Інвентаризація пристроїв показує, де знаходяться машини, тоді як інвентаризація привілеїв визначає, куди може дістатися зловмисник.
Запис про кінцеву точку фіксує наявність системи, її власника та активність агента управління. Однак він не вказує на те, хто має права на її адміністрування.
Ця різниця критично важлива, адже зловмиснику зовсім не потрібен повний реєстр активів. Достатньо знайти один робочий привілейований шлях до потрібної кінцевої точки. Використання списку відомих пристроїв як підтвердження виявлення привілейованих облікових записів є помилкою.
Інвентаризація пристроїв відображає лише наявність систем, тоді як виявлення привілейованих акаунтів показує, хто має права адміністратора, шляхи їх отримання, актуальність даних та перелік невідсканованих точок. Покриття скануванням визначається за всіма цільовими системами з подальшим аналізом прямого та групового адміністративного доступу. Не слід використовувати дані про охоплення пристроїв для оцінки видимості привілеїв.
Інвентаризація пристроїв та виявлення привілеїв мають різні цілі
Інвентаризація фокусується на управлінні активами та показує, які системи є відомими на даний момент. Відповідний запис фіксує лише базові дані: ім’я хоста, власника, ОС, підрозділ, наявність агента та час останнього підключення.
Пошук привілейованих акаунтів вирішує інше завдання безпеки: визначення тих, хто зараз може адмініструвати кожну із систем, і через які саме зв’язки надано цей доступ.
| Інвентаризація пристроїв показує | Інвентаризація привілеїв вимагає підтвердження |
| Існування системи | Успішності перевірки стану привілеїв |
| Наявність власника або агента управління | Облікових записів і груп з адміністративним доступом |
| Дату останнього підключення | Часу збору даних про привілеї |
| Прив’язку до бізнес-підрозділу | Типу доступу (прямий або успадкований через групу) |
| Перебування системи в контурі управління | Наявності цільових систем без перевірених результатів |
Внесений до реєстру пристрій може мати невідомий перелік локальних адміністраторів. Список пристроїв варто використовувати як вихідні дані, а не як результат виявлення. Без успішної перевірки привілеїв кінцева точка класифікується як недолік покриття.
Виявлення привілеїв вимагає чіткої бази для вимірювання покриття
Усі метрики привілеїв потребують загального показника. Для оцінки кінцевих точок практичною стартовою метрикою є:
Поточне покриття привілеїв = відскановані цільові кінцеві точки / усі цільові кінцеві точки.
Поняття «поточності» потребує визначення для кожного типу пристроїв. Семиденний інтервал підходить для робочих станцій, проте є завеликим для критичних серверів. Періодичність має залежати від частоти зміни доступу.
Базовий показник не може приховано зменшуватися у разі виникнення труднощів зі скануванням. Необхідно залишати видимими щонайменше такі категорії:
- Актуальне успішне сканування.
- Успішне сканування, але дані застаріли.
- Офлайн або недоступність.
- Помилка (автентифікація, доступ, мережа, конфігурація).
- Відомі, але нескановані.
- Нещодавно виявлені записи, які ще не зіставлені з об’єктом сканування.
Це результати перевірки безпеки, які вимагають подальшого реагування. Відключена кінцева точка, а також кінцева точка, що зазнала збою або ніколи не сканувалася, усе ще може зберігати постійний доступ, тому не може вважатися безпечною.
Реєстрація та звіти про стан фіксують статус пристрою, а моніторинг привілеїв дає фактичні докази наявності адміністративного доступу.
Аналіз реальних прав адміністратора завжди має починатися безпосередньо з кінцевого пристрою
У системах Windows базою є локальна група адміністраторів (яка включає локальні та доменні акаунти або групи). Такий доступ також охоплює облікові записи, що отримують права шляхом групового успадкування.
У результаті створюються дві різні перспективи оцінки:
- Пряма участь: профіль або група знаходиться безпосередньо в локальній групі адміністраторів пристрою.
- Успадкований доступ: права адміністратора надаються завдяки членству в групі, яка входить до списку прямо або опосередковано.
Прямі призначення описують конфігурацію пристрою. Виявлення групових зв’язків показує реальне охоплення облікових записів в мережі. Аналіз лише локальних груп занижує оцінку цього масштабу.
Локальні облікові записи також потребують особливої уваги. Відповідно до MITRE ATT&CK T1078.003, зловмисники використовують їх для закріплення, підвищення привілеїв, обходу захисту та переміщення між машинами (завдяки повторному використанню облікових даних). Інвентаризація пристроїв не показує, чи формується таке охоплення через однакові локальні облікові записи.
Тому виявлення привілеїв має інтегрувати дані систем із тими зв’язками, що забезпечують фактичний доступ.
