PEDM / EPM

Co to jest PEDM / EPM?

PEDM (ang. Privileged Elevation and Delegation Management) i EPM (ang. Endpoint Privilege Management) to dwie nazwy tego samego obszaru bezpieczeństwa: zarządzania uprawnieniami podwyższonymi bezpośrednio na stacjach roboczych i serwerach. Zamiast dawać użytkownikom i administratorom stałe prawa administratora lub roota, organizacja pozwala im pracować na zwykłych kontach, a uprawnienia podwyższa tylko dla konkretnych aplikacji, poleceń lub zadań.

Nazwa EPM częściej pojawia się w kontekście stacji roboczych (odebranie praw lokalnego administratora), PEDM — szerzej, także w odniesieniu do serwerów Linux, Unix i Windows. W obu przypadkach chodzi o praktyczne wdrożenie zasady najmniejszych uprawnień tam, gdzie użytkownik faktycznie pracuje.

Definicja PEDM / EPM

PEDM / EPM to zestaw mechanizmów, który usuwa stałe uprawnienia administracyjne z kont użytkowników, a w ich miejsce wprowadza kontrolowane, precyzyjne podwyższanie: dla wskazanego programu, polecenia lub okna czasowego, zgodnie z regułami i — gdy to potrzebne — po akceptacji. Każde podwyższenie jest zapisywane.

To jeden z obszarów Privileged Access Management (PAM), obok przechowywania poświadczeń w sejfie haseł i zarządzania sesjami uprzywilejowanymi przez bramkę pośredniczącą.

Dlaczego stałe uprawnienia administratora są problemem

Konto z prawami lokalnego administratora pozwala zainstalować dowolne oprogramowanie, wyłączyć ochronę stacji, zmienić ustawienia bezpieczeństwa i odczytać poświadczenia zapisane w systemie. Jeśli atakujący przejmie takie konto — przez phishing, złośliwy załącznik czy podatność w przeglądarce — dziedziczy wszystkie te możliwości. Od tego miejsca łatwiej o ruch boczny do kolejnych systemów.

Na serwerach problem wygląda podobnie: administratorzy, którzy stale pracują jako root lub w grupie administratorów domeny, sprawiają, że każda pomyłka i każde przejęte konto mają maksymalny zasięg.

Jak działa PEDM / EPM

Odebranie stałych uprawnień

Punktem wyjścia jest usunięcie kont użytkowników z lokalnych grup administratorów i ograniczenie pracy jako root. Użytkownik pracuje na zwykłym koncie przez cały dzień.

Reguły podwyższania dla aplikacji i poleceń

Zamiast pełnych praw administrator definiuje reguły: ten program instalacyjny, to narzędzie diagnostyczne czy to polecenie serwisowe mogą uruchamiać się z podwyższonymi uprawnieniami — ale nic poza nimi. Reguły identyfikują aplikacje po ścieżce, podpisie wydawcy lub skrócie pliku, a polecenia — po ich pełnej treści i argumentach.

Podwyższanie na żądanie z akceptacją

Gdy użytkownik potrzebuje czegoś, czego reguły nie obejmują, składa wniosek z uzasadnieniem. Osoba zatwierdzająca akceptuje go lub odrzuca, a podwyższenie obowiązuje przez określony czas lub dla jednej czynności. To ten sam wzorzec co dostęp just-in-time, zastosowany na poziomie stacji i serwera.

Kontrola aplikacji

Wiele rozwiązań PEDM / EPM łączy zarządzanie uprawnieniami z kontrolą aplikacji: blokuje uruchamianie nieznanych programów lub wymaga dla nich dodatkowej akceptacji.

Rejestrowanie

Każde podwyższenie, wniosek, akceptacja i odmowa trafiają do dziennika, który można przekazać do systemu SIEM i wykorzystać w audycie.

Przykład: polecenie z podwyższonymi uprawnieniami w Linuksie

Administrator aplikacji musi zrestartować usługę na serwerze produkcyjnym z Linuksem. W modelu bez PEDM ma pełny dostęp do roota — może zrestartować usługę, ale też zmienić dowolny plik systemowy.

