Whitepapers

I dette whitepaper undersøger Devolutions de særlige problemer, SMV'er står over for, når privilegeret adgang skal sikres.

IT-professionelle opretter forbindelse til fjernsystemer for at udføre administrationsopgaver og har ofte brug for administrative legitimationsoplysninger. Nogle applikationer tillader delegering, så opgaver kan udføres uden en privilegeret konto, men mange handlinger kræver administrative rettigheder. Delegering øger også administrationsomkostningerne, fordi virksomheden skal afklare, om applikationerne understøtter delegering, identificere medarbejderroller, de opgaver, der skal udføres, og de rettigheder, der kræves for at udføre opgaverne. Og det er en løbende proces, fordi applikationer, systemer og roller ændrer sig.

Derfor er det almindeligt, at IT-medarbejdere får administrative legitimationsoplysninger til kritiske forretningssystemer for at få hurtigere adgang. I værste fald kan det være adgang til en delt administratorkonto. Det sker ofte i Windows Server Active Directory, hvor adgangskoden til domæneadministratoren er kendt af mange. Men hvis kontoen misbruges, hvis den havner i de forkerte hænder, eller hvis den kompromitteres på anden måde, kan det føre til et brud, som det kan være svært at komme sig over. For Active Directory (AD) er det særligt risikabelt, fordi AD er den identitetsstyringssoftware, der styrer adgangen til andre forretningssystemer.

At tildele medarbejdere navngivne brugerkonti med administrative privilegier er ikke meget bedre, fordi adgangskoder let kompromitteres. Usikre forbindelser til fjernsystemer eller indtastning af adgangskoder på enheder, der er inficeret med malware, er to udbredte måder, hvorpå hackere finder adgangskoder, ved hjælp af teknikker, der er automatiserede, så de med minimal indsats kan kaste deres virtuelle net vidt omkring. Derfor kan du blive kompromitteret, selv om du ikke mener, at din virksomhed er et mål.

Administrative legitimationsoplysninger øger risikoen for kompromittering

Udbredelsen af administratorkonti i enhver organisation betyder, at adgangskoder ofte gemmes i databaser, regneark, scripts og andre filtyper. De kan også let kompromitteres. Det er vigtigt at bruge en adgangskodeadministrator eller en anden sikker boks, så adgangskoder opbevares sikkert, kan hentes, når der er brug for dem, og ikke deles mellem forskellige administratorkonti. Uden en adgangskodeadministrator har brugerne en tendens til at gentage den samme adgangskode på tværs af flere tjenester, hvilket øger den skade, ondsindede aktører kan forvolde, når der sker brud. Brugerne opretter også svage adgangskoder, fordi det uden en adgangskodeadministrator er svært at huske lange og komplekse adgangskoder.

Windows Server giver granulære tilladelser, så organisationer kan tildele brugere rettigheder til at udføre funktioner uden at tilføje dem til Administrators eller andre privilegerede grupper. Men det kan føre til, at der tildeles „administratorlignende“ rettigheder, som kan resultere i et brud, hvis de ikke styres omhyggeligt. Organisationer skal også identificere, hvilke rettigheder der kræves for at udføre opgaverne. Windows PowerShell og Linux kan konfigureres, så brugere begrænses til bestemte kommandoer med ophøjede privilegier. Men det kræver kommandolinjen eller moderne administrationsværktøjer, og ingen af delene er udbredte i SMV'er.

Sikker administration af fjernadgang

Der er flere problemer her, som skal løses. Når IT-medarbejdere eller tredjepartsleverandører får adgang til fjernsystemer, har de ikke kun brug for forbindelsesoplysningerne — som IP-adresse, DNS-navn, protokol og andre egenskaber — men også privilegerede legitimationsoplysninger for at godkende sig på fjernenheden.

Adgangskoder og multifaktorgodkendelse

Med en adgangskodeadministrator alene kan organisationer sikre, at der er stærke adgangskoder på følsomme administratorkonti. Men brugerne skal stadig indtaste adgangskoder for at oprette forbindelse. Det kan føre til, at adgangskoder bliver eksponeret, hvis forbindelserne er usikre, eller hvis kildeenhederne er kompromitterede. Og adgangskoder bør roteres, så brugerne ikke kan få adgang til fjernsystemer, efter at de nødvendige ændringer er udført.

Tofaktorgodkendelse (2FA) bør være aktiveret på administratorkonti for at give ekstra sikkerhed. I stedet for blot at kende en adgangskode skal brugerne give yderligere verificering via noget, de har, fx en godkendelsesapp på deres smartphone. Når 2FA er aktiveret, er en kompromitteret adgangskode ikke nok til at logge ind.

