PAM 
К числу наиболее распространенных ошибок в управлении секретами относятся их жесткое кодирование, отсутствие ротации секретов, предоставление избыточного доступа, недостаток централизованного контроля и пренебрежение жиз...
Управление привилегированным доступом (PAM) — это подмножество управления идентификацией и доступом (IAM). Оно ориентировано на контроль доступа для пользователей, работающих с наиболее конфиденциальными системами и данными в организации, например ИТ-специалистов, а также сотрудников службы информационной безопасности и DevOps. Помимо прочих задач, решение PAM обеспечивает соблюдение принципа наименьших привилегий. Оно предоставляет пользователям минимальный уровень доступа к системам и данным, необходимый для выполнения их работы.
Поскольку частота кибератак увеличивается, а их интенсивность и финансовые последствия усиливаются, все больше организаций добавляют решения PAM в свои технологические стеки безопасности. Однако оценить и выбрать подходящее решение может быть непросто, поскольку существует множество конкурирующих продуктов PAM.
Давайте рассмотрим шесть основных функций управления привилегированным доступом, которые действительно необходимы для защиты вашей организации.
1. Облачная система безопасности с нулевым доверием и нулевым разглашением
Несмотря на то что нынешние среды обработки данных в организациях в значительной степени или даже полностью основаны на облачных технологиях, многие современные продукты PAM изначально разрабатывались для локальных инфраструктур, а облачные функции были внедрены позже. Продукты PAM, не разработанные на основе облачных технологий, не могут в полной мере использовать все преимущества облачных функций, таких как возможность автоматически масштабировать облачные ресурсы по мере необходимости (автомасштабирование), а также система безопасности с нулевым доверием и шифрование с нулевым разглашением.
Продукты без нулевого разглашения по своей сути менее безопасны, поскольку поставщик услуг имеет доступ к конфиденциальным данным пользователей. Без нулевого разглашения поставщики хранят данные в читаемом формате или имеют возможность расшифровывать данные пользователей. Если их системы взломают, злоумышленники смогут получить доступ к этим конфиденциальным данным. И наоборот, поставщики с нулевым разглашением не могут прочитать данные пользователей даже в случае взлома, поскольку они зашифрованы, а ключами владеет только пользователь.
Помимо защиты от утечек конфиденциальных данных пользователей в результате внешних угроз или злонамеренных действий сотрудников, шифрование с нулевым разглашением защищает конфиденциальные сведения от попадания в руки государственных регулирующих органов. Данные, хранящиеся у поставщика, регулируются местным законодательством, и доступ к ним можно получить или отслеживать без согласия пользователя, а государственные или регулирующие органы могут запросить доступ к пользовательской информации. Компании, не использующие шифрование с нулевым разглашением, могут быть юридически вынуждены предоставить данные пользователей в ответ на такой запрос. Если организация использует шифрование с нулевым разглашением, она будет не в состоянии выполнить такой запрос, поскольку не сможет расшифровать пользовательские данные.
Наконец, нулевое разглашение укрепляет доверие между поставщиками услуг и их клиентами. Организации должны доверять поставщику услуг в отношении ответственной обработки и защиты данных.
В среде с нулевым разглашением такое доверие легче обеспечить, поскольку поставщик услуг не может получить доступ к конфиденциальной информации пользователей каким-либо образом.
KeeperPAM®: система безопасности с нулевым разглашением, созданная на основе облака и для облака
В отличие от многих наших конкурентов, KeeperPAM не является локальным продуктом, куда облачные функции добавлены позже. Решение KeeperPAM было создано на основе облака и для облака с применением архитектуры безопасности с нулевым разглашением.. Это означает, что просматривать пароли, файлы или другие данные, хранящиеся в Keeper Vault, не может никто, кроме конечного пользователя: ни локальный администратор, ни даже сотрудники Keeper. Инфраструктура Keeper создает брокерские соединения, а из браузера пользователя в целевую инфраструктуру организуются одноранговые соединения, защищенные сквозным шифрованием.
2. Тщательный контроль доступа и применение политик
Тщательный контроль доступа помогает организациям создавать безопасную, эффективную и соответствующую нормативным требованиям среду, ограничивая доступ только теми пользователями или системами, которые в нем нуждаются. Обычно его сочетают с управлением доступом на основе ролей (RBAC) и принципом наименьших привилегий (также известным как принцип достаточных привилегий, или JEP), когда разрешения на доступ к системам и данным основываются на должностных обязанностях сотрудников, а конечной целью является обеспечение доступа пользователей только к тем ресурсам, которые необходимы им для выполнения работы. Поскольку тщательный контроль доступа, RBAC и принцип наименьших/достаточных привилегий — краеугольные камни современных сред безопасности с нулевым доверием, крайне важно, чтобы ваше решение PAM поддерживало их.