W modelu PEDM jego konto nie ma uprawnień roota. Reguła pozwala mu wykonać przez sudo wyłącznie polecenie restartu tej jednej usługi. Gdy potrzebuje czegoś więcej, np. zmiany konfiguracji systemowej, wysyła wniosek z uzasadnieniem. Po akceptacji dostaje podwyższenie na określony czas, a wszystkie wykonane w tym czasie polecenia trafiają do dziennika. Po upływie czasu uprawnienia wygasają samoczynnie.

Na stacji roboczej z Windows wygląda to podobnie: księgowa nie ma praw administratora, ale zatwierdzony program do obsługi podpisu elektronicznego instaluje się i aktualizuje z podwyższonymi uprawnieniami na podstawie reguły, bez udziału działu IT.

PEDM a pozostałe obszary PAM

• Sejf haseł chroni poświadczenia kont uprzywilejowanych i wydaje je na czas zadania.
• Zarządzanie sesjami kontroluje i nagrywa połączenia administracyjne przechodzące przez bramkę — zob. nagrywanie sesji uprzywilejowanych.
• PEDM / EPM ogranicza to, co użytkownik może zrobić na stacji lub serwerze na własnym koncie, bez sięgania po konto administratora.

Te obszary się uzupełniają. Sejf i bramka rozwiązują problem wspólnych kont administracyjnych i dostępu zdalnego, PEDM — problem nadmiarowych uprawnień przypisanych do kont imiennych.

Korzyści

• Mniejsza powierzchnia ataku — przejęte konto użytkownika bez stałych praw administratora daje atakującemu znacznie mniej możliwości.
• Wdrożenie zasady najmniejszych uprawnień w praktyce — uprawnienia podwyższone są przypisane do czynności, a nie do osoby.
• Mniej zgłoszeń do IT — powtarzalne czynności wymagające uprawnień obsługują reguły, a nie ręczna interwencja administratora.
• Rozliczalność — każde podwyższenie ma autora, powód i czas.
• Wsparcie Zero Trust — brak stałych uprawnień to jeden z filarów modelu Zero Trust.

Ograniczenia i wyzwania

• Etap obserwacji jest konieczny — odebranie uprawnień bez wiedzy, które aplikacje ich wymagają, kończy się falą zgłoszeń i presją na przywrócenie starego stanu.
• Utrzymanie reguł — reguły trzeba aktualizować wraz ze zmianami oprogramowania; zbyt szerokie reguły (np. zezwolenie na dowolną powłokę z podwyższonymi uprawnieniami) niweczą cały mechanizm.
• Wyjątki dla administratorów — zespoły IT potrzebują szerszych uprawnień; te przypadki lepiej obsłużyć przez dostęp czasowy i nagrywane sesje niż przez stałe wyjątki.
• Różnorodność systemów — stacje z Windows i macOS oraz serwery Linux i Unix wymagają różnych mechanizmów, które warto objąć wspólną polityką.

Podsumowanie

PEDM / EPM przenosi zasadę najmniejszych uprawnień z dokumentów na stacje robocze i serwery: użytkownicy pracują na zwykłych kontach, a uprawnienia podwyższone dostają tylko dla konkretnych czynności, na określony czas i z zapisem w dzienniku. W programie PAM uzupełnia sejf haseł i zarządzanie sesjami uprzywilejowanymi.

Powiązane terminy

• Privileged Access Management - zarządzanie dostępem uprzywilejowanym
• Least Privilege - zasada najmniejszych uprawnień
• Just-in-Time Access - dostęp czasowy na żądanie
• Dostęp uprzywilejowany - poziom dostępu do operacji administracyjnych
• Zero Trust - model bezpieczeństwa oparty na ciągłej weryfikacji

Sprawdź nasze usługi

Chcesz ograniczyć stałe uprawnienia administratorów w swojej organizacji? Sprawdź:

• Wdrożenie PAM - projekt, wdrożenie i utrzymanie kontroli dostępu uprzywilejowanego