In che modo Keeper Privileged Cloud garantisce l’assenza di privilegi permanenti

Keeper Privileged Cloud garantisce il cosiddetto il privilegio senza permanenza (Zero Standing Privilege, ZSP) estendendo il framework di accesso Just-In-Time (JIT) di KeeperPAM® alle piattaforme di identità cloud. Un utente ottiene autorizzazioni elevate solo dopo l’approvazione di una richiesta; tali autorizzazioni durano per una finestra temporale prestabilita e Keeper le revoca automaticamente quando questa si chiude. Nessun privilegio permanente viene lasciato attivo.

Questo articolo illustra l’importanza dell’assenza di privilegi permanenti, il funzionamento del flusso di lavoro di Keeper Privileged Cloud e le piattaforme supportate.

Perché è importante eliminare i privilegi permanenti

Ogni privilegio amministrativo permanente aumenta la tua superficie di attacco, che venga utilizzato o meno. Le autorizzazioni si accumulano a causa del privilege creep, i vecchi accessi amministrativi restano attivi molto tempo dopo che non sono più necessari e ogni privilegio inutilizzato amplia il raggio d’impatto quando le credenziali vengono rubate. Maggiore è l’accesso permanente di cui dispone un’organizzazione, maggiori sono le autorizzazioni che un utente malintenzionato eredita nel momento in cui ottiene l’accesso.

L’assenza di privilegi permanenti elimina questa esposizione. Nessuna identità dispone di un accesso privilegiato permanente. I privilegi di un account vengono elevati solo per una finestra temporale approvata e limitata. Al termine, l’accesso viene revocato, senza lasciare privilegi inutilizzati che un aggressore possa individuare o sfruttare.

L’accesso JIT è ciò che rende attuabile il modello ZSP. Il JIT concede le autorizzazioni quando qualcuno ne ha bisogno e le revoca successivamente, invece di assegnarle in modo permanente. I due concetti non sono intercambiabili: il JIT controlla quando viene concesso l’accesso, mentre lo ZSP fa sì che non vi siano privilegi permanenti residui una volta completata l’attività di un utente.

In che modo Keeper Privileged Cloud garantisce l’assenza di privilegi permanenti

Keeper Privileged Cloud elimina i privilegi permanenti con un flusso di lavoro di richiesta e approvazione: un utente richiede l’accesso a una risorsa specifica, un approvatore dà l’approvazione, Keeper eleva i privilegi dell’utente per una finestra temporale prestabilita, rimuovendo automaticamente tale accesso quando questa si chiude.

Keeper Privileged Cloud fa parte di KeeperPAM, la piattaforma di sicurezza delle identità di Keeper, e applica lo stesso framework JIT ai tuoi provider d’identità (IdP) cloud. Funziona con tre tipi di voci: PAM Cloud Resource, PAM Machine e PAM Database. Ogni voce richiede due configurazioni prima che chiunque possa richiedere l’accesso: le impostazioni JIT, che definiscono come viene concesso l’accesso, e le impostazioni del Workflow, che definiscono i requisiti di approvazione, il limite di tempo, il motivo e il numero di ticket.

Innanzitutto sono necessari alcuni prerequisiti: un’applicazione Keeper Secrets Manager configurata, un gateway KeeperPAM distribuito, l’accesso basato su Workflow abilitato e una configurazione PAM per un IdP supportato. Il Gateway è un servizio leggero che esegui sulla tua rete utilizzando Docker su Linux o Windows, fornendo accesso in uscita alla tua infrastruttura di destinazione.

Una volta configurato, il flusso di lavoro funziona così:

Se una richiesta viene rifiutata, la voce torna allo stato “Richiedi accesso” e l’utente può ripresentare la richiesta.

L’elevazione avviene a livello di gruppo o di ruolo, nell’IdP o direttamente sulla risorsa. Keeper Privileged Cloud copre gli IdP che la maggior parte delle organizzazioni utilizza già: AWS IAM, Microsoft Entra ID, Google Cloud Platform, Okta e Active Directory, oltre a qualsiasi applicazione federata tramite essi. Keeper gestisce queste identità direttamente sulla risorsa o tramite un provider federato.

Dopo che l’accesso è stato approvato, ci sono due modi per accedere alla risorsa. Il primo consiste nell’utilizzare la funzionalità Remote Browser Isolation di Keeper, avviata dalla Cassaforte Keeper. L’altro è un accesso standard tramite il portale AWS, l’interfaccia a riga di comando (CLI) o Terraform.

Cosa offre Keeper Privileged Cloud ai team di sicurezza

Con quel flusso di lavoro in esecuzione tramite Keeper Privileged Cloud, i team di sicurezza hanno meno accessi privilegiati da difendere e un chiaro registro di audit per gli accessi concessi.

Una superficie di attacco ridotta

Non c’è alcun privilegio inattivo che un hacker possa trovare tra un’attività e l’altra. Poiché ogni elevazione è temporanea, la superficie di attacco legata agli accessi privilegiati esiste solo mentre tali accessi sono in uso.

Accesso basato su approvazione, limitato nel tempo e verificabile

Ogni elevazione viene richiesta, approvata e registrata. Questo fornisce ai team di sicurezza un registro di chi ha richiesto l’accesso, chi lo ha approvato e quando è scaduto. Questo registro di audit contribuisce a soddisfare i requisiti di documentazione dei controlli degli accessi previsti da framework come SOC 2, CMMC e NIST 800-53, oltre a supportare le consuete verifiche interne.

Applicazione coerente da un’unica piattaforma

Lo stesso flusso di lavoro viene eseguito su ogni IdP cloud e federato che connetti, in modo da non gestire un insieme separato di controlli per AWS, Entra ID e Okta.

Elimina i privilegi permanenti con Keeper

Con Keeper Privileged Cloud, l’accesso privilegiato esiste solo dopo che qualcuno lo richiede, ne ottiene l’approvazione e lo utilizza entro una finestra temporale prestabilita. Quando questa si chiude, non rimane nulla da proteggere o rubare.

Per vedere come Keeper Privileged Cloud funziona nel tuo ambiente cloud e di gestione delle identità, richiedi una demo di KeeperPAM.