РАМ в промышленности: баланс между безопасностью и непрерывностью бизнеса

Информационная безопасность промышленных объектов устроена иначе, чем в классической корпоративной ИТ-среде. В бизнесе в приоритете конфиденциальность данных, в АСУ ТП — непрерывность технологических процессов. Простои и сбои могут привести не только к финансовым потерям, но и рискам для оборудования и людей. Это влияет на выбор методов контроля привилегированного доступа к ресурсам. Один из основных способов управлять рисками — внедрение РАМ-системы. Рассказываем, как она обеспечивает прозрачность привилегированного доступа без ущерба для работы сотрудников.

Гибкий инструмент для мониторинга привилегированного доступа

В промышленных организациях для контроля действий администраторов, инженеров и подрядчиков используют PAM-системы (Privileged Access Management). Их можно сравнить с камерами видеонаблюдения — они отслеживают все, что делают пользователи с широкими правами доступа. Главная их задача — записывать привилегированные сессии и сохранять записи для дальнейшего анализа. Если произойдет инцидент ИБ или спорная ситуация, информация поможет найти виновных.

Какие еще задачи выполняет PAM-система:

• Проксирование привилегированных сессий.
• Контроль и запись сеансов пользователей с широкими правами доступа.
• Хранение и подстановка привилегированных учетных записей.

Современные PAM-системы способны и на большее. Например, они могут в режиме реального времени реагировать на подозрительную активность. Конкретные действия зависят от преднастроенного сценария. PAM-система может автоматически прервать сессию нарушителя или отправить уведомление ИБ-службе. Так удается предотвращать потенциальные инциденты.

Преимущества PAM-системы для промышленных организаций

Для защиты производственных процессов недостаточно обычных средств безопасности — нужен строгий контроль привилегированных пользователей. РАМ-система дает компаниям инструменты для управления доступами и минимизации операционных рисков.

Доступность ресурсов с минимальным ущербом для безопасности

При внедрении РАМ может возникнуть дилемма: что предпочесть — стопроцентный аудит и полную доступность корпоративных систем. Заказчики чаще склоняются ко второму варианту. Выход — режим bypass. Он позволяет подключаться к целевым системам, даже если PAM не может записывать сессии.

Режим bypass — как обходной путь для PAM-системы. Если решение не сможет выполнять свою основную функцию, ключевые механизмы на производстве продолжат работать. Уровень безопасности временно снизится, зато производственные процессы не остановятся. Это критически важно для промышленной сферы.

Обходной режим — ответ на потенциальный сбой, но нужно минимизировать риски такого сбоя. Для этого в PAM есть инструменты для отказоустойчивости и кластеризации. Также используются внешние балансировщики нагрузки, которые позволяют перенаправлять трафик между центрами обработки данных. Так система контроля остается доступной даже при технических проблемах.

Прозрачное управление привилегированными сессиями

Технология эффективна тогда, когда ею пользуются. Внедрение PAM-системы может вызвать сопротивление у персонала из-за изменений в привычных рабочих процессах. Компромисс — «прозрачный» режим работы решения. Он позволяет встроить систему в инфраструктуру так, что она выступает в роли сетевого моста или маршрутизатора, а для конечного пользователя ничего не меняется.

Сотрудники продолжают подключаться к используемым ресурсам так же, как и до внедрения PAM — просто вводят свои логины и пароли. PAM в этой схеме работает как прокси, перехватывая соединение. Пользователи могут даже не знать, что их контролируют. «Прозрачный» режим позволяет минимизировать риски, если сотрудники будут пытаться работать в обход системы ради удобства. Для компании такой сценарий тоже выгоден, поскольку не придется переписывать рабочие инструкции и переучивать персонал.

Примеры применения РАМ-системы в промышленных организациях

У каждой компании свои задачи требования к РАМ-системе. В основном это возможность персонализации привилегированного доступа и записи сессии для аудита. Решение справляется с этими задачами в организациях любого масштаба.

