu. Eliminuje to współdzielone, statyczne hasła.

Zasada najmniejszych uprawnień mówi, że każdy użytkownik, proces lub system powinien mieć wyłącznie minimalny zakres praw dostępu niezbędny do wykonywania swojej funkcji. PAM wymusza tę zasadę, przydzielając szczegółowe uprawnienia zamiast ogólnych praw administratora. Zamiast przyznawać deweloperowi pełny dostęp administratora domeny w celu ponownego uruchomienia jednej usługi, PAM przyznaje dostęp wystarczający tylko do ponownego uruchomienia tej konkretnej usługi na tych konkretnych serwerach. Ogranicza to skalę skutków przejęcia konta.

Zarządzanie sesjami uprzywilejowanymi rejestruje i monitoruje w czasie rzeczywistym każdą sesję uprzywilejowaną. Rozwiązania PSM mogą pośredniczyć w połączeniach za pośrednictwem platformy PAM, rejestrując naciśnięcia klawiszy, wydawane polecenia oraz pełny obraz wideo wszystkich działań uprzywilejowanych. Tworzy to kompletną ścieżkę audytową na potrzeby zgodności, analiz śledczych i wykrywania zagrożeń wewnętrznych. Niektóre rozwiązania PAM mogą również kończyć sesje w czasie rzeczywistym po wykryciu naruszeń zasad.

Konta usług to tożsamości używane przez aplikacje, skrypty i procesy automatyczne, a nie przez ludzi. Stanowią one poważne wyzwanie dla PAM, ponieważ często mają wysokie uprawnienia, ich hasła rzadko się zmieniają, mogą być zapisane w kodzie aplikacji lub skryptach, a po latach działania nie jest jasne, kto jest za nie odpowiedzialny. Rozwiązania PAM zarządzają hasłami kont usług za pośrednictwem interfejsów API i automatycznie je zmieniają bez konieczności modyfikowania kodu.

Just-Enough Administration (JEA) to technologia oparta na PowerShell, która ogranicza zakres działań użytkownika nawet wtedy, gdy ma on podwyższony dostęp. Zamiast nadawać administratorowi systemu pełne uprawnienia administratora lokalnego, JEA tworzy ograniczony obszar uruchomieniowy, udostępniający tylko konkretne polecenia cmdlet i parametry potrzebne na danym stanowisku. Operator helpdesku może na przykład otrzymać uprawnienie do resetowania haseł, ale do niczego więcej — bez konieczności posiadania praw Domain Admin.

Rynek PAM jest zdominowany przez rozwiązania dla przedsiębiorstw, w tym CyberArk (lider rynku, wdrożenia lokalne i SaaS), BeyondTrust (silne funkcje zarządzania uprawnieniami punktów końcowych) oraz Delinea (wcześniej Thycotic i Centrify). Platformy te oferują przechowywanie danych uwierzytelniających w sejfie, nagrywanie sesji, monitorowanie w czasie rzeczywistym oraz integracje z systemami SIEM i systemami obsługi zgłoszeń. Wybór rozwiązania PAM wymaga oceny skali, obsługi chmury, możliwości interfejsów API oraz integracji z istniejącą infrastrukturą tożsamości.

PAM obejmuje zarządzanie pełnym cyklem życia kont uprzywilejowanych: udostępnianie (tworzenie kont z odpowiednimi uprawnieniami i uzasadnioną potrzebą biznesową), przegląd (okresowe poświadczenie dostępu w celu potwierdzenia, że konta są nadal potrzebne) oraz wycofanie (natychmiastowe usunięcie, gdy potrzeba dostępu ustaje lub kończy się zatrudnienie). Osierocone konta uprzywilejowane — takie, za które nie odpowiadają już aktywni pracownicy — są łatwym celem dla napastników i często wskazuje się je jako niezgodność podczas kontroli.

Rozwiązania PAM integrują się z platformami SIEM, aby zapewniać alerty w czasie rzeczywistym dotyczące podejrzanych działań uprzywilejowanych. Przykładowe zachowania, które powinny wywoływać alerty, to: logowanie konta uprzywilejowanego poza godzinami pracy, interaktywne użycie konta usługi, masowy dostęp do plików lub ich usuwanie przez konto administratora, eskalacja uprawnień bez odpowiadającego jej zgłoszenia oraz następujące po sobie nieudane próby logowania uprzywilejowanego. Profile zachowań pomagają odróżnić typową aktywność administratora od zachowania anomalnego.

PAM jest podstawowym elementem architektury Zero Trust. W modelu zero trust nie zakłada się istnienia uprzywilejowanego dostępu stałego ani przyznanego z góry — należy go jawnie zażądać, zatwierdzić, ograniczyć czasowo i monitorować. Jest to zgodne z zasadą zero trust dotyczącą dostępu zgodnie z zasadą najmniejszych uprawnień oraz zasadą zakładania, że doszło do naruszenia: nawet uprawnieni użytkownicy uprzywilejowani są traktowani jako potencjalne zagrożenie, a ich działania są stale monitorowane i rejestrowane w celu wykrywania anomalii.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: sejfy PAM przechowują uprzywilejowane dane uwierzytelniające i automatycznie je zmieniają, eliminując statyczne współdzielone hasła, zarządzanie sesjami uprzywilejowanymi rejestruje wszystkie działania administratorów na potrzeby audytu i analiz śledczych, a także zasada najmniejszych uprawnień i administracja wystarczająca do wykonania zadania ograniczają skalę skutków przejęcia kont uprzywilejowanych. Następnie omówimy zarządzanie tożsamością i udostępnianie zasobów.