Adam BertramRestare un passo avanti rispetto alle potenziali minacce alla sicurezza è fondamentale. Un workflow di provider PAM personalizzato, costruito su tre azioni chiave - Account discovery, Heartbeat e Password rotation - costituisce una solida difesa contro gli accessi non autorizzati. Oggi ci concentriamo sul terzo e forse più critico passaggio: la rotazione delle password.
Vuole provarlo? Richieda una prova di Devolutions PAM!
Il culmine di un workflow di provider PAM personalizzato
Prima di addentrarci nei dettagli della rotazione delle password, ricapitoliamo il workflow a quattro fasi di un provider PAM personalizzato:
- Account discovery: identifica e cataloga gli account privilegiati.
- Heartbeat: verifica se le password memorizzate corrispondono a quelle attuali.
- Password rotation: aggiorna le password quando necessario.
- Password propagation: sincronizza la nuova password su tutti i sistemi collegati.
La rotazione delle password è l’azione che, in ultima analisi, protegge i suoi account privilegiati modificandone regolarmente le credenziali.
Che cosa fa l’azione Password rotation?
Nella sua essenza, l’azione di rotazione delle password ha un obiettivo primario: cambiare la password di un account privilegiato. Tuttavia, la sua esecuzione comporta diversi passaggi cruciali:
- Genera una nuova password sicura.
- Invoca lo script dell’azione di rotazione delle password per aggiornare la password presso il provider di identità.
- Memorizza la nuova password in PAM.
Come tutte le azioni dei provider PAM personalizzati, lo script dell’azione Password rotation è scritto in PowerShell, offrendo il pieno controllo per personalizzarlo e aggiornarlo secondo necessità.
La rotazione delle password in azione
Osserviamo uno scenario tipico per vedere come funziona la rotazione delle password nella pratica. Una volta che un account privilegiato è stato definito come gestito da Devolutions PAM e si verifica una richiesta manuale di reimpostazione della password, una rotazione pianificata o un check-in dell’account:
- Viene generata una nuova password in base alla policy delle password della sua organizzazione.
- L’azione aggiorna la password presso il provider di identità (ad esempio, Active Directory).
- La nuova password viene memorizzata in modo sicuro in PAM.
Ecco una versione semplificata di come potrebbe apparire uno script di Password rotation per un segreto di Azure Key Vault:
$Vault = Get-AzKeyVault -VaultName $KeyVaultName -ErrorAction Stop
$Secret = Get-AzKeyVaultSecret -VaultName $KeyVaultName -Name $Name -ErrorAction Stop
Set-AzKeyVaultSecret -VaultName $Vault.VaultName -Name $Secret.Name -SecretValue $NewPassword -ErrorAction StopConfigurazione dei parametri e dello script dell’azione Password rotation
Se sta creando il proprio modello di provider PAM personalizzato, troverà i parametri dello script in Actions —> Password rotation.
I parametri dello script sono il punto in cui definirà eventuali parametri personalizzabili da passare allo script di Password rotation.
Una volta definiti i parametri dello script, è possibile aggiungere lo script dell’azione Password rotation.
La logica effettiva della Password rotation è implementata in uno script PowerShell, che può essere personalizzato in base alle proprie esigenze.
Nota: se sta utilizzando un modello precreato dal repository PAM-Providers, dovrà semplicemente fornire i valori per i parametri obbligatori dello script.
Configurazione degli intervalli di Password rotation
Una volta creato il modello di provider PAM personalizzato sopra descritto e creato un provider PAM personalizzato a partire da esso, dovrà associare tale provider a un vault PAM. Il vault consente di definire su quali utenti agiranno i suoi provider. Il vault consente inoltre di definire la pianificazione della rotazione delle password.
La pianificazione della rotazione delle password è il punto in cui è possibile definire con quale frequenza il provider PAM personalizzato modifica la password.
Rotazione delle password al check-in
Se sta utilizzando Devolutions Cloud con il modulo PAM, dispone di un controllo maggiore e può ruotare le password al check-in, secondo una pianificazione o manualmente.
Devolutions Cloud offre tutto il necessario se ha bisogno di un maggiore controllo su quando le password vengono ruotate per i suoi utenti.
L’impatto di una rotazione delle password efficace
Una rotazione regolare delle password migliora significativamente il livello di sicurezza:
- Limitando la finestra di opportunità per i potenziali aggressori.
- Mitigando il rischio di credenziali compromesse.
- Garantendo la conformità alle policy e alle normative di sicurezza.
Sfruttando le funzionalità di Password rotation di un provider PAM personalizzato, non si limita a cambiare le password, ma rafforza attivamente la difesa della sua organizzazione contro gli accessi non autorizzati.
Password rotation: il terzo passaggio nel ciclo di sicurezza
L’approccio a quattro punte di un provider PAM personalizzato alla gestione degli accessi privilegiati - account discovery, heartbeat, password rotation e password propagation - costituisce una strategia di sicurezza completa. Mentre l’account discovery scopre account privilegiati nascosti e l’heartbeat garantisce l’integrità delle password, la password rotation rappresenta l’ultimo baluardo, aggiornando automaticamente le credenziali per mantenere una sicurezza solida. Questi componenti creano un sistema che si adatta continuamente per proteggere i punti di accesso più sensibili della sua organizzazione.
Mentre implementa o perfeziona la configurazione del suo provider PAM personalizzato, valuti come ottimizzare l’azione di Password rotation per soddisfare al meglio le esigenze di sicurezza della sua organizzazione, oppure crei il proprio provider PAM personalizzato con script di azione per iniziare a ruotare le password su qualsiasi provider di identità!