Персонализация и контроль привилегированного доступа

Пример — кейс предприятия металлургической отрасли. На производственном объекте основной проблемой была «коллективная ответственность» за действия под привилегированными учетными записями. Для контроля доступа использовались стандартные инструменты Active Directory. Они не позволяли установить, кто именно в конкретный момент работал в системах АСУ ТП. Для изменения конфигурации, обновления и развертывания ПО использовалась общая учетная запись. Это создавало риски информационной безопасности и затрудняло расследование инцидентов ИБ.

Проблему удалось решить с помощью внедрения российской PAM-системы. Компания взяла под контроль около 100 привилегированных учетных записей. PAM-система фиксировала, кто из сотрудников стоит за каждой сессией. Так у службы безопасности появился прозрачный инструмент для аудита. Персоналу внедрение решения тоже принесло пользу — вырос уровень ответственности.

В этом проекте были жесткие требования к непрерывности работы. Это помогло развить функциональность кластеризации в самом PAM-решении. Нужно было достичь максимальной отказоустойчивости системы даже в случае отказа одного из компонентов. Изменение архитектуры продукта позволило гарантировать бесшовную работу в режиме L3 (на сетевом уровне). 

Аудит сессий для раскрытия нарушений

Сохраненные записи сессий становятся решающим аргументом при расследовании инцидентов ИБ. Например, у одного заказчика возникла ситуация, когда подрядчики внесли несанкционированные изменения в обслуживаемую базу данных. После они заявили о повреждении базы и предложили свои услуги по восстановлению.

Раскрыть инцидент удалось благодаря PAM-системе, которая записала все действия подрядчиков. Записи стали неопровержимым доказательством нарушения и контрольным аргументом для завершения спора.

Внедрение PAM-системы помогает не только обнаруживать подобные нарушения, но и принимать управленческие решения. Анализ записанных сессий позволит оценить качество выполнения рабочих задач, эффективность бизнес-процессов. Можно выявить слабые места в производительности и организации привилегированного доступа.

Внедрение PAM-системы в ИБ-контур

PAM-система не работает в «вакууме» и полной автономности. Эффективность решения во многом зависит от его интеграции в общую экосистему защиты. Примеры:

• Комбинация PAM- и SIEM-системы позволяет отслеживать подключения к критическому ресурсу напрямую, в обход средств контроля. Правила корреляции в SIEM могут зафиксировать такое событие, создать инцидент и автоматически ограничить права нарушителя до выяснения обстоятельств.
• Интеграция с IdM-решением автоматизирует жизненный цикл доступов. Можно настроить привилегированный доступ на определенный период или для выполнения отдельных задач.
• Взаимодействие с межсетевым экраном нового поколения (NGFW) позволяет выстроить дополнительный эшелон защиты. NGFW защищает от сетевых угроз во время привилегированных сессий.

Перед внедрением PAM-системы нужно продумать цели и способы интеграции с другими решениями. Только так можно выстроить эффективный контур информационной безопасности.

Путь к эффективной защите корпоративных ресурсов

Внедрение PAM в промышленной среде не всегда проходит гладко. С какими проблемами могут столкнуться компании:

• Ошибки в конфигурации сетевых настроек.
• Проблемы с маршрутизацией и правилами доступа на смежных системах.
• Отсутствие командной работы инженеров, администраторов и службы ИБ.

Успех внедрения PAM во многом зависит от правильной подготовки ИТ-инфраструктуры. Нужно разобраться в нюансах работы системы, привлечь сетевых инженеров, администраторов и сотрудников службы безопасности.

Роль PAM-системы в промышленной среде

Внедрение PAM-системы — это не про тотальные запреты, а про осознанное управление рисками информационной безопасности. Такое решение — гибкий элемент эшелонированной защиты. PAM-система защищает от киберугроз, снижает риски утечки данных, обеспечивает прозрачное использование привилегированного доступа и контроль действий сотрудников.