Whitepapers

De fleste løsninger til privilegeret adgangsstyring (PAM) på markedet i dag er designet til store virksomheder. Selv om de tilbyder mange funktioner og stor fleksibilitet, egner de sig ikke til SMV'er på grund af deres kompleksitet og pris. Men PAM er afgørende for at sikre organisationer af alle typer og størrelser, og funktioner i udbredte PAM-løsninger på enterprise-niveau er også relevante for SMV'er. Når du leder efter den rigtige PAM-løsning til din virksomhed, så sørg for, at den indeholder de nøglefunktioner, der er nødvendige for at sikre privilegerede konti.

I dette whitepaper ser Devolutions på 6 funktioner, som SMV'er bør kigge efter i et PAM-produkt.

1. Nem udrulning og administration

Active Directory (AD) er i dag den mest udbredte løsning til identitetsstyring, og alle PAM-produkter integrerer med den. Microsoft har sin egen PAM-løsning baseret på Windows Server 2016 og Microsoft Identity Manager (MIM). Udrulning kræver, at du tilføjer en AD-skov til din eksisterende infrastruktur og mindst én server, der kører MIM. Det medfører betydelig kompleksitet og mange bevægelige dele, så løsningen ikke kun er vanskelig at udrulle, men også øger administrations- og driftsomkostningerne.

Når du leder efter en PAM-løsning, så sørg for, at den ikke kræver ændringer i din eksisterende Active Directory-infrastruktur, og at den integrerer med Azure AD, hvis du bruger Office 365. Der bør være mulighed for at fordele komponenter på flere servere for at forbedre ydeevnen ved større udrulninger, og en enkel, guidebaseret udrulning er at foretrække sammen med en grafisk administrationskonsol, der er intuitiv at bruge. Når noget går galt, er tid penge, så sørg for, at sikkerhedskopiering og gendannelse af den valgte PAM-løsning er ligetil.

2. Sikker adgangskodeboks

Adgangskoder er en ufuldkommen løsning, men uanset om du kan lide dem eller ej, er de stadig standardmidlet til at sikre adgang til IT-ressourcer. Gennem årene har folk fundet måder at gøre adgangskoder nemmere at administrere på, herunder at skrive dem på Post-it-sedler og sætte dem på skærme og at bruge den samme adgangskode på flere websteder. Ingen af de metoder anbefales.

Hvis adgangskoder ligger i flere lagre, som Excel-regneark, tekstfiler og fjernskrivebordssessioner, bliver det sværere at integrere dem i en PAM-løsning, og kontiene bliver mere udsatte, fordi filer ikke er beregnet til at administrere adgangskoder.

Men uanset om det er en slutbruger, der skal opbevare legitimationsoplysninger sikkert, eller en organisation, der vil sikre adgangskoder til at give adgang til IT-ressourcer, giver en sikker adgangskodeboks alle tryghed for, at adgangskoderne er beskyttet, og at de kan hentes, når det er nødvendigt. Kig efter en PAM-løsning med en sikker, centraliseret adgangskodeboks, der kan deles og tilgås overalt.

3. Logning og rapportering

Indsigt i din IT-infrastruktur giver dig mulighed for at reagere på problemer og forebygge dem. PAM er ingen undtagelse, og det er vigtigt at forstå, hvordan privilegerede konti bruges i din organisation. Enhver PAM-løsning, du overvejer, bør kunne registrere hvad, hvem, hvornår og hvor legitimationsoplysninger bruges.

Men logfiler er kun nyttige, hvis du kan trække de oplysninger ud, du har brug for, når du har brug for dem. En PAM-løsning skal ikke kun registrere al aktivitet knyttet til adgangskoder, herunder logonforsøg og historik, men også indeholde færdige rapporter, så du hurtigt kan finde oplysningerne frem. Og i ethvert system, der registrerer store datamængder, er det vigtigt, at du kan filtrere støjen fra med avancerede søgefunktioner. Muligheden for at tilpasse rapporter og eksportere data i forskellige formater er også noget, du bør kigge efter.

