Wdrożenie PAM

Czym jest wdrożenie PAM?

Wdrożenie PAM (Privileged Access Management, zarządzanie dostępem uprzywilejowanym) to objęcie kontrolą kont, które mogą zmienić wszystko w infrastrukturze: kont administratorów, kont serwisowych, kont awaryjnych i zdalnego dostępu dostawców. Zaczynamy od inwentaryzacji, projektujemy polityki dostępu, uruchamiamy bramę z nagrywaniem sesji i sejf haseł, a potem utrzymujemy rozwiązanie i regularnie przeglądamy uprawnienia.

Atrybut	Wartość
Zakres	Konta administratorów, serwisowe, awaryjne, dostęp dostawców zewnętrznych
Etapy	Inwentaryzacja, projekt, wdrożenie i integracja, utrzymanie
Mechanizmy	Brama dostępu, nagrywanie i nadzór sesji, sejf haseł z rotacją sekretów
Platforma	Przede wszystkim Fudo Security (partner nFlo); proces niezależny od narzędzia

Dlaczego konta uprzywilejowane wymagają osobnej kontroli

Konto administratora domeny, konto root na serwerze bazy danych czy konto serwisowe aplikacji to klucze do całej organizacji. Przejęcie takiego konta oznacza dla atakującego możliwość wyłączenia zabezpieczeń, zaszyfrowania systemów albo wyniesienia danych bez wzbudzania podejrzeń, bo działa on z uprawnieniami, które wyglądają na legalne. Jednocześnie właśnie te konta są w wielu firmach najsłabiej uporządkowane: hasła są współdzielone w zespole, nie zmieniają się latami, a dostęp dostawców zostaje otwarty długo po zakończeniu prac.

Bez PAM:

• Nikt nie wie dokładnie, ile jest kont uprzywilejowanych i kto zna hasła do nich
• Hasła do kont administracyjnych i serwisowych są współdzielone i rzadko zmieniane
• Dostawca serwisujący system ma dostęp VPN do dużej części sieci, często bez nadzoru
• Po incydencie trudno ustalić, kto i co zrobił na systemie krytycznym
• Audytor lub regulator pyta o kontrolę dostępu, a organizacja nie ma na nią dowodów

PAM jako kontrola nad tym, co dzieje się po zalogowaniu

Uwierzytelnianie wieloskładnikowe potwierdza, kto się loguje. PAM odpowiada na kolejne pytania: do czego ta osoba ma dostęp, na jak długo, czy ktoś widzi, co robi, i kto zna hasło do konta docelowego. Dlatego traktujemy PAM jako naturalny kolejny krok po wdrożeniu MFA, a nie jako osobny projekt narzędziowy.

Co dostajesz:

• Inwentaryzację: pełną listę kont uprzywilejowanych z właścicielami i oceną ryzyka
• Projekt: model dostępu, umiejscowienie bramy w sieci, zasady nagrywania, nadzoru i akceptacji
• Bramę dostępu: połączenia administracyjne tylko przez kontrolowany punkt, bez przekazywania haseł
• Nagrywanie i nadzór sesji: zapis do audytu i możliwość reakcji na żywo
• Sejf haseł z rotacją: sekrety przeniesione z arkuszy i notatek do zaszyfrowanego sejfu
• Utrzymanie: przeglądy uprawnień, strojenie polityk, obejmowanie nowych systemów

Jak wdrażamy PAM - podejście etapowe

Próba objęcia wszystkich kont uprzywilejowanych naraz zwykle kończy się oporem administratorów i wyjątkami, które podważają sens całego projektu. Pracujemy etapami i zaczynamy od systemów o najwyższym ryzyku.

1. Inwentaryzacja kont uprzywilejowanych. Identyfikujemy konta administratorów, konta serwisowe i awaryjne oraz dostępy dostawców, w tym te, których nie ma w dokumentacji. Każde konto dostaje właściciela i ocenę ryzyka.

2. Projekt architektury i polityk. Ustalamy, kto i do czego ma mieć dostęp, na jakich warunkach, gdzie w sieci stanie brama, które sesje są nagrywane, które wymagają akceptacji lub nadzoru na żywo i jak wygląda procedura awaryjna.

3. Wdrożenie i integracja. Uruchamiamy platformę, integrujemy ją z katalogiem użytkowników i MFA, przenosimy sekrety do sejfu i obejmujemy kolejne grupy systemów, zaczynając od najbardziej krytycznych.

4. Utrzymanie i przeglądy. Regularnie przeglądamy uprawnienia i wybrane nagrania, stroimy polityki i obejmujemy nowe systemy oraz nowych dostawców, żeby PAM nadążał za zmianami w infrastrukturze.

