Атака на привилегированных пользователей: как защититься от новых векторов атак

Администратор может менять настройки систем, управлять серверами и получать доступ к критически важным данным. Если злоумышленнику удается завладеть его учетной записью, он получает те же возможности. Для этого атакующие похищают пароли или перехватывают уже открытые сессии. В статье расскажем, как меняются сценарии атак на привилегии пользователей и какую роль PAM играет в ограничении таких действий.

Эволюция атак: от брутфорса к целевым

Подбор пароля остается одним из классических сценариев атаки на привилегированную учетную запись. Зная логин, злоумышленник с помощью скрипта последовательно проверяет множество комбинаций для входа на сервер или в административную панель. Большое число неудачных авторизаций оставляет заметный след в журналах, а блокировка после нескольких попыток может остановить подбор еще на раннем этапе. Поэтому такие атаки сравнительно проще выявлять и ограничивать средствами защиты входа.

Современные атаки позволяют обойти этап подбора пароля. Злоумышленника может интересовать уже открытая сессия или токен, который сервис выдал после успешной аутентификации. Например, при фишинге с перехватом авторизации атакующий оказывается посредником между пользователем и настоящим сервисом и получает данные активной сессии. Пока такой токен остается действительным, его можно попытаться использовать для обращения к ресурсам от имени владельца учетной записи.

Еще один сценарий атаки строится на том, что пользователь сам подтверждает вход, начатый злоумышленником. Сотрудника компании могут убедить перейти на настоящую страницу авторизации и ввести предложенный код. Сервис считает проверку пройденной и выдает токен для сессии атакующего — подбирать или узнавать пароль в этом случае уже не требуется.

Атаки на привилегированные учетные записи постепенно выходят за рамки охоты за паролем. Целью становятся и данные для входа, и сам процесс аутентификации, и уже открытая сессия. Особенно опасна такая ситуация для администратора, чьи права позволяют работать с серверами и другими критическими системами. Управление привилегированным доступом должно охватывать защиту учетных данных, условия подключения к ресурсам и действия пользователя во время сессии.

пять новых сценариев атаки на привилегированные учетки

Пять актуальных сценариев атак

Современная атака на привилегированных пользователей часто опирается на уже существующие права и разрешенные способы подключения. Нарушитель может похитить учетные данные, воспользоваться открытой сессией или найти учетную запись, которая давно не контролируется. При оценке сценариев атак на привилегии пользователей важно учитывать способ входа и действия, доступные злоумышленнику после аутентификации.

Вредоносное ПО на рабочем месте администратора может искать сохраненные учетные данные. Если специалист хранит или вручную вводит пароли от критических систем, их компрометация позволяет использовать его полномочия.
После компрометации учетной записи администратора злоумышленник может попытаться подключиться к другим серверам и системам управления. Чем шире исходные права пользователя, тем больше ресурсов доступно для дальнейшего развития атаки.
Общая административная учетная запись затрудняет контроль действий пользователей. Если ее пароль скомпрометирован, атакующий получает доступ к тем же ресурсам, что и штатные специалисты.
В инфраструктуре могут сохраняться привилегированные УЗ бывших сотрудников или записи, необходимость в которых давно исчезла. Они создают дополнительную точку получения доступа и могут использоваться для закрепления в системе.
Целью атаки может стать уже открытая RDP- или SSH-сессия. Получив контроль над такой сессией, нарушитель может использовать уже предоставленные пользователю повышенные права.

Во всех пяти случаях одной проверки при входе недостаточно для контроля дальнейших действий. Службе ИБ нужен актуальный перечень привилегированных УЗ, их владельцев, доступных ресурсов и сроков действия прав. Платформа PAM позволяет определять, к каким ресурсам и на какой срок предоставляется доступ, скрывать учетные данные, организовывать подключения через контролируемые сессии и фиксировать действия пользователей для последующего аудита.

Проверьте готовность инфраструктуры к внедрению PAM. Получите чек-лист «С чего начать выбор PAM-системы» и проверьте, какие привилегированные учетные записи и критические ресурсы уже требуют дополнительного контроля.

Компрометация подрядчиков и атаки на сессии администраторов

Подрядчик может иметь вполне законный доступ к базам данных или другим внутренним системам заказчика. Для атакующего это создает альтернативный путь: вместо прямой атаки на компанию можно попытаться скомпрометировать учетные данные или рабочее устройство внешнего специалиста. Чем больше ресурсов доступно подрядчику, тем шире возможности злоумышленника, который действует от его имени.

Риск сохраняется и после того, как штатный администратор успешно подключился к системе по RDP или SSH. Если привилегированный пользователь уже открыл сессию, атакующий может попытаться получить над ней контроль и использовать выданные пользователю повышенные права. В некоторых сценариях повторная аутентификация для этого не требуется, поэтому опасные действия могут выполняться внутри уже установленного подключения.

Контроль подрядчиков стоит привязывать к рабочей задаче и сроку ее выполнения. Правила должны охватывать выдачу, использование и отзыв повышенных прав. Для этого применяют несколько базовых мер.