Fjernskrivebord og ældre administrationsværktøjer

Administrationsværktøjer giver sjældent organisationer en måde at overvåge, hvilke ændringer der foretages, hvilket kan føre til uautoriserede konfigurationsændringer, der ikke kan spores. Systemer bør sikres og administreres, så kun godkendte ændringer er tilladt, og så der findes en log over alle udførte handlinger. De fleste systemnedbrud skyldes autoriserede ændringer. Servere, der er underlagt strenge politikker for ændringsstyring, er lettere at vedligeholde og supportere, fordi der findes en kendt konfiguration, som let kan vurderes og rulles tilbage til en sidst kendte tilstand, hvis det er nødvendigt.

Microsoft Remote Desktop (RDP) er det mest udbredte fjernadministrationsværktøj i SMV'er, fordi det er nemt at konfigurere. Det giver adgang til et skrivebordsmiljø og ældre GUI-administrationsværktøjer, som systemadministratorer kender. RDP er praktisk, men det er udsat for kompromittering, hvis det ikke konfigureres korrekt, især når det er eksponeret mod internettet. Brute force- og password spray-angreb kan give hackere et indgangspunkt i dit netværk. Man-in-the-middle-angreb, hvor brugerne opretter forbindelse til en falsk enhed i stedet for den rigtige server, kan føre til kompromittering af legitimationsoplysninger og data, hvis RDP ikke er sat korrekt op.

Privilegeret adgangsstyring

Produkter til privilegeret adgangsstyring (PAM) løser de problemer, jeg har skitseret ovenfor, ved at sikre administrative legitimationsoplysninger og samtidig lade brugerne være produktive. PAM lader organisationer opbevare og administrere følsomme legitimationsoplysninger i en central database. I stedet for at støtte sig til manuelle processer eller, endnu værre, delte administratorkonti giver PAM en sikker boks og et forløb til at administrere adgangen til privilegerede legitimationsoplysninger.

Brugerne anmoder om adgang til adgangskoder, og anmodningen kan godkendes eller afvises. Ligesom dokumentstyringssystemer som SharePoint lader dig tjekke dokumenter ind og ud, lader PAM dig tjekke adgangskoder ind og ud, så de ikke bruges af mere end én bruger ad gangen. Det er vigtigt at forstå, hvem der bruger en konto, hvor, hvad der gøres med den, og hvornår. PAM logger alle disse oplysninger, så man ved en hændelse nemt kan få den forensiske dokumentation for en konfigurationsændring ved at køre en rapport. Ideelt set udføres ændringer med moderne kommandolinjeskaller eller GUI-værktøjer som Windows Admin Center, så ændringerne kan logges. I praksis udfører administratorer dog som regel opgaver med værktøjer, der ikke logger ændringer. En god PAM-løsning kan fastslå „hvad“ med sessionsoptagelse, så det præcist fremgår, hvilke handlinger der blev udført.

Devolutions Password Server

PAM-løsninger er generelt designet med store virksomheder for øje, og de fleste produkter er for komplekse til, at SMV'er kan implementere og administrere dem. Det vil sige, hvis prisen ikke allerede har udelukket en enterprise-PAM-løsning. Microsofts PAM-løsning kræver fx to ekstra Active Directory-skove og Microsoft Identity Manager (MIM). Der er mange bevægelige dele at administrere og mange produkter at licensere.

Devolutions Password Server (DPS) er designet med SMV'er for øje. Den har en sikker lokal adgangskodeboks, der kan deles, og integrerede funktioner til administration af privilegerede sessioner, så administrative konti og adgang sikres. Kontoformidling i DPS lader brugere og IT-medarbejdere starte fjernforbindelser til servere, websteder og applikationer uden nogensinde at skulle kende adgangskoden til den konto, der bruges. Det fjerner behovet for adgangskoderotation, fordi adgangskoder aldrig eksponeres for brugerne. DPS indeholder alligevel adgangskoderotation til dem, der foretrækker at udstede en ny adgangskode, hver gang der anmodes om adgang.

DPS administreres via en webgrænseflade, og adgangen til den kan styres med rollebaseret adgang. Brugerne opretter forbindelse til fjernservere og applikationer med Devolutions Launcher. Launcher er en let desktopklient til Windows, macOS, Linux, Android og iOS og giver hurtig og sikker adgang til fjerntjenester, mens kontoformidling i DPS indsprøjter legitimationsoplysninger uden brugerinteraktion. Brute force- og password spray-angreb kan give hackere et indgangspunkt i dit netværk. Man-in-the-middle-angreb, hvor brugerne opretter forbindelse til en falsk enhed i stedet for den rigtige server, kan føre til kompromittering af legitimationsoplysninger og data, hvis RDP ikke er sat korrekt op.

