Več privilegiranih računov, manj tveganja?

Ko organizacije razmišljajo o privilegiranih dostopih, je prva ideja pogosto zmanjšanje števila skrbniških računov. Na prvi pogled se to zdi smiselno – manj privilegiranih računov pomeni manjšo napadalno površino. V praksi pa je pogosto ravno obratno.

Težava večine organizacij ni v številu privilegiranih računov, temveč v tem, da še vedno uporabljajo skupne administratorske račune tam, kjer bi moral imeti vsak skrbnik svojo identiteto. Skupni računi, kot so Administrator, root ali sa, so sicer priročni, vendar močno otežijo sledljivost. Ko iste poverilnice uporablja več sistemskih administratorjev, zunanjih izvajalcev ali vzdrževalcev, postane odgovor na preprosto vprašanje – kdo je izvedel določeno spremembo? – vse prej kot enostaven.

Veliko boljša praksa je uvedba osebnih privilegiranih identitet oziroma privilegiranih računov, namenjenih posameznim vlogam ali storitvam. Vsak administrator uporablja svoj privilegirani račun, medtem ko računi za aplikacije, storitve ali nujne primere ostanejo ločeni in upravljani glede na njihov namen. Takšen pristop prinese takojšnjo preglednost. Varnostnim ekipam ni več treba sestavljati dogodkov iz različnih dnevniških zapisov in ugotavljati, kdo je v določenem trenutku uporabljal skupni račun. Identiteta uporabnika, ki je izvedel dejanje, je znana že od začetka, zato so revizije, preiskave incidentov in dokazovanje skladnosti bistveno enostavnejši.

Ob tem se številni skrbniki upravičeno vprašajo: ali več privilegiranih računov ne pomeni tudi več dela? Prav tu svojo vrednost pokaže rešitev za upravljanje privilegiranih dostopov (PAM). Rešitev avtomatizira menjavo gesel, postopke odobravanja dostopov, dodeljevanje pravic ter redne preglede privilegiranih računov. Organizacije lahko tako varno upravljajo na stotine ali celo tisoče privilegiranih identitet, ne da bi se s tem povečala administrativna obremenitev. Namesto ročnega upravljanja in zanašanja na spomin administratorjev so postopki vodeni s pravili, avtomatizirani in dosledno izvedeni.

Enako načelo danes vse bolj velja tudi za strojne identitete. Aplikacije, avtomatizirani procesi, DevOps cevovodi in vse pogosteje tudi agenti umetne inteligence za svoje delovanje potrebujejo privilegirane poverilnice. PAM lahko s funkcionalnostjo Application-to-Application (A2A) aplikacijam omogoči varen dostop do poverilnic brez shranjevanja gesel v skriptah ali konfiguracijskih datotekah. Gesla se lahko samodejno menjavajo, ne da bi to vplivalo na delovanje aplikacij, organizacije pa enako raven nadzora in upravljanja zagotovijo tako človeškim kot strojnim identitetam. Ker število nečloveških identitet iz leta v leto narašča, upravljanje privilegiranih dostopov ni več zgolj vprašanje zaščite administratorskih gesel, temveč postaja temelj sodobnega upravljanja digitalnih identitet.

Več o upravljanju privilegiranih računov si lahko preberete na spletni strani ADM-Adria.