4. Indbygget tofaktorgodkendelse

Uanset om du bruger en adgangskodeadministrator, en sikker adgangskodeboks og/eller følger bedste praksis for adgangskodesikkerhed, kan kompromitterede legitimationsoplysninger bruges af en angriber til at få uautoriseret adgang. Tofaktorgodkendelse tilføjer et ekstra beskyttelseslag, der kræver, at brugerne har noget i deres besiddelse ud over at kende deres adgangskode. En af de mest udbredte måder at implementere tofaktorgodkendelse på er en godkendelsesapp som Google Authenticator, der giver en kode, som brugerne skal angive sammen med deres adgangskode, før der gives adgang til en ressource.

Fordi adgangskoder kan kompromitteres på så mange måder, og det er umuligt at give 100 % beskyttelse, er tofaktorgodkendelse et nødvendigt værktøj til at sikre privilegerede konti. Du bør kigge efter tofaktorunderstøttelse med flere forskellige godkendelsesmuligheder, som Google Authenticator, sms, e-mail, RADIUS og Yubikey.

5. Formidlet konto (account brokering)

En god PAM-løsning opbevarer ikke kun adgangskoder sikkert og styrer adgangen til dem. Den formidler også adgangskoder mellem adgangskodeserveren og klientsoftwaren, så brugerne aldrig behøver at kende den faktiske adgangskode til en privilegeret konto. Det betyder, at adgangskoderotation ikke er strengt nødvendig, det vil sige automatisk generering af en ny adgangskode, hver gang en legitimationsoplysning checkes ud, fordi brugeren ikke kan genbruge adgangskoden. Alligevel er adgangskoderotation som regel inkluderet, også når account brokering findes.

Account brokering forhindrer også brugerne i at tilgå ressourcer uden for den arbejdsgang, som PAM-løsningen stiller til rådighed, og kan dermed mindske risikoen for misbrug af legitimationsoplysninger. Brugerne er ofte det svageste led i sikkerhedskæden, så kig efter et PAM-produkt, der tilbyder account brokering.

6. Rollebaseret adgang til legitimationsoplysninger

Rollebaseret adgangsstyring (RBAC) forenkler administrationen ved at tilbyde en række roller, der kan tildeles brugerne, så de kun får adgang til de privilegerede legitimationsoplysninger, de er godkendt til at bruge. RBAC gør det nemt for organisationer at adskille opgaver og indføre andre kontroller, så legitimationsoplysninger ikke ved et uheld gives til uautoriserede brugere. At definere roller og derefter konfigurere finkornede adgangstilladelser til sessioner er den nemmeste og sikreste måde at beskytte privilegerede legitimationsoplysninger på og undgå, at de ved et uheld eksponeres for de forkerte personer.

Da de fleste organisationer allerede bruger Active Directory, bør du kigge efter en PAM-løsning med RBAC, der integrerer med AD, så du kan bruge eksisterende brugere og grupper. Administration af adgangstilladelser, brugere og grupper kan hurtigt blive kompliceret, også i små virksomheder, så RBAC kan strømline processen og gøre den løbende administration af en PAM-løsning nemmere, samtidig med at du kan være tryg ved, at adgangen til privilegerede legitimationsoplysninger altid er ordentligt styret.

Devolutions Privileged Access Management

Løsningen Devolutions Privileged Access Management indeholder alle funktionerne ovenfor og mere til. Den er specifikt designet til SMV'ers behov og giver funktioner på enterprise-niveau, så de får et beskyttelsesniveau, der ellers som regel kun er forbeholdt store organisationer, samtidig med at den er enkel at udrulle og administrere. SMV'er kan mindske risikoen fra interne trusler og databrud, der ofte udspringer af misbrug eller kompromittering af legitimationsoplysninger, og bruge Devolutions Privileged Access Management til at opfylde krav om rapportering og overholdelse.

Devolutions' øvrige produkter integrerer med PAM og giver en samlet løsning til SMV'er, herunder Remote Desktop Manager (RDM), som hjælper brugere og IT med at administrere adgangen til fjernsessioner, der kræver privilegerede legitimationsoplysninger.