Куда я попал?
Цель: обеспечить контроль и минимизацию рисков, связанных с использованием привилегированных учётных записей. Предотвратить несанкционированный доступ, превышение полномочий и злоупотребление правами администраторов, подрядчиков и сервисных учётных записей.
Система управления привилегированным доступом (PAM, Privileged Access Management) - это комплекс программных и аппаратных средств, предназначенный для контроля, мониторинга и управления доступом пользователей с расширенными полномочиями к ИТ-инфраструктуре. Решение обеспечивает изоляцию административных сессий, скрытие реальных паролей от пользователей, запись действий (RDP, SSH, SQL, API) и автоматическую ротацию учетных данных, что позволяет предотвратить несанкционированные действия как внешних злоумышленников, так и недобросовестных сотрудников.
Пользователь не получает пароль в открытом виде - доступ предоставляется через контролируемую сессию, а все его действия записываются.
Ключевые возможности:
Система управления привилегированным доступом (PAM, Privileged Access Management) - это комплекс программных и аппаратных средств, предназначенный для контроля, мониторинга и управления доступом пользователей с расширенными полномочиями к ИТ-инфраструктуре. Решение обеспечивает изоляцию административных сессий, скрытие реальных паролей от пользователей, запись действий (RDP, SSH, SQL, API) и автоматическую ротацию учетных данных, что позволяет предотвратить несанкционированные действия как внешних злоумышленников, так и недобросовестных сотрудников.
Пользователь не получает пароль в открытом виде - доступ предоставляется через контролируемую сессию, а все его действия записываются.
Ключевые возможности:
- Обнаружение и инвентаризация всех привилегированных учётных записей в инфраструктуре.
- Безопасное хранение паролей, ключей и секретов в защищённом хранилище.
- Автоматическая ротация паролей по расписанию или после завершения сессии.
- Выдача временного (Just-in-Time) доступа только на период выполнения конкретной задачи.
- Полная запись сессий (видео, текстовые логи, выполняемые команды, скриншоты).
- Мониторинг действий в реальном времени с возможностью принудительного завершения сессии.
- Ограничение допустимых действий (белые и чёрные списки команд, запрет передачи файлов и т.п.).
- Работа с внешними подрядчиками без передачи им учётных данных.
- Формирование полной доказательной базы для расследования инцидентов.
Рекомендации при внедрении PAM:
- Провести полную инвентаризацию всех привилегированных учетных записей (локальные администраторы, сервисные аккаунты, встроенные учетные записи СУБД, облачные суперпользователи).
- Заблокировать прямой доступ. На сетевом уровне (межсетевые экраны, группы безопасности облака) запретить прямые подключения по протоколам RDP, SSH, WinRM к серверам. Доступ должен осуществляться исключительно через шлюзы PAM.
- Интегрировать PAM со смежными системами — службой каталогов (Active Directory / FreeIPA), системами управления заявками (Service Desk) для автоматизации выдачи временных прав, а также с SIEM для передачи событий безопасности.
- Настроить политики доступа на основе ролевой модели (RBAC) и принципа минимальных привилегий (Just-Enough-Administration), ограничивая администраторов только теми командами и серверами, которые необходимы для выполнения задачи.
- Внедрить доступ «точно вовремя» (Just-in-Time): привилегированные учетные записи должны быть заблокированы по умолчанию и активироваться только на время выполнения утвержденной заявки.
- Настроить перехват и запись сессий (Proxy/Jump Server) для протоколов администрирования. Включить обязательное логирование ввода команд (keystroke logging).
- Разработать правила оповещения о критических действиях (например, создание новой учетной записи, изменение конфигурации домена, удаление логов).
- Протестировать отказоустойчивость брокеров доступа и доступность хранилища секретов (Vault).
Минимальный перечень регистрируемых событий:
- История командной строки (ввод с клавиатуры) для привилегированных учетных записей операционной системы на критических активах.
- Запись видео или текстовых логов (RDP/SSH Proxy) всех административных сессий.
- События доступа к хранилищу секретов (показ пароля пользователю, неудачная попытка извлечения).
- Журналы средств защиты и межсетевых экранов, фиксирующие попытки прямого обхода PAM-шлюза.
- Журналы операционной системы и приложений, фиксирующие аномальное поведение (активность в нерабочее время, множественные неудачные попытки входа, ошибки аутентификации, изменения в группах администраторов).
- Журналы баз данных (изменение схем, удаление таблиц, массовые выгрузки данных).
- События создания, изменения или удаления привилегированных учетных записей в обход PAM.
Хранение журналов сессий и событий PAM должно соответствовать требованиям регулятора. Журналы сессий должны храниться не менее 6–12 месяцев и быть защищены от модификации на уровне администратора PAM (рекомендуется отправка копий логов на внешний syslog-сервер или в SIEM). Необходимо настроить механизмы предотвращения потери записей при заполнении хранилища (автоматическая ротация, архивация на холодные носители).
Рекомендации к заполнению карточки:
- Учесть PAM-систему в модуле "Активы" (указать название, сертификат соответствия (при необходимости) и иную информацию.
- PAM-систему (как актив) привязать к карточке защитной меры в качестве инструмента.
- Приложите скриншот ключевых настроек (политики доступа, запись сессий, ротация паролей, список контролируемых ресурсов).
- Создать шаблон регулярной задачи: не реже одного раза в квартал проводить проверку привилегированных учётных записей, актуальности политик доступа и записей сессий.
- Создать шаблон регулярной задачи по анализу аномалий в поведении привилегированных пользователей (еженедельный отчет PAM).
- Создать шаблон регулярной задачи по инвентаризации и подключению новых системных учетных записей под управление PAM.
- Создать шаблон регулярной задачи по проверке актуальности паролей сервисных учетных записей в хранилище.
Область действия: Вся организация
Классификация
Тип
Техническая
?
Реализация
Вручную
Периодичность
Ежеквартально
Ответственный
Не определено
Инструменты
Не определено
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.