Afkodning af PAM: seks kontotyper, enhver organisation bør beskytte

Privilegerede konti er de ordsproglige nøgler til kongeriget, og det kongerige er din organisation.

Disse „nøgler“ konfigurerer infrastruktur, flytter data, låser applikationer op og kan, i de forkerte hænder, stille og roligt afmontere sikkerhedskontroller indefra. Fordi kontiene ofte styrer følsomme data, systemer og brugerprivilegier, er de primære mål for angribere og et kritisk fokusområde i enhver strategi for privilegeret adgangsstyring (PAM).

Privilegeret adgang er ikke begrænset til IT-funktioner. Juridisk afdeling, finans og forretningsansvarlige har i stigende grad stærke konti knyttet til forretningskritiske platforme. For IT- og PAM-administratorer, SecOps og forretningens interessenter er det afgørende at vide, hvor privilegierne ligger, hvordan de bruges, og hvordan de bør styres.

Artiklen fremhæver seks kategorier af konti, der næsten altid bør behandles som privilegerede og samles under en PAM-løsning som Devolutions PAM.

Oplev Devolutions PAM i en gratis prøveperiode.

Hvad gør en konto „privilegeret“?

En konto betragtes typisk som privilegeret, når den kan gøre et eller flere af følgende:

• Ændre sikkerhedskontroller, konfigurationer eller politikker for systemer eller brugere;
• Tilgå følsomme eller regulerede data i stor skala (regnskaber, juridiske dokumenter, personoplysninger, intellektuel ejendom osv.);
• Omgå almindelige godkendelses-, tilsyns- eller workflowmekanismer;
• Udføre handlinger, der påvirker mange brugere, systemer eller forretningsenheder på én gang.

Uanset om evnerne tilhører en IT-administrator, en infrastrukturingeniør, en økonomichef eller en automatiseret baggrundstjeneste, er risikoprofilen den samme. Kontiene fortjener stærk styring, overvågning og kontrol i et PAM-program.

Seks kategorier af privilegerede konti

1. Applikations- og tjenestekonti

Applikations- og tjenestekonti er ofte det „tavse flertal“ blandt privilegerede identiteter.

Applikationskonti bruges af software til at tale med databaser, API’er, filshares eller andre systemer, som regel uden direkte menneskelig interaktion. Tjenestekonti kører baggrundstjenester, planlagte job og andre systemprocesser, der kræver løbende adgang.

Fordi de ikke er menneskelige, er kontiene lette at overse. De har ofte legitimationsoplysninger med lang levetid, bred adgang „for en sikkerheds skyld“ og endda hardcodede hemmeligheder i scripts eller konfigurationsfiler. Bliver de kompromitteret, kan de give en diskret vej ind i kritiske datalagre og systemer, ofte uden at udløse tydelige afvigelser i brugeradfærd.

2. Domæneadministratorkonti

I et Active Directory-miljø kan domæneadministratorer oprette, ændre og slette bruger- og computerkonti, ændre gruppemedlemskaber, redigere Group Policy Objects (GPO’er) og påvirke godkendelse og autorisation på tværs af domænet. En kompromitteret domæneadministratorkonto giver en angriber mulighed for at bevæge sig lateralt, svække eller deaktivere sikkerhedskontroller, eksfiltrere data i stor skala og oprette reservekonti med høje privilegier med henblik på at forårsage skade.

På grund af deres rækkevidde og konsekvens bør domæneadministratorkonti altid behandles som privilegerede identiteter med høj risiko.

3. Nødkonti

Nød-, „break-glass“- eller firecall-konti giver adgang som sidste udvej i kritiske situationer, for eksempel når administratorer er låst ude, eller den primære identitetsudbyder er utilgængelig.

Kontiene har ofte brede privilegier og ligger bevidst uden for de normale godkendelses- og SSO-forløb. De er tiltænkt sjælden, dokumenteret brug, men legitimationsoplysningerne kan ligge ubrugte og uprøvede i lang tid. Ejerskabet kan glide, dokumentationen kan blive forældet, og det, der begynder som et sikkerhedsnet, kan blive en bagdør med svag styring.

Opdager angribere en nødkonto med vidtrækkende privilegier, får de en stærk måde at omgå standardkontroller på og bevæge sig gennem miljøet med minimalt tilsyn.

4. Root- og lokale administratorkonti

På Linux og Unix giver root-konti næsten fuld kontrol over systemet ved at installere og konfigurere software, ændre filtilladelser og justere sikkerhedsindstillinger. På Windows administrerer lokale administratorkonti softwareinstallation, lokal konfiguration og lokale sikkerhedskontroller, også når enheden tilhører et Active Directory-domæne.

