Система контроля действий привилегированных пользователей

Администраторы инфраструктуры могут менять конфигурации, читать любые данные и отключать защиту. Подрядчики получают такие же права на время проекта, а программные службы работают без участия человека и часто остаются без владельца. Система контроля действий привилегированных пользователей ограничивает этот доступ политиками, прячет пароли от тех, кто ими пользуется, ведет видеозапись и помогает быстро разбирать инциденты. Решение Solar SafeInspect класса PAM (управление привилегированным доступом) встраивается в сеть без агентов на целевых серверах. Рассказываем, как устроена защита на каждом шаге: от выдачи доступа до расследования, развертывания и стоимости владения.

Кто получает повышенные права и чем это грозит

В зоне ответственности решения находятся штатные администраторы, внешние подрядчики и программные службы. Риски у групп разные, поэтому политики пишутся отдельно.

Что такое PAM и как он устроен

Любой привилегированный пользователь, будь то администратор домена, владелец базы данных или инженер сторонней компании, работает с правами выше обычных. Одна ошибка или злоупотребление затрагивает сразу всю инфраструктуру.

Решения PAM стоят между инженером и целевой машиной. Они проверяют, кому и к чему разрешено подключаться, подставляют пароли и применяют правила к командам и файлам.

Три группы и их риски

Сервисная учетная запись принадлежит программе или службе. Пароль от нее годами остается прежним, а владельца найти сложно. Учетные данные служб заводятся в Solar SafeInspect при настройке или передаются из интеграций, поэтому контролируется согласованный перечень.

Штатные администраторы работают с широкими правами ежедневно, и риск связан с широтой их возможностей. Подрядчики подключаются снаружи на ограниченный срок, и без видеозаписи их работа недоступна службе безопасности.

К какому ущербу приводит отсутствие надзора

Размер ущерба определяется широтой полученных прав. Поэтому сначала составляют перечень записей с высокими правами, а затем выбирают глубину защиты. Типовые последствия перечислены ниже.

• Изменение или удаление данных и конфигураций: ошибка на рабочем сервере останавливает сервис, а восстановление занимает время.
• Утечка информации: сотрудник с допуском к базе способен выгрузить сведения о клиентах или персонале.
• Невозможность установить виновного: при общем пароле по журналам не определить, кто выполнил команду.
• Претензии регуляторов: при проверке нужно показать, кто, когда и к чему получал повышенные права.

Видеозапись и журнал команд закрывают два последних пункта. По ним видно, от чьего имени и когда выполнена операция.

Политики, подстановка и хранение паролей

Ограничение прав отвечает на три вопроса: куда разрешено подключаться, под какой учетной записью и на какой срок. Ответы собираются в политики.

Политики с детальной настройкой

Политика связывает пользователя или группу с конкретным ресурсом и протоколом. Она определяет, что разрешено внутри подключения. Администратору базы данных не нужен доступ к сетевому оборудованию, внешнему инженеру — к файловому серверу. Границы задаются один раз и действуют при каждом входе.

Подстановка учетных данных и ротация паролей

При подключении Solar SafeInspect подставляет пароль сам, поэтому человек его не узнает, и на рабочую станцию он не попадает. Администратор входит под собственным именем, а учетные данные остаются внутри продукта. Ротация меняет пароли по расписанию. Украденный или переданный коллеге пароль быстро теряет силу, а в службах он больше не остается неизменным годами.

Защищенное хранение учетных данных и записей сессий

Пароль и видеозапись несут разные риски. Пароль открывает вход в инфраструктуру, видеозапись содержит экран и набранный текст.

Пароли и записанные сессии лежат в защищенном хранилище, куда допускают только по разрешению. Объем хранилища планируется заранее по числу подключений и сроку хранения.

Подрядчики: доступ к одному ресурсу на ограниченное время через браузер

Для подрядчика защита удаленного подключения строится на Solar SafeConnect, портале для входа через браузер. Внешний инженер проходит аутентификацию и работает без клиента VPN (виртуальной частной сети) и дополнительных программ на своем компьютере.

Модель называется JIT (доступ по требованию на ограниченный срок): права выдаются под конкретную задачу и закрываются по ее окончании. Устройство подрядчика не связывается с внутренними сегментами напрямую, трафик идет через Solar SafeInspect. Сценарий строится на четырех условиях. После завершения проекта у заказчика остается видеозапись, которую можно сверить с актом.

• Подрядчик допускается к одному ресурсу, остальная сеть для него закрыта.
• Разрешение действует ограниченное время и закрывается по его истечении.
• Пароль внешнему инженеру не раскрывается: подстановку выполняет Solar SafeInspect.
• Подключение внешнего исполнителя контролируется так же, как любое другое: видеозапись, наблюдение и прерывание по политикам.

Что происходит внутри сессии

Внутри соединения работают наблюдение, запись и правила, которые блокируют запрещенные действия. Политики для всех трех механизмов едины.

Мониторинг и видеозапись

Оператор безопасности открывает список активных сессий и наблюдает за происходящим онлайн. Контроль привилегированных пользователей в реальном времени строится на тех же политиках, что и выдача прав, поэтому правила не приходится дублировать.

Соединение записывается целиком: видео экрана и введенные команды. Метаданные привязывают видеозапись к пользователю, ресурсу, протоколу и времени, поэтому нужные материалы отбираются без просмотра каждого.

Блокировка и прерывание по политикам

Внутри подключения защита от несанкционированного доступа опирается на правила: политика перечисляет команды, процессы и операции с файлами, которые запрещены или требуют реакции. Правила задает специалист по безопасности. Когда операция подпадает под правило, продукт блокирует ее или прерывает сессию. Автоматическое прерывание срабатывает по настроенным политикам и триггерам, оператор может завершить сессию вручную.