Еще одна важная функция, обеспечивающая безопасный привилегированный доступ — JIT-доступ. JIT-доступ предоставляет пользователям или системам ограниченный по времени доступ к ресурсам только тогда, когда они в этом нуждаются для выполнения конкретных задач. Это означает, что доступ предоставляется на основе следующих факторов:
- По требованию. Активируется по запросу или в результате определенного события.
- С ограничением по времени. Автоматически отзывается по истечении заранее определенного периода времени или после выполнения задачи.
- С учетом контекста. Может включать такие условия, как обязанности пользователя, его местоположение, устройство или уровень безопасности.
KeeperPAM упрощает тщательный контроль доступа и применение политикKeeperPAM может предоставить JIT-доступ к любой целевой инфраструктуре или системе, не раскрывая учетные данные. По истечении срока действия доступа учетные данные можно автоматически сменить. Реализуя принципы JIT-доступа и наименьших/достаточных привилегий, KeeperPAM сокращает количество постоянных привилегий, устраняет уязвимости в системе безопасности и снижает риск чрезмерных разрешений. |
3. Управление сеансами, их мониторинг и запись
В контексте управления привилегированным доступом управление сеансами, их мониторинг и запись являются важнейшими функциями, обеспечивающими надзор, контроль и подотчетность действий привилегированных пользователей. Эти функции гарантируют, что действия, выполняемые привилегированными учетными записями, тщательно отслеживаются, регистрируются и анализируются для снижения рисков, связанных с расширенным доступом.
Управление сеансами подразумевает контроль сеансов привилегированных пользователей, включая инициирование, поддержание и прекращение доступа к конфиденциальным системам. Убедитесь, что ваше решение PAM обладает следующими возможностями:
- Инициирование сеансов. Обеспечение безопасных и ограниченных по времени соединений с целевыми системами.
- Контроль доступа. Принудительное применение таких политик, как ограничения по времени или использование определенных устройств во время сеансов.
- Завершение сеансов. Автоматическое завершение сеансов при бездействии или нарушении политики.
- Мониторинг сеансов. Отслеживание действий пользователей в реальном времени во время привилегированных сеансов, позволяющее ИТ-специалистам и сотрудникам службы безопасности видеть, какие действия совершаются, часто с помощью панелей управления или механизмов совместного использования экрана.
- Запись сеансов. Ведение и хранение подробных журналов и зачастую воспроизведение привилегированных сеансов в качестве видео. Записи обычно включают нажатия клавиш, выполненные команды, просмотренные экраны и многое другое.
Управление сеансами, их мониторинг и запись помогают предотвратить вредоносные действия, позволяя сотрудникам службы безопасности вмешиваться в случае обнаружения подозрительных или несанкционированных действий во время привилегированных сеансов. Они снижают число внутрисистемных угроз, предотвращая неправомерное использование привилегий и предоставляя доказательства для криминалистических расследований в случае возникновения инцидентов. Управление сеансами, в частности их запись, также имеет ключевое значение для соблюдения нормативных требований. Многие отраслевые стандарты и нормативные акты (например, HIPAA, PCI DSS и GDPR) требуют отслеживания, документирования и отчетности о действиях привилегированных пользователей для защиты конфиденциальных данных.
Обязательно выберите решение PAM, которое поддерживает туннелирование и соблюдение принципа использования личных устройств в качестве рабочих инструментов (BYOT). Под туннелированием понимают возможность безопасно направлять и контролировать коммуникации или взаимодействия с удаленными системами через посредника или прокси-сервер, не требуя прямого доступа к целевой системе. Это особенно важно в решениях PAM, поскольку они обеспечивают безопасную зашифрованную связь между устройством пользователя и целевой системой, направляют все соединения через шлюз PAM или прокси-сервер, который обеспечивает RBAC и позволяет управлять сеансами, а также поддерживают несколько протоколов (например, SSH, RDP, HTTPS), чтобы пользователи могли безопасно управлять различными средами.
BYOT — это функция в комплексных решениях PAM, которая позволяет пользователям безопасно использовать любимые устройства и приложения для взаимодействия с системами, а не полагаться только на средства, предоставляемые платформой PAM. Например, это позволяет системным администраторам использовать любимый SSH-клиент, такой как PuTTY или Terminal, для подключения к серверу через платформу PAM. Это позволяет реализовать рабочие процессы, требующие специализированных инструментов или предпочтений пользователей, поддерживая безопасность и управление.
