Управление привилегированным доступом (PAM)

Привилегированный доступ — это расширенные разрешения, выходящие за пределы стандартных прав пользователя, например учётные записи root/администратора, учётные данные администратора домена, служебные учётные записи с широкими разрешениями и учётные записи суперпользователя базы данных. Привилегированные учётные записи — главная цель злоумышленников, поскольку компрометация одной такой учётной записи может предоставить контроль над целыми системами, базами данных или сетевой инфраструктурой. Безопасное управление этими учётными записями — задача управления привилегированным доступом.

Согласно Forrester Research, 80% нарушений безопасности связаны с привилегированными учётными данными. Получив привилегированную учётную запись, злоумышленники могут отключить средства защиты, вывести все данные, создать учётные записи для обходного доступа и развернуть программы-вымогатели во всей сети. Без средств PAM в организациях часто имеются сотни привилегированных учётных записей с общими паролями, которые никогда не меняются, отсутствует журнал привилегированных действий и нет механизма быстрого отзыва доступа во время инцидента.

Одна из основных функций PAM — хранение учётных данных: пароли привилегированных учётных записей хранятся в зашифрованном хранилище с контролем доступа, а не в электронных таблицах, на наклейках или в памяти сотрудников. Администраторы получают учётные данные из хранилища по мере необходимости; хранилище регистрирует каждое получение. Важно, что хранилище может автоматически менять пароли после каждого использования, поэтому полученные учётные данные становятся недействительными после возврата. Это устраняет общие статические пароли.

Принцип минимальных привилегий гласит, что каждый пользователь, процесс или система должны иметь только минимальные права доступа, необходимые для выполнения своей функции. PAM обеспечивает это, назначая детализированные разрешения вместо неограниченных прав администратора. Вместо предоставления разработчику полного доступа Domain Admin для перезапуска одной службы PAM предоставляет ровно достаточный доступ для перезапуска этой конкретной службы на этих конкретных серверах. Это ограничивает масштаб последствий при компрометации учётной записи.

Управление привилегированными сеансами записывает и отслеживает каждый привилегированный сеанс в реальном времени. Решения PSM могут проксировать подключения через платформу PAM, записывая нажатия клавиш, выполненные команды и полноэкранное видео всех привилегированных действий. Это создаёт полный журнал аудита для соблюдения требований, криминалистического анализа и выявления угроз со стороны инсайдеров. Некоторые решения PAM также могут завершать сеансы в реальном времени при обнаружении нарушений политик.

Служебные учётные записи — это идентичности, используемые приложениями, скриптами и автоматизированными процессами, а не людьми. Они представляют серьёзную проблему для PAM, поскольку часто имеют высокие привилегии, их пароли редко меняются, они могут быть встроены в код приложений или скрипты, а спустя годы эксплуатации их владельцы могут быть неизвестны. Решения PAM управляют паролями служебных учётных записей через API и автоматически меняют их без необходимости изменять код.

Администрирование с ровно достаточными правами (JEA) — это технология на основе PowerShell, ограничивающая действия пользователя даже при наличии у него повышенного доступа. Вместо предоставления системному администратору полных прав локального администратора JEA создаёт ограниченное пространство выполнения, в котором доступны только конкретные командлеты и параметры, необходимые для его роли. Оператор HelpDesk может получить разрешение на сброс паролей, но не на что-либо ещё — и всё это без необходимости предоставлять права Domain Admin.

На рынке PAM лидируют корпоративные решения, включая CyberArk (лидер рынка, локальная установка и SaaS), BeyondTrust (сильные возможности управления привилегиями конечных устройств) и Delinea (ранее Thycotic и Centrify). Эти платформы обеспечивают хранение учётных данных, запись сеансов, мониторинг в реальном времени и интеграцию с SIEM и системами управления заявками. При выборе решения PAM необходимо оценить масштаб, поддержку облачных сред, возможности API и интеграцию с существующей инфраструктурой идентификаций.

PAM включает управление полным жизненным циклом привилегированных учётных записей: предоставление (создание учётных записей с соответствующими разрешениями и обоснованными деловыми причинами), проверка (периодическое подтверждение доступа, чтобы убедиться, что учётные записи по-прежнему необходимы) и отзыв предоставленного доступа (немедленное удаление, когда необходимость отпадает или трудовые отношения прекращаются). Осиротевшие привилегированные учётные записи — те, которыми больше не владеют действующие сотрудники, — представляют собой цели высокого риска для злоумышленников и часто выявляются при проверках соответствия требованиям.

Решения PAM интегрируются с платформами SIEM, обеспечивая оповещения в реальном времени о подозрительных привилегированных действиях. Примеры поведения, которое должно вызывать оповещения: вход привилегированной учётной записи вне рабочих часов, интерактивное использование служебной учётной записи, массовый доступ к файлам или их удаление учётной записью администратора, повышение привилегий без соответствующей заявки и последовательные неудачные попытки входа с привилегиями. Поведенческие базовые профили помогают отличать обычные действия администратора от аномального поведения.

PAM — основополагающий компонент архитектуры нулевого доверия. В модели нулевого доверия привилегированный доступ никогда не предполагается и не предоставляется постоянно: его необходимо явно запросить, одобрить, ограничить по времени и отслеживать. Это соответствует принципу нулевого доверия — доступу с минимальными привилегиями в сочетании с принципом предположения о компрометации: даже авторизованные привилегированные пользователи рассматриваются как потенциальные угрозы, а их действия непрерывно отслеживаются и регистрируются для выявления аномалий.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что хранилища PAM сохраняют и автоматически меняют привилегированные учётные данные, устраняя статические общие пароли, управление привилегированными сеансами записывает все действия администраторов для аудита и криминалистического анализа, а минимальные привилегии и администрирование с ровно достаточными правами уменьшают масштаб последствий компрометации привилегированных учётных записей. Далее мы рассмотрим управление идентификациями и предоставление доступа.