Gestor de sesiones privilegiadas (PSM)

Cuando un administrador se conecta a un servidor, una base de datos o un dispositivo sensible, esa conexión es una sesión privilegiada: un momento de alto riesgo. Un gestor de sesiones privilegiadas rige esas sesiones: establece la conexión en nombre del usuario, mantiene oculta la credencial subyacente y supervisa o graba lo que ocurre para que nada quede sin registrar. Es el componente de PAM responsable específicamente de la sesión activa.

Un PSM aporta control y trazabilidad a cada conexión privilegiada:

• Proxy de sesiones: la conexión se intermedia a través del PSM en lugar de establecerse directamente, por lo que el dispositivo del usuario nunca entra en contacto con la credencial en bruto.
• Inyección de credenciales: la credencial se introduce en la sesión automáticamente y permanece oculta.
• Grabación de sesiones: las sesiones se capturan como vídeo o como registros de pulsaciones de teclas o de comandos para su revisión posterior.
• Supervisión en tiempo real: las sesiones activas pueden observarse en directo y las sospechosas pueden marcarse.
• Finalización de sesiones: un administrador puede cortar de inmediato una sesión de riesgo.

Una sesión privilegiada sigue una ruta controlada desde la solicitud hasta el registro:

1. Un usuario solicita acceso a un sistema de destino a través de la plataforma PAM.
2. El PSM abre la sesión en nombre del usuario e inyecta la credencial desde la bóveda.
3. El usuario trabaja dentro de la sesión mientras la credencial permanece oculta.
4. El PSM supervisa y graba la sesión en tiempo real.
5. La sesión finaliza y su grabación y sus registros se conservan para la auditoría.

Un gestor de sesiones privilegiadas es uno de los componentes de un programa de PAM más amplio. PAM en su conjunto abarca el almacenamiento en bóveda, la rotación de credenciales, el acceso justo a tiempo y la auditoría; el PSM es la pieza responsable de lo que ocurre durante una sesión privilegiada activa. Complementa a la bóveda: la bóveda protege la credencial en reposo y el PSM protege y graba su uso en el momento.

Las sesiones privilegiadas son el escenario del trabajo más sensible, por lo que son también donde la supervisión resulta más importante. Un PSM garantiza que los administradores puedan realizar su trabajo sin llegar a poseer la credencial subyacente, ofrece a los equipos de seguridad una visión en directo y grabada de la actividad privilegiada y proporciona las pruebas de sesión que esperan los auditores. Si se hace un uso indebido de una cuenta, la grabación muestra exactamente qué ocurrió y cuándo.