Разрешать подключение только к тем системам, которые нужны для конкретной задачи.
Ограничивать привилегии по времени и пересматривать их при изменении условий работы.
Своевременно отзывать права после завершения проекта или обслуживания.
Исключать неконтролируемое использование общих административных профилей.
Контролировать и фиксировать привилегированные подключения.

Технический контроль удаленного доступа подрядчиков можно выстроить с помощью Solar SafeInspectполнофункциональная платформа PAM (Privileged Access Management) для эффективного управления привилегированными учетными записями и сессиями. и модуля Solar SafeConnect. SafeConnect предоставляет через веб-браузер доступ к опубликованным ресурсам по запросу и на ограниченное время, а дальнейшая привилегированная сессия проходит под контролем SafeInspect с применением политик PAM и подстановкой учетных данных.

Доверенный доступ требует контроля

Подрядчик получает расширенные права для решения конкретной задачи, а не безусловный доступ ко всей инфраструктуре. Привилегии должны соответствовать сроку, набору ресурсов и характеру работ, а сама сессия — оставаться контролируемой на протяжении всего подключения.

Команда Solar

Почему традиционные средства защиты не работают против современных атак на привилегии

Классические средства защиты не всегда видят риск, если злоумышленник действует через разрешенную учетную запись. Межсетевой экран может пропустить подключение по разрешенному RDP- или SSH-протоколу, а многофакторная аутентификация — подтвердить вход пользователя, чьи данные или сессия уже оказались скомпрометированы.

Отдельный риск связан с использованием штатных средств администрирования. Получив необходимые права, атакующий может выполнять команды через PowerShell, командную строку и другие инструменты, которыми ежедневно пользуются системные администраторы. Отдельного вредоносного файла на диске при этом может вообще не быть.

Постоянные широкие привилегии увеличивают последствия компрометации. Если администратор может работать сразу с несколькими системами, то после получения доступа к его учетной записи злоумышленник получает те же возможности. Правильный пароль сам по себе не подтверждает безопасность дальнейших действий.

Средство защиты	Что делает	Что остается за пределами его основной задачи
Антивирус	Ищет и блокирует вредоносные объекты и известные угрозы	Легитимные административные инструменты не являются вредоносным ПО
Межсетевой экран	Контролирует сетевые соединения, направления и протоколы	Разрешенное административное подключение может оставаться допустимым даже при компрометации пользователя
MFA	Добавляет дополнительный этап проверки при входе	Не контролирует действия после успешной аутентификации и не исключает сценарии с уже похищенной активной сессией или токеном
VPN	Создает защищенный канал удаленного подключения	Не заменяет контроль привилегированных учетных записей, ресурсов и действий в административной сессии

Solar SafeInspect позволяет ограничивать привилегированный доступ конкретными ресурсами, временем работы, а также записывать административные сессии. При подозрительной активности сеанс можно прервать вручную. Запрещенные команды система блокирует в реальном времени по настроенным правилам. Контроль продолжается после успешной аутентификации и дополняет другие средства защиты.

Возьмите привилегированные сессии под контроль

Ограничьте административный доступ необходимыми ресурсами и временем работы, контролируйте привилегированные подключения и сохраняйте записи сессий с помощью Solar SafeInspect.

Как PAM-система закрывает новые векторы атак

Традиционные средства защиты и PAM решают разные задачи и дополняют друг друга. PAM-система управляет привилегированным доступом. Она определяет, кто может использовать административную УЗ, к какому ресурсу разрешено подключаться и в течение какого времени. Ограничение доступа по пользователям, ресурсам и сроку особенно важно, когда злоумышленник уже получил данные для входа или пытается использовать существующие права администратора.

Учет и контроль привилегированных учетных записей

Работа с привилегированным доступом требует актуального учета административных и сервисных УЗ. Компания определяет, какие записи и критические ресурсы нужно поставить под управление PAM. Solar SafeInspect позволяет централизованно управлять доступом к заведенным в системе привилегированным УЗ, задавать политики для конкретных ресурсов и ограничивать время работы. Актуальность самих записей и необходимость сохранения прав компания проверяет в рамках внутренних процессов.

Проксирование и контроль привилегированных сессий

При захвате привилегированного аккаунта нарушитель может попытаться использовать его для подключения к другим системам. Политики Solar SafeInspect ограничивают такой доступ только теми ресурсами и учетными записями, которые разрешены пользователю, и заданным временем работы.

Дополнительный уровень контроля дает изолирование и проксирование привилегированных сессий. В зависимости от выбранного режима интеграции подключения к серверам проходят через Solar SafeInspect, а в режиме «Бастион» решение работает как прокси-сервер. Это сужает возможности злоумышленника для перехода к другим системам.

Мониторинг и прерывание в реальном времени: блокировка до нанесения ущерба

Solar SafeInspect поддерживает мониторинг работы в реальном времени и запись привилегированных сеансов. Контроль продолжается после успешного подключения пользователя к защищаемому ресурсу и дает службе ИБ данные для оперативной реакции и последующего разбора инцидента.