Tryby kontroli dostępu uprzywilejowanego

Mechanizm	Co kontroluje	Najlepsze zastosowanie
Brama dostępu (proxy, jump server)	Kto i do jakiego systemu może się połączyć; ukrywa rzeczywistą adresację serwerów	Dostęp administratorów do serwerów, baz danych i urządzeń sieciowych
Nagrywanie i nadzór sesji	Co użytkownik robi w trakcie sesji; pozwala podglądać, wstrzymać lub przerwać sesję	Systemy krytyczne, dostęp dostawców, wymagania audytowe
Sejf haseł i rotacja sekretów	Kto zna hasło lub klucz do konta docelowego i jak często się ono zmienia	Konta serwisowe, konta współdzielone, klucze SSH i certyfikaty
Dostęp just-in-time	Kiedy i na jak długo uprawnienie jest aktywne	Zadania jednorazowe, prace serwisowe, dostęp awaryjny

PAM a wymagania NIS2 i DORA

Dyrektywa NIS2 w art. 21 ust. 2 lit. i) wymienia wśród minimalnych środków zarządzania ryzykiem „bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami”, a w lit. j) uwierzytelnianie wieloskładnikowe. Rozporządzenie DORA w art. 9 ust. 4 lit. c) zobowiązuje podmioty finansowe do ograniczenia fizycznego i logicznego dostępu do zasobów ICT do tego, co jest wymagane do uzasadnionych i zatwierdzonych funkcji, oraz do ustanowienia polityk, procedur i kontroli dotyczących praw dostępu.

PAM dostarcza technicznej egzekucji tych zasad i dowodów dla audytora: listy uprawnień, historii dostępu i nagrań sesji. Nie zastępuje analizy ryzyka, polityk ani pozostałych wymagań obu aktów. Jeśli przygotowujesz się do oceny zgodności, łączymy wdrożenie z audytem gotowości DORA albo z analizą architektury bezpieczeństwa IT.

Fudo Security jako platforma PAM

Proces wdrożenia jest niezależny od narzędzia, ale jako platformę stosujemy przede wszystkim rozwiązania Fudo Security, z którym nFlo współpracuje jako partner. Według dokumentacji producenta Fudo Enterprise:

• działa jako proxy między użytkownikami a monitorowanymi serwerami i rejestruje ich działania, w tym ruchy myszy, naciśnięcia klawiszy i przesyłane pliki, bez instalowania agentów na chronionych systemach;
• pozwala łączyć się natywnymi klientami albo przez wbudowanego klienta w przeglądarce, w trybie proxy lub bastionu;
• zapisuje pełny ruch sesji z metadanymi, co umożliwia jej odtworzenie i przeszukiwanie treści, a administrator może w czasie rzeczywistym dołączyć do sesji, wstrzymać ją lub zakończyć;
• pozwala wymagać, by sesje w danym sejfie były nadzorowane na żywo przez określoną liczbę zalogowanych nadzorców;
• ma moduł Password Vault, który przechowuje hasła, klucze SSH, certyfikaty i klucze API w hierarchicznych kolekcjach, zmienia poświadczenia automatycznie przez SSH, LDAP, Telnet lub WinRM i porównuje hasła z listami haseł skompromitowanych;
• obsługuje dostęp just-in-time oraz reverse proxy, w którym brama zestawia wychodzące połączenie SSH do zewnętrznego serwera (np. w DMZ), a ruch wraca tunelem do zasobów wewnętrznych.

Dla dostawców zewnętrznych producent oferuje Fudo ShareAccess, który daje stronom trzecim dostęp do przydzielonych zasobów bezpośrednio z przeglądarki, z Fudo Enterprise jako bramą. Opisy produktów znajdziesz w naszym katalogu: Fudo Security (rodzina produktów), Fudo Enterprise, Fudo One i Fudo ShareAccess. Więcej o samym PAM przeczytasz w bazie wiedzy o tożsamości i PAM.

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Nie wiesz dokładnie, ile kont uprzywilejowanych jest w Twojej infrastrukturze i kto zna hasła do nich
• Dostawcy i serwisanci łączą się z Twoimi systemami przez VPN, bez nagrywania sesji
• Przygotowujesz się do wymagań NIS2 lub DORA i potrzebujesz dowodów kontroli dostępu
• Masz już MFA i szukasz kolejnego kroku w ochronie kont o najwyższych uprawnieniach
• Po incydencie okazało się, że nie da się ustalić, kto i co zrobił na systemie krytycznym

Chcesz omówić zakres wdrożenia w swojej organizacji? Skontaktuj się z nami.

Powiązane pojęcia

Dowiedz się więcej o kluczowych pojęciach związanych z tą usługą:

• Dostęp uprzywilejowany
• Just-in-Time Access
• Least Privilege
• Privileged Access Management
• Zero Trust