Hozzáférés-kezelés (IAM)
Rendbe tesszük a szervezet hozzáféréseit: ki, mihez, milyen hitelesítéssel fér hozzá, és mi történik belépéskor, szerepkörváltáskor és kilépéskor.
Mikor van rá szükség
Jelek, hogy a hozzáférések rendezetlenek
Ezek a helyzetek a legtöbb szervezetnél előfordulnak, és mindegyik támadási lehetőséget hagy.
Nincs áttekintés a jogosultságokról
Ha a jogokat évek óta egyenként osztják ki, nehéz megmondani, ki fér hozzá például a pénzügyi rendszerhez, és miért.
Közös fiókok
A több ember által használt fiók nem visszakövethető: incidens után nem derül ki, ki mit csinált.
Jelszó második tényező nélkül
A támadók leggyakrabban ellopott hitelesítő adatokkal jutnak be. A többtényezős hitelesítés ezeknek a kísérleteknek a túlnyomó részét megállítja, de csak ott, ahol nincs alóla kivétel, például egy régi levelezési protokoll vagy a belső hálózat.
Újrahasznált jelszavak
Jelszókezelő nélkül a felhasználók ugyanazt a jelszót több helyen használják, így egyetlen külső szivárgás is elég a bejutáshoz.
A hozzáférés életciklusa
Belépés, szerepkörváltás, kilépés
A jogosultságok ezekben a pillanatokban változnak. Mindháromra írásban rögzített folyamat kell, felelősökkel és határidővel.
Belépés
Az új munkatárs a szerepköréhez tartozó hozzáféréseket kapja meg, így az első naptól ismert, mihez fér hozzá.
Szerepkörváltás
Aki másik osztályra kerül, gyakran megtartja a régi hozzáféréseit is, és a jogosultságai idővel felhalmozódnak. A váltáskor az új szerepkör jogai lépnek a régiek helyébe.
Kilépés
A hozzáférések megszüntetése a felmondás napján, a szolgáltatásfiókok jelszavának cseréje, ha a távozó ismerte őket, és az eszközök visszavétele. A gyakorlatban éppen ez a lépés marad el a legtöbbször.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A jelenlegi jogosultságok felmérése
- Szerepkör-alapú hozzáférési modell
- Többfaktoros hitelesítés a kritikus rendszereken
- A be- és kiléptetési folyamatok dokumentációja, ahol lehet, automatizálása
Kapcsolódó szolgáltatások
Az identitásvédelem további részei
A hozzáférés-kezelés az alap. Ezek a szolgáltatások egy-egy területet visznek tovább.
Privilegizált hozzáférés-kezelés (PAM)
A rendszergazdai jogok ideiglenesek, jóváhagyáshoz kötöttek és naplózottak lesznek.
Active Directory felülvizsgálat és keményítés
A jogosultságok, a fiókok és a beállítások átvilágítása, majd a támadási utak lezárása.
Zéró bizalmi távoli elérés (ZTNA)
A hagyományos VPN kiváltása alkalmazásszintű hozzáféréssel: a felhasználó csak azt látja, amihez jogosult.
Microsoft 365 biztonsági keményítés
A felhős bérlő hitelesítési és feltételes hozzáférési beállításainak ellenőrzése és javítása.
Gyakori kérdések
Amit a legtöbben kérdeznek
Melyik többfaktoros hitelesítési módszert érdemes választani?
A kód alapú módszerek (SMS, e-mail, hitelesítő alkalmazás) az adathalászat ellen nem védenek, mert a hamis bejelentkező oldal a kódot is valós időben továbbítja. A szám-egyeztetéssel kiegészített push-értesítés ennek nagyrészt ellenáll. A legerősebb a FIDO2 hardveres kulcs és a passkey, mert a hitelesítés kriptográfiailag a domainhez kötött. A módszereket az MFA-típusokról szóló cikkünkben hasonlítottuk össze.
Hol kezdjük a többfaktoros hitelesítés bevezetését?
A kívülről elérhető szolgáltatásoknál: VPN, távoli asztal, webmail és felhős alkalmazások. Utánuk az adminisztrátori fiókok következnek, lehetőleg hardveres kulccsal, majd a magas kockázatú szerepkörök, például a pénzügy, a HR és a vezetőség. Végül minden felhasználó.
Mi a teendő a szolgáltatásfiókokkal, ahol nem használható MFA?
Ezek kivétel helyett más védelmet kapnak: hosszú, egyedi jelszót, szűk jogosultságot és korlátozott bejelentkezési helyet, vagyis csak arról a szerverről léphetnek be, ahol futniuk kell. Ahol lehet, felügyelt fiók váltja ki őket, amelynek a jelszavát a rendszer kezeli és cseréli. Tartományi adminisztrátori joguk soha ne legyen. Részletesen a jelszókezelésről szóló cikkünkben írtunk róluk.
Ki döntse el, kinek mihez legyen hozzáférése?
A jogosultsági felülvizsgálatba a szervezeti vezetőket is be kell vonni, mert ők tudják megmondani, kinek mire van szüksége a munkájához. Az informatika a technikai oldalt adja: a szerepköröket és a kiosztott jogokat. A témáról a Zero Trust architektúráról szóló cikkünkben is írtunk.