Installation af Devolutions Password Server

DPS installeres og konfigureres med Devolutions Password Server Console. Den kører på alle aktuelt understøttede versioner af Windows og Windows Server. DPS kræver Internet Information Services (IIS) 7.0 eller nyere og Microsoft SQL Server 2008 eller nyere. SMV'er, der ikke vil licensere SQL Server, kan bruge den gratis Express-udgave.

Og selv om DPS er designet til SMV'er, understøtter den flere forskellige udrulningstopologier for maksimal fleksibilitet. DPS og SQL Server kan installeres på den samme enhed ved små udrulninger. Ved høj tilgængelighed kan DPS oprette forbindelse til en spejlet failover-klynge med SQL Server. DPS kan også konfigureres til belastningsfordeling og sættes op i skyen.

Adgangskoder, tofaktorgodkendelse, kryptering og serviceintegration. Forbindelser og legitimationsoplysninger opbevares i en eller flere centrale bokse, beskyttet med AES 256-bit-kryptering. Legitimationsoplysninger kan tjekkes ind og ud af autoriserede DPS-operatører, så brugerne kun får adgang til følsomme legitimationsoplysninger, når der er givet godkendelse. Hurtig adgang til websteder sker via browserudvidelsen Devolutions Web Login, og den kan bruges til at generere stærke adgangskoder. Organisationer med Devolutions Remote Desktop Manager kan integrere DPS med tredjeparts-adgangskodeadministratorer som 1Password og LastPass.

DPS understøtter import og synkronisering af brugere og grupper fra Active Directory. Og hvis AD er synkroniseret med Azure AD, kan Office 365-brugere også importeres til DPS. Der er indbygget tofaktorgodkendelse som et ekstra beskyttelseslag, og den omfattende og detaljerede rapportering lader organisationer spore hvem, hvad, hvornår og hvor. Derudover kan der opsættes alarmer, som sender mailbeskeder, når en privilegeret konto bruges eller ændres.

Remote Desktop Manager

Devolutions Remote Desktop Manager (RDM) er et omfattende værktøjssæt, som IT-medarbejdere kan bruge til at administrere og dele forbindelser til fjernsystemer. RDM opbevarer adgangskoder sikkert og udfører kontoformidling, så IT-medarbejdere kan oprette forbindelse til fjernenheder uden at eksponere privilegerede legitimationsoplysninger. Det integreres med DPS og Wayk og giver en komplet fjernadgangsløsning til IT-professionelle.

RDM hjælper IT-professionelle med at oprette sikre og effektive forbindelser til fjernsystemer og kan gemme forbindelser og legitimationsoplysninger til Microsoft Remote Desktop (RDP), VNC, Hyper-V, Telnet, Citrix, VMWare, web, VPN'er, SSH, FTP og mange andre udbredte protokoller, der enten er integreret direkte i produktet eller findes via add-ons. Kontolegitimationsoplysninger kan gemmes direkte i en brugers session, i en privat adgangskodeboks eller i en delt database. Funktionerne i RDM omfatter mobil adgang via RDM-appen til Android eller iOS, sikker offlineadgang og integrerede kommandolinjekonsoller.

Navngivne brugerkonti anses generelt for at være bedste praksis, fordi de hjælper organisationer med at registrere, hvem der tilgår systemer, men RDM kan forenkle administrationen med deling af administrative adgangskoder. I stedet for fx at oprette navngivne konti til hver bruger lader RDM dig bruge én administratorkonto til alle brugere. RDM registrerer, hvem der tilgår et system med en delt administratorkonto, og rapporterer andre vigtige oplysninger, som hvornår og hvor forbindelserne oprettes, hvilket kan være nødvendigt ved en audit.

RDM gemmer forbindelser i private eller delte arbejdsområder som Devolutions Password Server, SQL Server, DropBox og mange andre. Forbindelser kan deles via internettet, et intranet eller en privat cloud. RDM Enterprise-udgaven lader brugere dele forbindelser sikkert fra et centralt lager, og organisationer kan styre adgangen til privilegerede konti med rollebaseret adgangskontrol (RBAC).

Næste skridt

Devolutions Password Server er en PAM-løsning i enterprise-klassen, der er designet til små og mellemstore virksomheders behov. Sikkerhedsbrud kan være særligt dyre for SMV'er, fordi de ikke altid kan absorbere konsekvenserne af et alvorligt angreb. Administration af adgangen til privilegerede konti er afgørende for systemernes integritet og sikkerhed. Til en komplet løsning integreres DPS med andre Devolutions-værktøjer, der hjælper IT med at administrere fjernforbindelser.