Ved et brud gør delte eller uadministrerede lokale administratoradgangskoder det enkelt for modstandere at bevæge sig mellem slutpunkter, deaktivere sikkerhedsværktøjer, ændre logge og opretholde persistens, selv når kontrollerne på højere niveau er stærke.

5. Administratorkonti til cloudkonsollen

Når infrastruktur, applikationer og data flytter til cloud, er konsoladministratorkonti i Azure, AWS, GCP, VMware og andre platforme blevet centrale for sikkerheden.

Cloudkonsoladministratorer kan oprette og nedlægge ressourcer, ændre IAM-politikker, justere sikkerhedsgrupper, administrere nøgler og identiteter og konfigurere eller deaktivere logning og overvågning. I mange organisationer styrer et lille antal cloudadministratorkonti reelt en stor del af infrastrukturen, hvilket gør kontiene til ekstremt værdifulde mål. En kompromitteret cloudadministrator kan udrulle uautoriserede ressourcer, eksfiltrere data eller svække kontroller på tværs af flere regioner, konti eller tenants på meget kort tid.

6. Administratorkonti til forretningskritiske applikationer

Nogle af de mest følsomme privilegier ligger inde i forretningskritiske forretningsapplikationer, ofte ejet af finans, jura, HR eller drift snarere end af IT.

Administratorer af platforme som CRM, ERP-systemer, HR- eller regnskabspakker og systemer til sagsstyring i jura kan typisk administrere roller og tilladelser, ændre workflows og godkendelseskæder og tilgå eller eksportere store mængder følsomme forretningsdata. De kan også konfigurere integrationer, der forbinder applikationen med andre interne eller tredjepartssystemer.

Kontiene blander teknisk rækkevidde med direkte konsekvenser for forretning og compliance. En kompromitteret CRM-administrator kan manipulere salgsdata og kunderegistre. En finansadministrator kan påvirke fakturaer, betalingsflows og rapportering. En administrator af et juridisk system kan tilgå fortrolige kontrakter og privilegeret kommunikation. Selv når de ikke er en del af IT, opfører de sig klart som privilegerede konti og bør styres derefter.

Saml det med Devolutions PAM

For små og mellemstore virksomheder (SMV’er) er problemet sjældent at erkende, at kontiene er følsomme. Den reelle udfordring er at styre dem uden den overdrevne kompleksitet, de lange udrulninger eller de uoverkommelige omkostninger ved ældre PAM-løsninger.

Devolutions PAM er en tilgængelig, IT-ledet løsning til privilegeret adgangsstyring, designet til organisationer, der har brug for styring, synlighed og kontrol uden lange og komplekse implementeringer. Den samler boks, godkendelser, just-in-time-adgang og sessionsoptagelse i en samlet pakke, der er overkommelig, let for både store og små IT-teams at drive, og som integrerer gnidningsfrit med Remote Desktop Manager og Devolutions Gateway.

Devolutions PAM hjælper organisationer med at anvende centrale beskyttelsesmønstre konsekvent:

• Central boks og adgangskontrol for menneskelige og ikke-menneskelige privilegerede legitimationsoplysninger, fra applikations- og tjenestekonti til cloud-, lokale, domæne-, nød- og SaaS-/applikationsadministratorer.
• Bedre hygiejne for legitimationsoplysninger ved at begrænse delte adgangskoder, automatisere rotation og give IT-teams værktøjer til at fjerne hardcodede hemmeligheder fra scripts og konfigurationsfiler.
• Mindste privilegium og just-in-time-rettighedsforhøjelse, så stærke rettigheder kun gives, når der er brug for dem, ofte med godkendelse af handlinger med høj risiko.
• Omfattende overvågning og revision via sessionsoptagelse og tydelig sporbarhed af, hvem der gjorde hvad, hvor og hvornår.
• Styret nødadgang med forseglede, reviderbare „break-glass“-forløb.

Ved at tage de seks kategorier af privilegerede konti ind i Devolutions PAM under disse IT-ledede kontroller får organisationer en samlet og praktisk måde at reducere risikoen på, forbedre synligheden og styrke den samlede sikkerhedsstilling.

Vil du begynde at reducere risikoen omkring dine „nøgler til kongeriget“ og se kontrollerne i praksis, så start med en praktisk afprøvning. Start en prøveperiode på Devolutions PAM.