Подготовка инфраструктуры компании к внедрению PAM-системы

Решения класса Privileged Access Management (PAM) внедряются в компанияхми с целью снижения рисков ИБ в части привилегированного доступа. Они позволяют упорядочить использование учетных записей (УЗ) с расширенными правами, автоматизировать назначение полномочий, мониторить действия привилегированных пользователей, обеспечивать соблюдение требований отраслевых регуляторов. Чтобы все эти задачи выполнялись на должном уровне, необходимо грамотно подойти к внедрению PAM-системы в контур информационной безопасности. Рассказываем, какие этапы важно пройти.

Оценка текущего состояния инфраструктуры компании, моделирование угроз информационной безопасности

Начальный этап подготовки инфраструктуры компании к внедрению PAM-системы –— исследование всех существующих привилегированных учетных записей и порядка назначения полномочий, анализ текущих методов управления доступом и эффективности их применения. Детальная проверка позволит определить «серые» зоны и оценить зрелость подхода к координации привилегированного доступа.

Второй этап — выявление уязвимостей, связанных с привилегированным доступом. Типичные угрозы, которые могут быть реализованы при отсутствии PAM-системы:

• Утечка паролей из-за небрежного хранения, например, на стикерах, приклеенных на экран, в незашифрованном виде на АРМ.
• Отсутствие периодической смены паролей для привилегированных учетных записей, что существенно повышает риск несанкционированного доступа к целевым системам, ресурсам, средствам защиты.
• Превышение полномочий при подключении к информационным системам.
• Совместное неконтролируемое использование одной привилегированной учетной записи несколькими пользователями.
• Повышенные риски при использовании привилегированных учетных записей компаниями на аутсорсе.

Проанализировав актуальные угрозы привилегированного доступа, необходимо предположить предвидеть последствия, которые могут ожидать компанию в случае компрометации учетных записей с расширенными полномочиями, и чтобы понять, какие меры будут следует предприниматься для минимизации ущерба. На этом этапе важно определить, какую роль в обеспечении информационной безопасности сыграет PAM-система, как она поможет в расследовании инцидентов.

Планирование внедрения PAM-системы и подготовка стратегии

Этот этап включает формирование бизнес-требований к системе, выбор подходящей модели решения, например, on-premise, которая подразумевает установку PAM-платформы на собственном оборудовании после покупки лицензии на использование.

Чтобы определить требования к системе, необходимо получить ответы на следующие вопросы:

• Какие учетные записи относятся к привилегированным, как они приоритизированы. Для ответа на этот вопрос необходимо составить карту инфраструктуры и доступов, определить критически важные системы и учетные записи, которые используются для работы с ними.
• Какими категориями учетных записей нужно управлять. Условно УЗ можно разделить на четыре категории: для сотрудников, для служб и приложений, инфраструктурные и системные.
• Нужен ли привилегированный доступ сторонним сотрудникам, например, поставщикам программного обеспечения, партнерам, подрядчикам. Если да, необходимо определить уровень достаточных полномочий, временной период для предоставления доступа, порядок аннулирования привилегий.
• Какие привилегии для работы в ИС имеют удаленные сотрудники, как в их отношении организованы процессы назначения и отзыва полномочий.

Следует выделить приоритетные задачи, которые необходимо закрыть в первую очередь. У каждой компании они будут свои, поскольку везде разный подход к организации бизнес-деятельности и управлению доступом. При расстановке приоритетов и планировании бюджета на внедрение PAM-системы следует учитывать численность штата, особенности информационной инфраструктуры, наличие обязательных для соблюдения нормативных требований.

Выбор PAM-решения

Ключевые критерии выбора:

• Зрелость технологической платформы, наличие необходимых функций.
• Возможность быстрого внедрения PAM-системы, простое развертывание в рабочей среде.
• Гибкое встраивание в инфраструктуру компании.
• Удобная система отчетности.
• Безопасное хранение всей собранной информации.

Всем этим критериям отвечает наша PAM-система Solar SafeInspect, которая подходит для компаний любого масштаба. Ее основные функции:

• Поиск всех привилегированных учетных записей, зарегистрированных в информационных системах, используемых компанией.
• Автоматическая подстановка учетных данных при инициации рабочих сессий привилегированных пользователей.
• Сокрытие и надежное хранение паролей от привилегированных УЗ.
• Проксирование рабочих сессий привилегированных пользователей.
• Организация гранулированного доступа к ИС и ресурсам для привилегированных пользователей.
• Фиксация рабочих сессий сотрудников с расширенным набором прав, хранение записей для аудита действий привилегированных пользователей и расследования инцидентов.

Solar SafeInspect можно использовать в любой инфраструктуре, в том числе территориально -распределенной. При внедрении в формате Virtual Appliance решение будет готово к эксплуатации в среднем за 2 часа с учетом развертывания ISO-образа и первичных настроек.

Пилотный проект по внедрению PAM-системы

Существует такое понятие, как пилотный проект –— тестирование функциональности внедряемого продукта в рабочей среде. Его цели: оценка целесообразности внедрения PAM-системы и затрат на ее использование, проверка корректности работы инструментов платформы, определение специфических особенностей, с которыми можно столкнуться в ходе эксплуатации, конкурентное сравнение, возможность выбрать решение, основываясь не на презентации, а на реальном применении.

Этапы проведения пилотного проекта:

• Подготовка к установке и настройке PAM-системы.
• Внедрение PAM-системы с минимальным воздействием на текущие рабочие процессы.
• Проведение тестирования внутри корпоративной среды перед полноценным запуском.

Пилотный проект позволяет понять, как PAM-платформа покажет себя в действии применительно к задачам конкретной компании. Уже на этом этапе можно оценить эффективность использования системы и при необходимости скорректировать требования к ней.

Подготовка инфраструктуры компании к полноценному внедрению PAM-системы

Подготовка инфраструктуры компании включает требует выполнения следующих действийе меры:

• Определение необходимых ресурсов и их мощностей –— виртуальных машин, хранилищ.
• Выделение сотрудников на проект.
• Выделение мощностей на внедрение решения.

При подготовке инфраструктуры компании стоит выбрать режим использования системы, который будет зависеть от количества сетей, где находятся пользователи и серверы. Наше решение Solar SafeInspect может функционировать в трех режимах:

• Сетевой мост. Прозрачный режим работы с незаметной для пользователя авторизацией. PAM-платформа устанавливается «в разрыв», и через нее проходят все подключения пользователей, которые находятся в одной сети с целевыми серверами.
• Маршрутизатор. Второй прозрачный режим, который тоже предполагает установку системы «в разрыв», но, в отличие от сетевого моста, пользователи при таком сценарии находятся в разных сетях с целевыми серверами.
• Бастион. Режим, подразумевающий авторизацию пользователей через специальную форму. В этом сценарии Solar SafeInspect выполняет роль прокси-сервера, обрабатывающего запросы к серверам.