Adam ListekLe organizzazioni moderne fanno affidamento su strumenti di messaggistica sia per le comunicazioni interne che esterne. Slack non fa eccezione ed è diventato ancora più importante con la diffusione del lavoro da remoto. Per configurare una nuova organizzazione su Slack, è necessario creare un account Primary Owner, dotato di accesso e privilegi illimitati, in modo simile all’account “root” su Linux.
Gli strumenti di messaggistica, come Slack, contengono informazioni aziendali critiche che vanno ben oltre le chiacchiere informali. Nessuna organizzazione vorrebbe che un attore malevolo ottenesse l’accesso a informazioni così importanti. Sorge quindi una domanda: come può un’organizzazione proteggere l’account Primary Owner di Slack, che ha accesso a informazioni così delicate?
Proteggere un Primary Owner autenticato tramite Slack
Come molti servizi cloud, Slack dispone di un proprio sistema di autenticazione integrato. Per impostazione predefinita, un Primary Owner viene configurato tramite l’autenticazione integrata di Slack. In passato, un’organizzazione poteva affidare l’account e la password del Primary Owner a un amministratore di sistema.
Questo approccio crea un singolo punto di vulnerabilità e limita le possibilità di audit e di responsabilizzazione. Devolutions Server Privileged Access Management (PAM) è la soluzione ideale per proteggere e monitorare l’accesso agli account critici.
Tradizionalmente, si potrebbe pensare che il PAM sia utile soprattutto per la rotazione automatica delle password dopo l’utilizzo. Ma anche con un account che non può essere sottoposto a rotazione automatica, come l’autenticazione integrata di Slack, il PAM può migliorare la sicurezza imponendo rigide policy di checkout.
Configurare Devolutions Server PAM per account altamente privilegiati
Un aspetto fondamentale del PAM riguarda le policy di checkout, e configurare una policy adeguata è semplice per un account con privilegi elevati. È possibile garantire un utilizzo appropriato e facilitare l’audit richiedendo l’approvazione e un motivo specifico per il checkout.
- Modalità di approvazione: Obbligatoria
- Gli utenti possono approvare le proprie richieste di checkout: No
- Includere gli amministratori nell’elenco degli approvatori: L’impostazione consigliata è No.
- Includere i manager PAM nell’elenco degli approvatori: L’impostazione consigliata è Sì, ma dipende da chi sono i manager PAM.
- Modalità motivazione: Obbligatoria
- Tempo di checkout (minuti): 240 è il valore predefinito, ma può essere personalizzato in base alle proprie esigenze.
- Modalità numero ticket: Facoltativa, ma consigliata se si dispone di un sistema di ticketing.
Dopo aver definito una policy di checkout personalizzata (utile per qualsiasi account privilegiato), aggiungere l’account Primary Owner e assegnare la policy di checkout appena creata. Assegnare, se necessario, permessi personalizzati per limitare l’accesso solo a chi ne ha effettivamente bisogno. Per garantire un’adeguata protezione di questo account, utilizzare l’autenticazione a due fattori con password monouso archiviate in Devolutions Server PAM.
Configurare un account Primary Owner di Slack con single sign-on
Centralizzare l’autenticazione in un sistema unico rende generalmente la gestione più semplice. Slack offre l’integrazione con il single sign-on (SSO) tramite Microsoft Azure Active Directory (AD), consentendo la gestione degli account utente a livello aziendale.
Inoltre, un account Primary Owner di Slack può essere associato a un account utente di Azure AD. Questa associazione sblocca funzionalità ancora più potenti di Devolutions Server PAM! Grazie a questa integrazione, effettuare il checkout dell’account Slack integrato con Azure AD può comportare la rotazione automatica della password al momento del check-in. Di conseguenza, anche se l’account venisse compromesso, non rimarrebbe accessibile a lungo.
Aggiungere Devolutions Server PAM e SSO agli account Slack
In Devolutions Server PAM, l’integrazione con un sistema di autenticazione è definita Provider. Prima di configurare l’account Primary Owner, è necessario creare l’interfaccia del Provider Microsoft Azure AD all’interno del PAM. Per farlo, occorre disporre di un Tenant ID, un Client ID e una chiave segreta associati alla propria organizzazione Microsoft Azure AD.
Dopo aver configurato il provider, è possibile utilizzare la stessa policy di checkout e creare un account collegato al provider Microsoft Azure AD. La differenza principale è che è possibile selezionare l’opzione per cambiare la password al momento del check-in, sfruttando appieno tutte le funzionalità offerte da Devolutions Server PAM.
Se Azure AD non è disponibile, potreste chiedervi se sia comunque possibile accedere al proprio account Slack. In questo caso, anziché selezionare l’integrazione SSO come metodo di accesso, sarà necessario scegliere l’opzione “Accedi con password” in Slack e utilizzare l’account salvato all’interno di Devolutions Server PAM.
Monitoraggio dell’utilizzo dell’account
Tutti i checkout e le rotazioni delle password relativi al Primary Owner di Slack vengono registrati e controllati da Devolutions Server PAM. È possibile accedere alla sezione Report per ottenere informazioni dettagliate di audit dai seguenti report:
- Privileged Access - Password Rotation
- Privileged Access - Recent Activities
Proteggere gli account altamente privilegiati con Devolutions Server PAM
Aumentate la sicurezza della vostra organizzazione e la vostra tranquillità con Devolutions Server PAM. Archiviate al suo interno i vostri account altamente privilegiati per garantire che solo chi ne ha effettivamente bisogno possa accedere ad account critici, come il Primary Owner di Slack. Questa protezione è supportata da un registro dettagliato per monitorare chi accede a tali account, così da mantenere la vostra organizzazione al sicuro!