Протоколы, с которыми работает решение

Решение работает на уровне протоколов передачи данных: RDP (протокол удаленного рабочего стола Windows), SSH (защищенная оболочка для управления серверами), HTTP и HTTPS (протоколы для работы с сайтами и интерфейсами в браузере) и другие. Через них инженеры работают с серверами, базами данных и сетевым оборудованием. Список поддерживаемых протоколов зависит от версии продукта и приведен в его документации. Он определяет, какие ресурсы можно взять под наблюдение.

Как расследовать инцидент: от экрана до отчета

Многочасовое видео невозможно просматривать целиком, поэтому быстрому исследованию инцидента служит поиск. Для него используются данные, которые собираются в ходе соединения.

Оптическое распознавание символов (OCR) превращает изображение экрана в текст. Рядом хранятся журнал ввода и метаданные: автор, ресурс, протокол, время. Полнотекстовый поиск находит слово или фразу по всему архиву, а переход к найденному месту запускает воспроизведение с нужной секунды.

Аналитик вводит запрос, открывает материал с нужного места и сохраняет результат в отчет. Контроль действий привилегированных пользователей в таком виде дает службе безопасности и аудиту доказательства, привязанные к автору и времени.

Где в сети стоит продукт и что нужно на целевых серверах

Место в сети определяет, придется ли менять настройки у пользователей и серверов. Режим выбирается под существующую топологию.

Режимы L2, L3 и «Бастион»

Обозначения L2, L3 и L7 относятся к канальному, сетевому и прикладному уровням эталонной модели взаимодействия открытых систем (OSI). Решение поддерживает три сценария: сетевой мост (L2), маршрутизатор (L3) и «Бастион» (L7).

В режимах L2 и L3 прозрачное подключение ставит решение в разрыв сети: инженер подключается к серверу как обычно, а оно обрабатывает трафик на пути. Проксирование относится к режиму «Бастион L7»: пользователь заходит на узел, и тот открывает соединение к целевому серверу.

Работа без агентов: устаревшие системы и АСУ ТП

Устанавливать программы на целевые серверы не требуется: продукт контролирует работу на уровне сетевого соединения. Для устаревших (унаследованных) систем и АСУ ТП (автоматизированных систем управления технологическими процессами) это закрывает практическую проблему: агент там поставить нельзя или изменение конфигурации нежелательно.

Отсутствие агентов дает прямую выгоду службе эксплуатации и инженерам промышленных площадок. Три случая ниже показывают, где именно.

• Защищаемая машина остается в том состоянии, в котором ее принял в эксплуатацию заказчик.
• Решение работает на машинах с устаревшей операционной системой, где агент установить невозможно.
• АСУ ТП получают видеозапись работы инженеров без вмешательства в программы площадки.

На промышленных площадках инженер заходит на нужный ресурс через Solar SafeInspect под своей учетной записью, и его работа записывается. Материал остается в хранилище для расследования.

Возьмите действия администраторов под контроль!

Получите консультацию

Развертывание и подготовка к работе

Состав работ зависит от режима: в L2 и L3 устройство включается в сеть, в «Бастионе» пользователи переходят на адрес узла. Параллельно настраиваются ресурсы, политики и пользователи. Срок определяется числом ресурсов, площадок и выбранным режимом. Конкретную оценку дает пилот на части инфраструктуры: он показывает объем работ до полного внедрения.

Сколько стоит владение PAM и какие требования закрывает сертификат

Выбор решения PAM завершается расчетом: сколько инфраструктуры оно потребует и кто будет ее сопровождать. Сертификат определяет, где решение можно применять.

Стоимость эксплуатации и масштабирование

Выбирая систему контроля привилегированного доступа, руководитель службы информационных технологий сравнивает функции и одновременно считает инфраструктуру, которую придется развернуть и сопровождать. Четыре параметра дают основу для сравнения решений по стоимости.

• Число компонентов: каждый отдельный сервер или модуль добавляет работы по установке, обновлению и мониторингу.
• Требования к виртуальным машинам: процессор, память и диск каждого узла умножаются на число площадок.
• Объем хранилища: архив растет с числом пользователей и сроком хранения, поэтому срок прямо влияет на бюджет.
• Схема масштабирования распределенной инфраструктуры: важно, сколько узлов требуется на каждую площадку.

Совокупная стоимость владения (TCO) складывается из лицензий, оборудования, хранилища и работ по сопровождению. Расчет по этим параметрам стоит запросить у вендора под свою инфраструктуру.

Сертификация и требования регуляторов

Solar SafeInspect сертифицирован Федеральной службой по техническому и экспортному контролю (ФСТЭК России) по 4-му уровню доверия и включен в Единый реестр российского программного обеспечения Минцифры России. Этот уровень доверия допускает применение для защиты значимых объектов критической информационной инфраструктуры (ЗОКИИ), государственных информационных систем (ГИС), АСУ ТП и информационных систем персональных данных (ИСПДн).

Приказ ФСТЭК России № 117 действует с 1 марта 2026 года и ужесточает требования к защите ГИС и управлению привилегированными учетными записями. Обновленный сертификат распространяется на версию с модулем SafeConnect (портал доступа через браузер).

Что дает контроль всего цикла привилегированного доступа

Система контроля действий привилегированных пользователей на базе Solar SafeInspect замыкает цикл: кто и к чему получает доступ, от чьего имени, что делает внутри сессии и как это расследуется. Политики ограничивают права, подстановка скрывает пароли, архив и поиск дают доказательства.

Для подрядчиков добавляется SafeConnect с входом через браузер, для устаревших и промышленных систем — работа без агентов. Для оценки режима и состава компонентов хватает перечня ресурсов, числа площадок и числа привилегированных пользователей.

Частые вопросы и ответы