PAM: обеспечение минимальных привилегий с Just-in-Time подходом

Привилегированные учетные записи являются «ключами» к чувствительной и конфиденциальной информации предприятий.

Организации часто совершают ошибку, оставляя всегда включенным привилегированный доступ к критически важным системам. В результате они могут быть скомпрометированы инсайдерами или третими лицами.

Цель привилегий – ускорение IT-инфраструктуры и выполнение административных задач с помощью распределения обязанностей (SOD) и доступа на основе правил и ролей. Привилегированные аккаунты часто создаются так, чтобы соответствовать IT-потребностям. Однако компании часто не замечают, что когда приложений становится все больше, отсутствие контроля доступа может расширить вектор инсайдерских атак.

IT-риски возникают, когда организации не отзывают повышенные привилегии после выполнения задачи. Это представляет огромную угрозу безопасности, так как система или программа остается открытой для нежелательных лиц. Злонамеренные инсайдеры, подозрительные пользователи и преступные хакеры обычно ищут такие уязвимости контроля доступа, ведь благодаря им можно легко скомпрометировать активы данных.

Зачем нужен Just-in-Time подход

В современных IT-средах широко распространены цифровые идентичности. Командам по оценке IT-рисков сложно отслеживать и управлять деятельностью каждого пользователя. В результате вероятность несанкционированного доступа, утечки данных и кибершпионажа остается высокой.

Подход Just-in-Time помогает организациям соблюдать принцип минимальных привилегий и таким образом уменьшает угрозы. Это позволяет администраторам безопасно предоставлять привилегированные права для выполнения задач, не беспокоясь об их отклонении.

В некоторых случаях этот подход может спасти компанию от утечки данных. Например, такой инцидент произошел с Anthem: злонамеренный инсайдер получил легитимный доступ к чувствительной информации организации, злоупотреблял ею и совершил кражу идентичности. С политикой Just-In-Time повышенные права доступа были бы автоматически отозваны после определенного времени, и утечку данных можно было бы предотвратить.

Преимущества политики доступа Just-In-Time

Организации теряют возможность отслеживать кто, когда и по какой причине получает доступ, если они оставляют его неограниченным. В результате отсутствует желаемое управление идентичностями пользователей и их действиями. С помощью политики привилегий Just-In-Time компании могут не допускать опасную практику неограниченного доступа к критически важным системам.

Обычно IT-администраторы делают это после выполнения задания. В противном случае появляются нежелательные постоянные привилегии, что увеличивает риск злоупотребления повышенными правами. Благодаря подходу Just-In-Time процесс отклонения автоматизирован, и организациям не нужно полагаться на ручную работу.

Подход Just-In-Time закладывает основу для этого, отзывая все постоянные привилегии. Это уменьшает риски от этой опасной практики, которая может привести к злонамеренному использованию идентификационной информации, утечке данных, шпионажу и прочему.

Привилегия Just-In-Time обеспечивает безопасный контроль доступа, предоставляя его пользователям только в течение определенного срока, по окончанию которого он отменяется. Это усиливает защищенность организации, ведь пользователи получают нужные права только тогда, когда это необходимо. Кроме того, эта практика сокращает время, затраченное на предоставление доступа и его отклонение.

К примеру, требование касательно прозрачности информации и прав доступа к данным, указанное в 12 статье GDPR, может быть легко выполнено с помощью подхода Just-In-Time. Как и соблюдение стандартов HIPAA, PCI DSS и FedRAMP, которые предусматривают безопасный контроль доступа. С этим подходом пользователь получает права исключительно на основе того, что ему необходимо знать и сделать в конкретной системе.

Кейсы применения подхода привилегий Just-In-Time от ARCON

Временные аккаунты

Организации создают их для выполнения специальных задач. Для этого IT-администраторы предоставляют привилегии некоторым пользователям на определенный срок. Если права своевременно не отозвать, может возникнуть риск злоупотребления привилегиями. Подход Just-In-Time от ARCON помогает организациям в создании временных привилегированных аккаунтов с ограниченным доступом только к нужной системе. Это способствует безопасности и целостности данных.

Временные учетные данные

Подход Just-In-Time предоставляет права доступа пользователям только на некоторое время. Это работает как одноразовые пароли, которые остаются действительными только в период авторизованного доступа. Пользователям не нужно вручную вводить учетные данные привилегированного аккаунта при подключении, поскольку они автоматически предоставляются механизмом Just-In-Time от ARCON. После выполнения задачи они становятся недействительными.

Временное повышение привилегий

Подход Just-In-Time от ARCON помогает организациям защитить свои информационные активы, предоставляя доступ к критически важным системам только на время. Благодаря этому конечные пользователи могут выполнять привилегированные команды один раз в течение определенного срока, а также временно получать доступ к конкретным программам. Они могут отправлять запрос на него ежедневно или еженедельно при необходимости. Администратор может ограничивать время действия разрешений.

Временное включение в привилегированную группу

Эта функция от ARCON полезна, когда какому-либо пользователю на некоторое время требуется повышенный доступ для выполнения задания. Благодаря ей администратор может временно добавить его в группу администраторов. По истечении этого срока пользователь автоматически исключается оттуда, что обеспечивает соблюдение стандартов политики Just-In-Time.