Ayrıcalıklı Erişim Yönetimi (PAM)

Ayrıcalıklı erişim, standart kullanıcı haklarının ötesine geçen yükseltilmiş izinleri ifade eder; bunlara root/yönetici hesapları, etki alanı yöneticisi kimlik bilgileri, geniş izinlere sahip hizmet hesapları ve veritabanı süper kullanıcı hesapları dahildir. Ayrıcalıklı hesaplar saldırganların başlıca hedefidir; çünkü böyle bir hesabın ele geçirilmesi tüm sistemler, veritabanları veya ağ altyapısı üzerinde denetim sağlayabilir. Bu hesapları güvenli biçimde yönetmek, Ayrıcalıklı Erişim Yönetimi'nin amacıdır.

Forrester Research'e göre güvenlik ihlallerinin %80'i ayrıcalıklı kimlik bilgilerini içerir. Bir saldırgan ayrıcalıklı bir hesap elde ettiğinde şunları yapabilir: güvenlik denetimlerini devre dışı bırakabilir, tüm verileri dışarı çıkarabilir, arka kapı hesapları oluşturabilir ve tüm ağa fidye yazılımı dağıtabilir. PAM denetimleri olmadan kuruluşlarda genellikle parolaları hiç değişmeyen, paylaşılan parolalara sahip yüzlerce ayrıcalıklı hesap, ayrıcalıklı işlemler için denetim izi ve bir olay sırasında erişimi hızla iptal etme mekanizması bulunmaz.

Temel bir PAM işlevi, kimlik bilgilerini kasada saklamadır: ayrıcalıklı hesap parolalarını elektronik tablolar, yapışkan notlar veya çalışanların zihni yerine şifrelenmiş ve erişim denetimli bir kasada saklamak. Yöneticiler gerektiğinde kimlik bilgilerini kasadan alır; kasa her alma işlemini kaydeder. Daha da önemlisi kasa, her kullanımdan sonra parolaları otomatik olarak değiştirebilir; böylece alınan kimlik bilgileri geri verildikten sonra geçersiz olur. Bu, paylaşılan ve sabit parolaları ortadan kaldırır.

En az ayrıcalık ilkesi, her kullanıcının, işlemin veya sistemin işlevini yerine getirmek için gerekli olan en düşük erişim haklarına sahip olması gerektiğini belirtir. PAM bunu, kapsamlı yönetici hakları yerine ayrıntılı izinler atayarak uygular. Bir geliştiriciye tek bir hizmeti yeniden başlatması için tam etki alanı yöneticisi erişimi vermek yerine PAM, yalnızca belirli sunucularda söz konusu hizmeti yeniden başlatmaya yetecek erişim tanır. Bu, hesabın ele geçirilmesi durumunda etkinin yayılabileceği alanı sınırlar.

Ayrıcalıklı Oturum Yönetimi, her ayrıcalıklı oturumu gerçek zamanlı olarak kaydeder ve izler. PSM çözümleri, bağlantıları PAM platformu üzerinden vekil olarak yönlendirebilir; tuş vuruşlarını, verilen komutları ve tüm ayrıcalıklı etkinliğin tam ekran videosunu kaydedebilir. Bu, uyumluluk, adli inceleme ve içeriden gelen tehditlerin tespiti için eksiksiz bir denetim izi oluşturur. Bazı PAM çözümleri, politika ihlalleri tespit edilirse oturumları gerçek zamanlı olarak sonlandırabilir.

Hizmet hesapları, insanlar yerine uygulamalar, betikler ve otomatik işlemler tarafından kullanılan kimliklerdir. Aşağıdaki nedenlerle PAM açısından önemli bir zorluk oluştururlar: çoğu zaman yüksek ayrıcalıklara sahiptirler, parolaları nadiren değiştirilir, uygulama koduna veya betiklere gömülü olabilirler ve yıllarca süren işletimden sonra sahipleri belirsiz hale gelebilir. PAM çözümleri, hizmet hesabı parolalarını API'ler aracılığıyla yönetir ve kod değişikliği gerektirmeden bunları otomatik olarak değiştirir.

