PAM - контроль привилегированных пользователей

При использовании удаленного доступа пользователи компании делятся на 2 вида:

1. обычные сотрудники, которые работают с ресурсами в рамках выданных им полномочий
2. привилегированные пользователи (администраторы), которые сами могут менять полномочия.

Очевидно, что более опасные последствия будет иметь компрометация учетной записи администратора. А, как показывает опыт проектов, без грамотно построенной по принципу закрытия рисков системы защиты компрометации подвержены все базы данных пользователей и любые типы паролей - вопрос лишь во времени.

Поэтому учетные данные администраторов надо защищать особенно. И для удаленного доступа и настройки не давать им возможность подключаться без дополнительного контроля.

Традиционные NGFW, WAF, SIEM не дают подобного контроля или слишком медленно это замечают.

Есть специализированные системы защиты, которые позволяют реализовать принцип контроля "4 глаз" и записывать/контролировать всю активность, которую ведут привилегированные пользователи. Некоторые продвинутые системы позволяют даже управлять паролями учетных записей, ротировать их и следить за сложностью.

Называются эти системы Privileged Access Management или сокращенно PAM.

Помните недавний инцидент с Facebook, когда в результате регламентных работ у них "легла" вся сеть - администраторы удаленно вносили изменения в сетевую конфигурацию. Если бы они работали через PAM, то можно было и записать их действия, понять, кто их провёл, а также даже ввести дополнительную авторизацию на действия, связанные с критичными изменениями.

PAM как раз позволяет сделать так, чтобы:

• за доступом админов ИБ дополнительно приглядывали сетевики (контроль 4 глазами);
• разрешать только определенные команды и изменения при удаленном доступе (авторизация);
• регистрировать все изменения и производить их атрибуцию (кто что в какое время сделал, какие команды вводил).