Одна из самых простых вещей, которые организация может сделать для уменьшения риска нарушения безопасности, – это внедрить принцип наименьших привилегий. В этой статье рассказывается, что такое принцип наименьших привилегий и как можно использовать этот принцип для укрепления системы безопасности.
Определение принципа наименьших привилегий
Принцип наименьших привилегий – это лучшая практика безопасности, которая требует ограничения привилегий до минимума, необходимого для выполнения работы или задачи.
Одним из ключевых аспектов реализации принципа наименьших привилегий является ограничение прав доступа пользователей, администраторов и компьютерных учетных записей. Например, работник, работающий в отделе продаж, не должен иметь доступ к финансовой документации, а маркетолог не должен иметь привилегий администратора.
Однако принцип наименьших привилегий имеет более широкое применение, включая физический контроль доступа к конфиденциальным зонам, таким как серверные комнаты и центры обработки данных.
Организации могут получить много преимуществ, внедряя практики принципа наименьших привилегий. К ним относятся:
- Лучшая безопасность: принцип наименьших привилегий может ограничить вред от внутренних угроз, включая как злонамеренные атаки, так и ошибки, поскольку пользователи имеют доступ только к тем ІТ-ресурсам, которые им нужны для выполнения своей работы.
- Уменьшение возможностей для эскалации привилегий: Ограничение количества учетных записей с привилегированным доступом затрудняет доступ сторонних злоумышленников к конфиденциальным данным и системам.
- Защита от других атак: Внедрение принципа наименьших привилегий может ограничить распространение вредоносного программного обеспечения и связанных с ним угроз в сети.
Основные практики безопасности для внедрения принципа наименьших привилегий
Три ключевые стратегии особенно ценны для реализации принципа наименьших привилегий:
Ограничение прав учетных записей пользователей
Один из самых эффективных способов снижения риска (все еще недостаточно используемый) – это обеспечение того, чтобы каждый пользователь имел только тот тип и уровень разрешений, который необходим для выполнения его работы. В конце концов, если пользователь не имеет доступа к конфиденциальным данным, он не может случайно прикрепить эти файлы к электронному письму или намеренно загрузить их, чтобы передать конкуренту, когда освободится. Если же учетной записью пользователя завладеет злоумышленник, он будет иметь доступ только к ограниченному набору ІТ-ресурсов.
Использовать стратегию «just-in-time» (JIT) для предоставления расширенных прав доступа
JIT обычно используется для работников, что временно нуждаются в расширенных правах или доступе к приложениям, системам, серверам или другим ІТ-ресурсам, которыми они обычно не пользуются. В частности, организации могут предоставлять доступ «just-in-time» членам ІТ-команды, которым нужно выполнить административную задачу, например, решить запрос на поддержку. Конечно, в соответствии с моделью безопасности Zero Trust, этот процесс должен включать проверку лица, запрашивающего доступ.
Стремиться к нулевым постоянным привилегиям
Нулевые постоянные привилегии (ZSP) – это стратегия управления привилегированным доступом (PAM), которая идет бок о бок с JIT. Если есть возможность эффективно предоставлять пользователям повышенный доступ именно тогда, когда это необходимо, можно избавиться от их «постоянно активных» привилегированных учетных записей.
Внедрение ZSP может значительно уменьшить площадь поверхности атаки на бизнес. Действительно, многие организации сегодня имеют десятки или даже сотни учетных записей с расширенными правами к конфиденциальным данным и приложениям. Владельцы этих учетных записей (или злоумышленники, которые входят в их состав) могут намеренно или случайно изменить критические настройки программного обеспечения или удалить ценные данные. Но с нулевыми постоянными привилегиями эти учетные записи не имеют необходимых повышенных прав, чтобы нанести такой серьезный ущерб. Вместо этого администраторы должны запрашивать расширенные права, необходимые им для выполнения конкретной задачи.
Как внедрить принцип наименьших привилегий
Для усиления информационной безопасности нужно выполнить эти шаги, чтобы внедрить принцип наименьших привилегий.
Обнаружение
Сканирование и каталогизация всех систем и каталогов, подключенных к корпоративной сети. Создание списка всех учетных записей и членов всех групп, включая все встроенные административные группы.