Just-Enough Administration (JEA), bir kullanıcının yükseltilmiş erişime sahip olsa bile neler yapabileceğini kısıtlayan, PowerShell tabanlı bir teknolojidir. Bir sistem yöneticisini tam yerel yönetici yapmak yerine JEA, yalnızca rolü için gereken belirli cmdlet'leri ve parametreleri kullanıma sunan kısıtlı bir çalışma alanı oluşturur. Bir yardım masası operatörünün parolaları sıfırlamasına izin verilebilir, ancak başka hiçbir işlem yapmasına izin verilmez; tüm bunlar Domain Admin haklarına ihtiyaç duyulmadan gerçekleştirilir.

PAM pazarına CyberArk (pazar lideri; şirket içinde ve SaaS), BeyondTrust (güçlü uç nokta ayrıcalık yönetimi) ve Delinea (eski adıyla Thycotic ve Centrify) gibi kurumsal çözümler öncülük eder. Bu platformlar kimlik bilgilerini kasada saklama, oturum kaydı, gerçek zamanlı izleme ve SIEM ile bilet sistemlerine yönelik tümleştirmeler sağlar. Bir PAM çözümü seçerken ölçeğin, bulut desteğinin, API yeteneklerinin ve mevcut kimlik altyapısıyla tümleştirmenin değerlendirilmesi gerekir.

PAM, ayrıcalıklı hesapların yaşam döngüsünün tamamını yönetmeyi içerir: sağlama (uygun izinlere ve gerekçelendirilmiş iş nedenlerine sahip hesaplar oluşturma), gözden geçirme (hesaplara hâlâ ihtiyaç duyulduğunu doğrulamak için düzenli erişim onayı) ve sağlamayı kaldırma (ihtiyaç sona erdiğinde veya iş ilişkisi sonlandığında hesabı hemen kaldırma). Artık etkin çalışanlara ait olmayan yetim ayrıcalıklı hesaplar, saldırganlar için yüksek riskli hedeflerdir ve yaygın bir uyumluluk bulgusudur.

PAM çözümleri, şüpheli ayrıcalıklı etkinlikler için gerçek zamanlı uyarı sağlamak üzere SIEM platformlarıyla tümleşir. Uyarıları tetiklemesi gereken davranışlara şu örnekler verilebilir: ayrıcalıklı bir hesabın çalışma saatleri dışında oturum açması, bir hizmet hesabının etkileşimli olarak kullanılması, bir yönetici hesabının çok sayıda dosyaya erişmesi veya bunları silmesi, buna karşılık gelen bir bilet olmadan ayrıcalık yükseltilmesi ve art arda başarısız ayrıcalıklı oturum açma girişimleri. Davranış temelleri, normal yönetici etkinliğini anormal davranıştan ayırt etmeye yardımcı olur.

PAM, Zero Trust mimarisinin temel bileşenlerinden biridir. Sıfır güven modelinde ayrıcalıklı erişim hiçbir zaman varsayılmaz veya sürekli açık tutulmaz; açıkça istenmeli, onaylanmalı, süreyle sınırlandırılmalı ve izlenmelidir. Bu yaklaşım, en az ayrıcalıklı erişim ilkesini ihlal varsayımı ile birleştirir: yetkili ayrıcalıklı kullanıcılar bile olası tehditler olarak değerlendirilir ve anormallik tespiti için eylemleri sürekli olarak izlenip kaydedilir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: PAM kasaları, sabit paylaşılan parolaları ortadan kaldırmak için ayrıcalıklı kimlik bilgilerini saklar ve otomatik olarak değiştirir, ayrıcalıklı oturum yönetimi, denetim ve adli inceleme amaçlarıyla tüm yönetici etkinliklerini kaydeder ve en az ayrıcalık ile yeterli düzeyde yönetim, ele geçirilmiş ayrıcalıklı hesapların etkisinin yayılabileceği alanı azaltır. Sırada kimlik yönetişimi ve sağlamayı inceleyeceğiz.