KeeperPAM улучшает управление сеансами, их мониторинг и запись
Инструменты управления привилегированными сеансами KeeperPAM (PSM) используют хранилище секретов, доступ JIT/JEP, запись и воспроизведение удаленных сеансов для обеспечения защиты критически важных учетных данных и инфраструктуры. Благодаря записи сеансов и регистрации нажатий клавиш действия пользователей во время подключений и на защищенных веб-сайтах могут быть записаны для проверки, соблюдения нормативных требований или в целях безопасности. Это обеспечивает правильное взаимодействие, а также снижает вероятность внутрисистемных угроз и мошенничества.
Действия пользователей в Keeper Vault также регистрируются, а модуль расширенной отчетности и предупреждений Keeper (ARAM) позволяет организациям устанавливать предупреждения о подозрительных действиях, таких как неудачные попытки входа в систему, изменения административной политики, совместное использование записей и изменение жизненного цикла пользователей. ARAM также может генерировать отчеты, специально предназначенные для соблюдения нормативных требований и стандартов, таких как FedRAMP, SOC 2, ISO 27001 и HIPAA.
Организации могут интегрировать Keeper с существующим инструментом управления информацией о безопасности и событиями (SIEM) для более сложного анализа. Keeper интегрируется с любой системой SIEM, которая поддерживает отправку системных журналов, и имеет готовые интеграции для многих из них, включая Splunk, Datadog, Azure и LogRhythm, но не ограничиваясь ими.
KeeperPAM предоставляет разработчикам возможность выбора способа доступа к системам: они могут использовать визуальный интерфейс Keeper Connection Manager для доступа к ресурсам или создавать зашифрованные туннели TCP для входа в систему с помощью предпочитаемых инструментов, таких как базы данных или эмуляторы терминалов.
KeeperPAM также предлагает удаленную изоляцию браузера (RBI), которая изолирует действия пользователей при просмотре веб-страниц от их локального устройства, запуская их в изолированной виртуальной среде, такой как песочница или виртуальная машина, на удаленном сервере. Веб-содержимое обрабатывается на удаленном сервере, поэтому вредоносные сценарии, вредоносное ПО или эксплойты не могут попасть на устройство пользователя.
4. Поддержка ключей доступа
Ключи доступа — это современный способ аутентификации, устойчивый к фишингу и предназначенный для замены традиционных паролей. Они представляют собой разновидность беспарольной системы входа, использующей криптографию с открытым ключом для повышения безопасности и простоты использования. Ключи доступа внедряются крупнейшими технологическими компаниями, включая Apple, Google и Microsoft, и поддерживаются FIDO Alliance. Ожидается, что по мере их распространения они значительно сократят число кибератак, связанных с паролями, сделают работу в Интернете более безопасной и удобной для пользователей, а также изменят систему проверки цифровой идентификации путем стандартизации безопасных и простых в использовании способов.
Внедрение ключей позволит организациям значительно повысить безопасность и одновременно устранить сложности, связанные с традиционным управлением паролями, поэтому убедитесь, что ваше решение PAM поддерживает их.
KeeperPAM упрощает безопасное хранение и использование ключей доступа
KeeperPAM — это простой и безопасный способ хранения паролей, ключей доступа и файлов для всех сотрудников на каждом устройстве в вашей организации. В сочетании с интеграцией единого входа KeeperPAM позволяет вашим пользователям легко отказаться от паролей.
5. Хранение паролей и управление ими с автоматической ротацией
Автоматизированная ротация и хранение паролей — функции современных решений PAM, которые повышают уровень безопасности и контроля привилегированных учетных записей за счет автоматизации работы с паролями и их безопасного хранения.
Автоматизированная ротация паролей автоматически меняет пароли к привилегированным учетным записям через определенные промежутки времени или после каждого использования. Этот процесс регулируется заранее определенными политиками и не требует ручного вмешательства. Автоматизированная ротация паролей снижает риск несанкционированного доступа из-за скомпрометированных или устаревших учетных данных, гарантирует, что никто из пользователей не сохранит постоянный доступ к привилегированным учетным записям, а также обеспечивает соблюдение нормативных требований, таких как PCI DSS и HIPAA, которые предписывают ротацию паролей.