Регулярный просмотр привилегий
Регулярный просмотр разрешений всех учетных записей и групп, особенно тех, которые имеют привилегированный доступ к жизненно важным ресурсам, таким как Active Directory (AD). В идеале, стоит использовать решения, что позволяют предоставлять разрешения на основе ролей, упрощают для владельцев данных просмотр прав доступа к их данным и обеспечивают рабочие процессы, которые позволяют пользователям запрашивать доступ непосредственно у владельцев ресурсов.
Мониторинг
Проведение аудита использования привилегированных учетных записей. Следует убедиться, что все учетные данные, которые были открыты на любое время, после использования подлежат ротации. С помощью соответствующих механизмов контроля необходимо убедиться, что привилегии удаляются, когда они больше не нужны.
Лучшие практики принципа наименьших привилегий
Внедряя принцип наименьших привилегий, следует помнить о приведенных ниже лучших практиках и примерах принципа наименьших привилегий.
Минимизация привилегий на основе требований роли или задачи пользователя
Каждая учетная запись пользователя должна позволять пользователю делать то, что он должен делать в рамках своей работы.
Минимизация привилегий для учетных записей, которые не принадлежат людям (например, служебных)
Внедрение программы в тестовой среде, где есть возможность точно определить, какие именно разрешения нужны служебной учетной записи. Некоторые вендоры утверждают, что административный доступ нужен даже тогда, когда достаточно меньших разрешений. Кроме того, следует изменить учетные данные по умолчанию для служебных учетных записей.
Периодический пересмотр прав доступа, чтобы убедиться, что соблюдается принцип наименьших привилегий
Сотрудники часто меняют роли или отделы, но реже их права доступа должным образом корректируются при каждом таком изменении. Со временем работники часто накапливают большой набор привилегий, поэтому важно удалять ненужные привилегии, чтобы уменьшить риск для систем и данных.
Сопутствующие лучшие практики
Внедрение принципа наименьших привилегий – отличный способ уменьшить площадь поверхности атаки и повысить уровень безопасности. Однако следует дополнить свою стратегию безопасности другими ключевыми лучшими практиками:
Использование привилегированных аккаунтов только тогда, когда это необходимо для выполнения задачи.
Каждый администратор должен иметь учетную запись пользователя со стандартными привилегиями для чтения электронной почты, просмотра веб-страниц и т. Д. Они должны входить в систему с учетными данными, которые предоставляют повышенные привилегии, только тогда, когда им нужно выполнять административные задачи.
Проведение аудита активности всех учетных записей, особенно привилегированных.
Необходимо иметь возможность отслеживать и анализировать, когда и как пользователи аутентифицируются, какие задачи они выполняют и какие конкретные изменения они вносят в среду.
Внедрение многофакторной аутентификации для учетных записей ІТ-администраторов.
Администраторы должны пройти обычную аутентификацию (например, с помощью ID пользователя и пароля), а затем выполнить второй шаг, используя другой механизм аутентификации (например, аппаратный токен или отпечаток пальца) каждый раз, когда они хотят выполнить административные задачи.
Как Netwrix может помочь
Такие решения, как Netwrix Privilege Secure и Netwrix Password Secure могут помочь организации:
- Уменьшить риски безопасности. Если администратору нужны расширенные права для выполнения определенной задачи, можно создать эфемерную учетную запись с необходимыми разрешениями или временно повысить разрешения для действующей учетной записи пользователя. В обоих случаях расширенные права доступа исчезают сразу после завершения задачи, не оставляя никакой постоянной учетной записи для компрометации злоумышленниками или злоупотреблений со стороны владельца.
- Защитить привилегированный доступ. Подтверждение идентичности в соответствии с принципами нулевого доверия, применение контекстной многофакторной аутентификации (MFA) для каждого привилегированного сеанса с использованием детальных политик, приспособленных к конкретным действиям и ресурсам.
- Выявить ненадлежащую привилегированную активность. Тщательное отслеживание всей активности привилегированных учетных записей и немедленное получение оповещения о подозрительном поведении как в помещениях, так и в облаке.
- Минимизировать поверхность атаки с помощью автоматической очистки. Снижение рисков Pass-the-Hash, Golden Ticket и других атак с помощью автоматической очистки тикетов Kerberos после каждого привилегированного сеанса.
