Privilegizált hozzáférés-kezelés (PAM)
Ellenőrzött keretek közé tesszük a rendszergazdai jogokat: az állandó emelt jogosultság helyett ideiglenes, jóváhagyáshoz kötött és naplózott hozzáférést vezetünk be.
Mikor van rá szükség
Ahol az admin fiók könnyű célpont
A támadások fordulópontja szinte mindig az a pillanat, amikor a támadó adminisztrátori joghoz jut. Ezek a helyzetek könnyítik meg a dolgát.
Állandó jogosultság
A legtöbb szervezetnél az admin fiók éjjel-nappal admin. Ha kompromittálódik, a támadó azonnal teljes joggal dolgozik.
Admin fiók a napi munkára
Aki ugyanazzal a fiókkal levelez és adminisztrál, annál egyetlen adathalász levél elég a tartomány elvesztéséhez.
Megosztott admin fiók
A közösen használt fiók nem visszakövethető: incidensnél nem derül ki, ki mit csinált.
Hitelesítő adat a gépeken
Ahol admin fiókkal bejelentkeznek, ott a hitelesítő adat a memóriában marad, és onnan kiolvasható.
Amit kiépítünk
Emelt jog csak kérésre, visszakövethetően
Az adminisztrátor a napi munkát hétköznapi joggal végzi, emelt jogot csak arra a feladatra kap, amelyhez kell.
Ideiglenes jogosultság
Just-in-time hozzáférés: a jog kérésre aktiválódik, időkorláttal és indoklással, használat után pedig magától megszűnik.
Jóváhagyás második személytől
Kritikus rendszereknél a hozzáférés második személy jóváhagyásához köthető.
Napló személyhez kötve
A megosztott fiók használata is nevesíthető, mert a rendszer tudja, ki kérte a hozzáférést.
Jelszó a széfben
Az admin jelszót senki nem ismeri: a rendszer tárolja, használatkor kiadja, utána pedig azonnal cseréli.
Munkamenet-rögzítés
Ami az admin munkamenetben történik, az visszanézhető. Incidensnél és hibakeresésnél egyaránt jól jön.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A privilegizált fiókok leltára
- Jogosultságemelési és jóváhagyási szabályok
- A privilegizált műveletek naplózása
- Átadási dokumentáció
Kapcsolódó szolgáltatások
Az emelt jogok környezete
A PAM a legkényesebb fiókokra szűkít. Ezek a szolgáltatások a köréjük épülő hozzáférés-kezelést és naplózást adják.
Hozzáférés-kezelés (IAM)
A szervezet összes hozzáférése: ki, mihez, milyen hitelesítéssel fér hozzá, és mi történik belépéskor, szerepkörváltáskor és kilépéskor.
Active Directory felülvizsgálat és keményítés
A tartomány jogosultságainak, fiókjainak és beállításainak átvilágítása, majd a támadási utak lezárása.
Naplógyűjtés és riasztás (SIEM)
A rendszerek naplóit egy helyre gyűjti, és a gyűjtött események között a kiemelt csoportok tagságának változása is szerepel.
Microsoft 365 biztonsági keményítés
A Microsoft 365 és Entra ID bérlő hitelesítési, feltételes hozzáférési és naplózási beállításainak ellenőrzése és javítása.
Gyakori kérdések
Amit a legtöbben kérdeznek
Kell ehhez külön PAM-termék?
Nem mindig. A haszon jelentős része új termék nélkül is elérhető: külön admin fiók minden adminisztrátornak, rétegzett modell, amelyben a tartományi admin csak tartományvezérlőre jelentkezhet be, egyetlen szigorúan védett ugródeszka-szerver az adminisztratív hozzáféréshez, gépenként egyedi helyi admin jelszó és időkorlátos kiemelt csoporttagság, amely gyakran a meglévő licencben is benne van. Ha csak egy lépésre van mód, az a külön admin fiók legyen. Teljes PAM-megoldás akkor jön szóba, ha sok a külső fél, szigorú az auditálási elvárás, vagy nagyszámú megosztott szolgáltatásfiók van. A lépéseket a PAM-ről szóló cikkünkben részleteztük.
Mi történik, ha a PAM-rendszer kiesik?
Erre az esetre vészhelyzeti fiók kell, amely akkor is működik, ha a PAM vagy az identitásszolgáltató nem elérhető. A jelszavát fizikai páncélszekrényben tartják, a használata pedig riasztást vált ki.
Miből látszik, hogy javult a helyzet?
Négy mutatóból: hány állandó adminisztrátori jogosultság maradt (ideálisan egy sem), hány admin fiókot használnak napi munkára is, hány gépen azonos a helyi admin jelszó, és mennyi idő alatt szűnik meg egy távozó adminisztrátor hozzáférése.