При обнаружении подозрительной активности подключение можно прервать вручную или автоматически, не дожидаясь завершения сеанса. Для задач, где важна защита от инсайдеров, эта возможность позволяет реагировать непосредственно во время работы пользователя с критическим ресурсом.

Сокрытие и подстановка учетных данных: защита от кражи паролей

Чем чаще административные пароли вводят вручную, хранят на рабочих устройствах или передают между специалистами, тем выше риск их раскрытия. Solar SafeInspect поддерживает сокрытие и подстановку учетных данных, хранение паролей и их изменение по расписанию. За счет этого привилегированные пароли реже оказываются доступны пользователям в открытом виде, что снижает риск компрометации учетных записей администраторов через кражу данных для входа.

сценарии атак на привилегии пользователей

Соответствие требованиям ФСТЭК и снижение регуляторных рисков

Для организаций с повышенными требованиями к информационной безопасности важно контролировать привилегированный доступ и подтверждать соблюдение правил его предоставления. Регуляторные риски возрастают, если в компании:

Администратор получает больше прав, чем требуется для выполнения конкретной задачи.
Привилегии продолжают действовать после завершения работ или изменения обязанностей.
Нельзя точно установить, кто и когда подключался к критической системе.
Не сохраняется история действий пользователей с расширенными правами.

При проверке или расследовании такие пробелы усложняют подтверждение того, что доступ к критическим ресурсам действительно контролируется и соответствует установленным требованиям.

Solar SafeInspect помогает выстроить проверяемый контроль привилегированных подключений и сохранять историю сессий для аудита и расследований. Решение сертифицировано ФСТЭК России по требованиям доверия четвертого уровня и техническим условиям. PAM-система также внесена в Единый реестр отечественного ПО.

Проверьте контроль привилегированного доступа

Оцените, как Solar SafeInspect помогает контролировать административные подключения, фиксировать привилегированные сессии и поддерживать требования к аудиту доступа.

Solar SafeInspect — проактивный контроль привилегированного доступа

Современная атака на привилегированных пользователей может начинаться с кражи пароля, захвата открытой сессии, компрометации учетных данных подрядчика или использования забытой административной УЗ. Ключевой риск возникает после того, как злоумышленник получает расширенные права и возможность работать с критическими системами. Защита привилегированного доступа должна охватывать процедуру входа и весь период работы пользователя с ресурсом.

Solar SafeInspect охватывает несколько этапов работы с привилегированным доступом. Контроль начинается с постановки привилегированных УЗ и защищаемых ресурсов под управление PAM. Основные возможности платформы помогают ограничить доступ и сохранить управляемость привилегированных сессий:

Централизованный контроль привилегированных УЗ и доступа к критическим ресурсам.
Доступ можно предоставлять к определенным ресурсам и учетным записям на ограниченный период.
Учетные данные можно скрывать и подставлять при подключении.
Привилегированные сессии записываются и отслеживаются в реальном времени.
При подозрительной активности подключение можно прервать вручную или автоматически.

Политики ограничивают область действий скомпрометированной УЗ. Получения доступа к одной учетной записи недостаточно, чтобы свободно работать со всеми защищаемыми ресурсами.

Часто задаваемые вопросы

Какие новые сценарии атак на привилегированных пользователей появились в последнее время?

Атакующие крадут сессионные токены, захватывают открытые RDP- и SSH-сессии, используют скомпрометированные учетные данные подрядчиков, общие административные учетные записи и забытые аккаунты с расширенными правами.

Почему обычные антивирусы и межсетевые экраны не защищают от атак на привилегированные учетные записи?

Такие средства решают другие задачи. Если злоумышленник действует через разрешенную учетную запись, штатный протокол или системный инструмент, его активность может выглядеть как обычная работа администратора.

Как PAM-система обнаруживает аномальное поведение администратора?

PAM контролирует работу пользователя внутри привилегированной сессии с учетом заданных политик. Solar SafeInspect ведет мониторинг в реальном времени, записывает сеанс и позволяет прервать его при подозрительной активности.

Как PAM предотвращает атаку через скомпрометированную учетную запись подрядчика?

PAM не дает атаке свободно развиваться. Доступ подрядчика можно ограничить конкретными ресурсами и временем, а его сессию — контролировать и при необходимости прервать.

Что происходит, если злоумышленник уже получил доступ к сессии администратора?

Если привилегированная сессия проходит через SafeInspect, ее действия фиксируются и контролируются. Администратор безопасности может прервать сессию, а запрещенные команды — блокироваться согласно настроенным политикам.

Как быстро можно развернуть PAM-систему для защиты от новых угроз?

Срок зависит от инфраструктуры и масштаба внедрения. Для Solar SafeInspect в формате Virtual Appliance первичное развертывание и настройка занимают до 20 минут, а первые данные мониторинга можно получить через два часа.