Платформи захисту кінцевих точок масштабують процеси виявлення, а бізнес-контекст формує правила безпеки
Платформи захисту кінцевих точок та обліку активів формують загальний масштаб робіт. Завдяки інтегрованим механізмам збору інформації вдається масштабувати отримання доказів з усіх керованих пристроїв. Надійні результати завжди синхронізують статус і час перевірки з фактичними адміністративними зв’язками. Водночас саме бізнес-контекст перетворює зібрані факти на дієву політику. Для прийняття рішень щодо збереження, аудиту чи блокування доступу результати виявлення аналізуються разом із даними про власників акаунтів, особливостями робочих процесів та поточними бізнес-вимогами.
Ці функції доповнюють одне одного:
- Платформи активів і кінцевих точок визначають масштаб і розширюють збір даних.
- Виявлення привілеїв фіксує адміністративні зв’язки та рівень покриття.
- Контекст власності, залежностей і політик визначає кроки з виправлення.
Оцінку видимості необхідно проводити до вимірювання скорочення привілеїв
Підрахунок привілеїв має сенс виключно за умови стабільного покриття скануванням.
Коли перевірка охоплює новий сегмент серверів, кількість привілейованих акаунтів може збільшитися через кращу видимість інфраструктури. Показники покриття слід фіксувати паралельно з рівнем ризику – тоді подальше зниження цифр свідчитиме про реальне видалення доступу, а не про зникнення даних із радарів.
Це базовий операційний недолік. Звіт Netwrix Data and Identity Security Report за 2026 рік підтверджує, що 76% компаній не можуть миттєво відкликати постійний доступ після втрати його актуальності. Ефективне анулювання прав доступу неможливе без точного знання його розташування та впевненості в актуальності доказів.
Дані про видимість і незахищеність варто об’єднувати у спільні звіти. Необхідно контролювати такі показники:
- Загальна кількість цільових пристроїв.
- Кількість та частка систем із нещодавнім успішним скануванням.
- Кінцеві точки, що є застарілими, недоступними, несканованими, проблемними або неідентифікованими.
- Облікові записи з правами локального адміністратора (прямими або успадкованими через групу).
- Масштаб доступу кожного окремого облікового запису до кінцевих точок.
- Максимальний вік даних, що визнаються актуальними.
Після стабілізації покриття пріоритет надається обліковим записам із широким охопленням, дубльованим локальним акаунтам, нетиповим груповим шляхам та доступу до критичних систем. З цього моменту зменшення кількості привілеїв слугує підтвердженням усунення ризиків.
Перетворення записів про пристрої на докази привілеїв через NPS-D
Netwrix Privilege Secure for Discovery (NPS-D) – це модуль продукту Netwrix Privilege Secure трансформує інвентаризацію систем в інструмент для роботи з привілеями. Рішення виявляє права локального адміністратора на керованих пристроях Windows, фіксує прямі та успадковані зв’язки доступу, а також відокремлює результати сканування від базових записів про пристрої. Це дає повну видимість наявного доступу та метрик покриття.
NPS-D збирає дані про привілеї із систем Windows через дійсний обліковий запис для сканування без встановлення агента. Рішення поєднує дані каталогів (Active Directory, Microsoft Entra ID) з інформацією про локальних адміністраторів, отриманою через пряме підключення або інтеграцію з EDR (наприклад, Tanium Cloud). Це масштабує виявлення на всі доступні та керовані через EDR кінцеві точки.
Інвентаризація Microsoft Intune дозволяє ідентифікувати всі цільові пристрої. У комбінації з даними NPS-D це забезпечує повний контроль: статус управління пристроями, перелік адміністраторів кожної системи, шляхи надання доступу та час фіксації доказів.
NPS-D пов’язує дані пристроїв з обліковими записами, дозволяючи оцінити масштаб доступу, розмежувати прямі та успадковані привілеї та виявити прогалини в покритті.
Базовий алгоритм роботи з NPS-D:
- Визначення бази цільових пристроїв.
- Збір доказів наявності локальних адміністраторів та вимірювання покриття.
- Відстеження шляхів доступу до облікових записів.
- Аналіз власників, залежностей і винятків.
- Поетапний перехід від моніторингу до застосування політик.
Після визначення обґрунтованої потреби в правах адміністратора NPS-D застосовується для видалення зайвих привілеїв. Впровадження слід розпочинати з тестової групи пристроїв із подальшим поступовим масштабуванням.
Звітність про покриття привілеїв
Надійна інвентаризація привілеїв поєднує чотири фактори: цільову систему, актуальне успішне сканування, виявлені адміністративні зв’язки та облікові записи, що отримують фактичний доступ завдяки цим зв’язкам.
Базовий план дій на цей тиждень:
- Визначення бази цільових пристроїв.
- Відокремлення зареєстрованих систем від систем з успішним актуальним скануванням привілеїв.
- Перевірка всіх застарілих, недоступних, проблемних, несканованих і неідентифікованих записів.
- Оцінка прямих і групових адміністративних зв’язків за їхнім охопленням та важливістю.
Перелік пристроїв без інформації про їхніх адміністраторів, часу збору даних та невидимих систем – це інвентаризація обладнання, а не виявлення привілеїв.
