Управление привилегированным доступом — PIM/PAM/PUM

Современные реалии диктуют необходимость создания удаленного доступа к корпоративным сетям. Этот фактор, а также всеобщая цифровизация представляют для компаний угрозу информационной безопасности, поскольку в этих условиях многие бизнес-процессы происходят в информационных системах, а данные хранятся в электронном виде. Пользователи с расширенными правами доступа могут нанести вред инфраструктуре — например, намеренно или случайно допустить утечку конфиденциальной информации — и, как следствие, это может привести к финансовым и репутационным потерям. Неудивительно, что компании все активнее внедряют концепцию управления привилегированным доступом.

Управление обычным и привилегированным доступом

Все пользователи должны проходить аутентификацию, а также обладать минимальными правами в информационной системе. Доступ к ней должен предоставляться оперативно для своевременного выполнения пользователями своих задач, однако при отсутствии такой необходимости доступ должен быть прекращен.

Управление обычными учетными записями заключается в выдаче пароля и самых простых полномочий. Пользователи таких учеток не смогут нанести столь же существенный урон, как привилегированные, так как просто не обладают достаточными полномочиями.

С привилегированным доступом дела обстоят сложнее. К возможным полномочиям пользователей относятся изменение настроек систем и приложений, конфигурации файлов, удаление данных. Преднамеренное и даже случайное злоупотребление правами может быть опасным для компании — ее репутации, финансового положения. Именно поэтому контроль и управление привилегированным доступом должен быть отдельным направлением в сфере информационной безопасности бизнеса.

Централизованный подход обеспечивает удобство, надежность и эффективность построения процессов внутри информационной системы.

Отличия обычной и привилегированной учетной записи

Обычную учетную запись создают, как правило, под конкретного пользователя и предоставляют по ней крайне ограниченные полномочия. Она защищена обычным паролем.

Привилегированную учетную запись создают для одного или нескольких людей либо процессов и служб с целью предоставления расширенных полномочий.

Привилегированный доступ: какие бывают учетные записи

• Созданные для управления пользователями, базами данных и серверами (администратор домена, локальной сети, системный администратор).
• Предназначенные для запуска и управления службами и платформами операционных систем.
• Необходимые для предоставления доступа к сетевому оборудованию.

Особенности учетных записей технических служб

Максимальные привилегии — это всегда повышенный риск. У технических служб самые широкие права, в связи с чем они могут и запускать критически важные процессы, и управлять ими. В их полномочия входит установка системного оборудования, работа с программным обеспечением, сброс паролей, работа со сложными сетями, получение доступа к компьютерам определенной среды, изменение различных конфигураций. Обычно у учетных записей технических служб нет конкретного владельца. Наиболее распространенные пользователи — сисадмин и IT-администратор.

Расширенный уровень прав и привилегий позволяет поддерживать работоспособность и исключить простои в работе инфраструктуры. Однако и риск в связи с этим высокий. Проблема решается с помощью грамотного контроля учетных записей технических служб.

Особенности систем PIM/PAM/PUM

Системы PIM/PAM/PUM могут быть самостоятельным продуктом или частью управления процессом идентификации. Они бывают локальными, облачными и гибридными. Могут включать в себя различные подсистемы, например диспетчер приложений и паролей, модули входа, блоки анализа действий.

Элементы управления привилегированным доступом:

• PIM (Product Information Management) — управление идентификацией. Функционал подразумевает управление ресурсами, которые могут получить привилегированные пользователи.
• РАМ (Privileged Access Management) — управление доступом. Необходимо для установки и соблюдения политики безопасности конфиденциальных данных.
• PUM (Privileged User Management) — управление пользователями. Обеспечивает отслеживание доступа к элементам инфраструктуры, управление идентификацией для уменьшения поверхности атак, предотвращения или смягчения возможного ущерба.

Преимущество PIM/PAM/PUM не только в управлении информационной безопасностью, но и в устранении сложностей в работе администраторов сети, предупреждении угроз, упрощении расследований.

В нашей стране прижились только PAM-системы, поскольку оптимально соответствуют российскому законодательству и специфике работы компаний в РФ. Отечественные PAM-системы объединяют в себе функционал PIM и PUM и поэтому являются самодостаточными решениями. Они позволяют снизить нагрузку на IT-отдел, дают возможность руководителям эффективнее отслеживать действия пользователей.  

РАМ — что это и как осуществляется?

Полная расшифровка РАМ — это Privileged Access Management. В переводе это дословно означает управление привилегированным доступом.

Сегодня РАМ подразумевает не только контроль использования привилегированных учетных записей, но и:

• минимизацию прав доступа согласно необходимым полномочиям для снижения риска злоупотребления привилегированным доступом;
• управление аутентификацией и авторизацией, засекречивание и подмену паролей, а также предоставление прав доступа на основании утвержденных правил;
• отслеживание активности администраторов и пользователей сети;
• запись сессий, контроль открываемых приложений и выполняемых команд.

Специалисты безопасности могут оперативно выявлять подозрительную активность, собирать доказательства при расследовании инцидентов.

Возможности PAM-системы

• Определение подозрительной активности.
• Усиленная аутентификация.
• Контроль протоколов по передаче данных.
• Принудительное завершение сеанса при выявлении несанкционированной активности.
• Сбор информации о действиях пользователей.
• Создание уведомлений для специалистов безопасности.

Как обеспечить защиту с помощью PAM-системы

Для управления привилегированным доступом необходима идентификация сессии и распознавание подключенных к ней пользователей через специальный шлюз.

РАМ-решение позволяет фиксировать и анализировать действия пользователей по заданным параметрам. Сессия привилегированного доступа фиксируется в виде трафика с метаданными. Впоследствии его можно преобразовать в видеоформат, осуществить поиск по событиям, тексту. Таким образом, PAM-система дает возможность восстановить хронологию событий, которые привели к нарушению.

Информация об учетных записях с особыми полномочиями поступает в хранилище, где уже можно вносить корректировки согласно определенному расписанию и правилам. Это позволяет обеспечить защиту от бесконтрольного распространения паролей.

Если выявляется сомнительная активность, система РАМ отправит уведомление ответственному сотруднику безопасности. Также до выяснения всех обстоятельств можно настроить разрыв соединения и ограничение пользователя в правах.

Специализированное РАМ-решение Solar SafeInspect помогает усовершенствовать процесс безопасного управления доступом за счет понятных и эффективных решений:

• Контроль прав доступа пользователей. Легко разграничить возможные полномочия и снизить риск несанкционированного использования засекреченных данных.
• Сокрытие и автоматическая смена паролей. Снижается риск совместного использования паролей и их рассекречивания после увольнения сотрудников.
• Сокрытие и подстановка учетных данных. Позволяет избежать хищения паролей и неправомерного использования учетной записи.
• Запись и анализ сеансов работы. Облегчает аудит и ускоряет реагирование на происшествия, в том числе в режиме реального времени.
• Возможность управлять доступом не только конкретных пользователей, но и технологических учетных записей. Осуществляется контроль сотрудников, подрядчиков, поставщиков, служб.

Возможна установка РАМ-решения в любых местах корпоративной IT-среды.

Заключение

Полноценные системы управления привилегированным доступом — это эффективный и надежный инструмент по обеспечению информационной безопасности в современной бизнес-среде. Внедрение актуальных в стране РАМ-систем позволяет контролировать учетные записи с расширенными правами доступа.