Privilegiranost je rak rana kibernetske varnosti

V svetu, kjer so vdori nekaj povsem običajnega, je v podjetjih vseprisoten strah o kompromiranosti občutljivih podatkov. Bolj kot kadar koli doslej so najboljše prakse kibernetski varnosti nujne za dolgoročni obstoj podjetja.

Konec je časov, ko je bila varnost na robovih (angl. perimeter security) najboljša praksa kibernetske varnosti in varstva podatkov. Grožnje prežijo na vsakem koraku. Z razvojem mobilnega in oblačnega računalništva so stare metodologije zastarele in ranljive. Še vedno so potrebne za celovito zaščito kibernetske infrastrukture in podjetja jih ne bi smela v celoti opustiti. Ampak njihova izključna uporaba lahko spravi podjetje na naslovnico vseh spletnih in fizičnih medijev, in to ne v dobrem smislu.

Poročilo SI-CERT je za leto 2021 pokazalo 14-% povečanje število incidentov. Prednjačili so phishing napadi s socialnim inženiringom, v zadnjih mesecih pa je opaznih več napadov na podjetja preko oblačnih storitev Microsoft 365. Napadi so v velikih primerih uspešni kljub prisotnosti klasičnih obrambnih sredstev, kot na primer požarni zidovi, protivirusni programi, omrežne zaščite, in kljub dejstvu, da skoraj vsako podjetje skrbi za redne posodobitve sistemov, zaščito končnih točk in ozaveščanje svojih zaposlenih.

Očitno je, da obstoječi varnostni sistemi niso zadostni. V podjetju Our Space Appliances zato že nekaj časa svetujejo uporabo principa najnižjih pravic (PNP) in varnostnega modela z ničelnim zaupanjem (ZTNA).

Foto: macrovector on Freepik

Uporabniki imajo preveč pravic

Zakaj bi vsak uporabnik imel ključ do občutljivih sistemov, še posebej če jih ne potrebuje za opravljanje svojega dela? Sliši se logično, kajne? V praksi pa je situacija ravno obratna, saj imajo uporabniki preveč pravic in lahko kadar koli dostopajo do praktično vsakega sistema v omrežju. To pa pridno izkoriščajo kibernetski napadalci, ki ciljno targetirajo ranljive račune z umetno inteligenco, s phishing napadi in krajo varnostnih žetonov.

Ko so v sistemu, je lahko že prepozno. Nekateri napadalci so potrpežljivi in najprej (tudi več mesecev) raziskujejo okolje. Na ključnih točkah namestijo zlonamerno programsko opremo, s katero lahko eksfiltrirajo, uničijo ali zahtevajo odkupnino za šifrirane podatke.

Če bi predhodno vzpostavili princip najnižjih pravic, bi napadalcu preprečili ali vsaj močno otežili dostop do bolj občutljivih sistemov.

Zakaj je princip najnižjih pravic tako pomemben in kako deluje?

Podjetje CloudKnox je opravilo raziskavo o pravicah v javnem oblaku, kjer je prisotnih več kot 40.000 različnih pravic. Politiko, ki se uporablja za lokalne vloge, je skorajda nemogoče direktno preslikati v oblačna okolja. Raziskava je pokazala, da se neaktivnih računov, namenjenih integracijam, ne ukinja. V okolju Microsoft Azure je zmeda še večja. Več kot 90 % profilov uporablja manj kot 2 % vseh dodeljenih pravic.

Princip najnižjih pravic zmanjša površino napada z zmanjšanjem števila tarč za zlonamerne akterje. Z manj odprtimi vrati se zmanjšata ranljivost in možnost incidenta. V primeru da napadalec vseeno vstopi v mrežo podjetja, ga bo PNP pričakal z zaklenjenimi vrati in podatki bodo ostali na varnem. Aplikacije z neomejenimi so prav tako pogosta tarča napadalcev, ki vbrizgajo zlonamerna navodila v stavke SQL. Hekerji lahko nato dvignejo raven privilegijev in pridobijo nadzor nad kritičnimi sistemi. Z uporabo principa najnižjih pravic boste otežili nepooblaščene poskuse povišanja dovoljenj.

PNP spodbuja upravitelje sistemov, da vodijo celovite evidence podatkov za natančne vpoglede v pravice uporabnikov v danem trenutku. Z revizijo, razvrščanjem in organizacijo podatkov lahko ustrezno dodeljujete pravice. Zbrane podatke lahko uporabite tudi za sledenje glavnemu vzroku kibernetskega napada.

Foto: rawpixel.com on Freepik

Ne zaupajte nikomur

Varnostni model ničelnega zaupanja in najnižjih privilegijev gresta z roko v roki pri ustvarjanju varnega sistema. Držita se načela treh P-jev: prava oseba, pravi čas, pravo mesto. Sistema poskrbita, da imajo le ustrezne osebe dostop do občutljivih sistemov, obenem pa omejita, koliko časa in s katere končne točke lahko dostopajo do zaupnih podatkov.

Za pomoč pri vzpostavitvi principa najnižjih pravic in ničelnega zaupanja se obrnite na podjetje Our Space Appliances. Obiščite spletno stran www.ourspace.si ali pa jih kontaktirajte preko info@ourspace.si. (P.R.)