Хранение паролей — это обеспечение сохранности учетных данных привилегированных учетных записей в зашифрованном централизованном хранилище. Пользователи или системы должны пройти аутентификацию в решении PAM, чтобы получить пароли для доступа к ресурсам. Доступ к хранилищу ограничен на основе политик типа RBAC, а учетные данные можно получить для определенных сеансов, и они скрыты от пользователя. Это позволяет исключить разрозненное хранение конфиденциальных учетных данных в системах или на личных устройствах, обеспечить интеграцию с политиками контроля доступа, чтобы ограничить круг лиц, которые могут получать или использовать определенные пароли, а также фиксировать каждый доступ к хранилищу для контроля над применением учетных данных.
В целом рекомендации по кибербезопасности не допускают совместного использования паролей. В идеале все пользователи должны иметь уникальные учетные данные для каждой системы и приложения. Однако на практике это не всегда осуществимо, поэтому важно, чтобы ваше решение PAM позволяло пользователям безопасно обмениваться паролями. Помимо общих учетных записей, обратите внимание на такие функции, как временный (ограниченный по времени), одноразовый и самоуничтожающийся общий доступ.
KeeperPAM защищает хранилище паролей и автоматизирует ротацию
KeeperPAM позволяет пользователям безопасно делиться доступом к учетной записи, не раскрывая учетные данные. Общий доступ может быть бессрочным или ограниченным по времени, в том числе одноразовым или самоуничтожающимся через определенный срок. По истечении срока действия доступа учетные данные можно автоматически сменить. KeeperPAM предоставляет ИТ-специалистам и сотрудникам службы безопасности полный контроль над тем, какие пользователи обмениваются учетными данными и файлами. Гарантируя, что только авторизованные пользователи могут инициировать общий доступ, организации могут предотвращать потерю данных и легче соблюдать нормативные требования.
Архитектура безопасности KeeperPAM с нулевым разглашением обеспечивает полную безопасность хранения паролей. Keeper не может получить доступ ни к чему в хранилищах пользователей, и никакой трафик не проходит через сеть Keeper, что обеспечивает полную конфиденциальность данных. Получать доступ к данным пользовательского хранилища или расшифровать их не может никто, даже сотрудники Keeper.
Автоматизированная ротация паролей в KeeperPAM позволяет администраторам находить, контролировать и менять учетные данные для учетных записей службы или администратора в корпоративных информационных средах. Централизованное хранилище и ротация паролей Keeper соответствует модели нулевого доверия, гарантируя, что учетные данные не будут постоянно доступны, а весь доступ можно будет проверять и отслеживать.
6. Защита всей организации, а не только ИТ
Некоторые продукты PAM, представленные сегодня на рынке, предназначены исключительно для защиты ИТ-администраторов, сотрудников DevOps и других привилегированных пользователей. Однако очень важно защитить всех пользователей в организации, а не только тех, кто имеет привилегированный доступ. Это означает, что вам придется развернуть как решение PAM, так и общее решение IAM, а затем контролировать и поддерживать оба продукта. Это создает дополнительную работу для ИТ-специалистов и сотрудников службы безопасности, а также затрудняет обеспечение последовательного применения внутренних политик и средств контроля для всей базы пользователей.
Решение KeeperPAM создано для защиты всей вашей базы пользователей
Благодаря KeeperPAM организациям достаточно развернуть Keeper Vault для всех своих пользователей, чтобы гарантировать полный охват. KeeperPAM обеспечивает управление доступом на основе ролей и принцип наименьших привилегий в соответствии с должностными обязанностями. Это позволяет организациям упростить доступ пользователей, сохраняя надежные политики безопасности, сокращая административные задачи ИТ-специалистов и уменьшая нагрузку на конечных пользователей.
KeeperPAM легко использовать всем сотрудникам вашей организации. Это решение не требует от пользователей непосредственного доступа к инфраструктуре или Keeper Gateway. Просто разверните веб-хранилище Keeper для своих пользователей, и все будет полностью встроено без необходимости установки на настольные ПК или использования агентов.
Выберите KeeperPAM в качестве решения PAM для вашей организации
KeeperPAM — это первое в мире решение, объединяющее критически важные функции PAM в облачное хранилище, которое обеспечивает безопасный доступ для всей базы пользователей, а не только ИТ-специалистов. Будучи полностью облачной платформой, KeeperPAM объединяет в едином интерфейсе хранилище, управление секретами, управление соединениями, доступ с нулевым доверием и удаленную изоляцию браузера.
Чтобы узнать больше об упреждающем подходе Keeper к защите доступа и унификации управления всеми критически важными ресурсами, запросите демоверсию KeeperPAM.
