PAM-системы: контроль привилегированного доступа администраторов и подрядчиков

Учётная запись доменного администратора открывает всё. Учётная запись подрядчика, которому дали доступ «на время работ», открывает почти всё. И обычно навсегда.

Именно эти записи ищут первыми при атаке: захватив одну, злоумышленник получает права, ради которых иначе пришлось бы ломать десятки систем. Системы PAM (Privileged Access Manager) закрывают эту точку. Они хранят пароли администраторов, выдают доступ по запросу, пишут сессии и показывают, кто и что делал на критичных серверах.

Почему привилегированные учётные записи — отдельный риск

Обычный пользователь работает в своей зоне. Администратор работает везде. Следов после него меньше: он же настраивает журналирование.

Типичная картина, которую видно на обследованиях: пароль от административной записи знают четверо, записан он в общем файле на сетевом диске, менялся последний раз при вводе сервера в эксплуатацию, а кто именно из четверых заходил вчера ночью, установить уже невозможно. Уволившийся месяц назад инженер всё ещё в группе администраторов. Подрядчик заходит по учётке, заведённой два года назад под другой проект. Кто именно выполнил команду на сервере, установить нельзя: запись общая.

Дело не в технической небрежности. Привилегированный доступ просто никем не управляется как процесс.

Что делает система PAM: управление привилегированным доступом

Функции, из которых складывается управление привилегированным доступом.

Хранилище учётных данных. Пароли и ключи лежат в защищённом сейфе, а не в файле и не в голове инженера. Ротация по расписанию или после каждой сессии.

Доступ по запросу. Инженер получает права на конкретную систему, на конкретное время, под конкретную задачу. Время закончилось, доступ закрылся сам.

Прокси-подключение. Администратор соединяется с сервером через шлюз. Пароль целевой системы он при этом не видит вовсе.

Запись сессий. Видеозапись экрана и журнал команд. При разборе инцидента это даёт ответ на вопрос, что именно делали на сервере в ночь на субботу: журналы систем показывают результат команд, но не того, кто сидел за консолью.

Контроль подрядчиков. Внешний доступ по расписанию, с подтверждением заявки и полной записью.

Уровневая модель административных учётных записей

Правильный порядок: сначала разделить учётные записи по уровням, потом ставить систему. Иначе система получит на вход тот же хаос, только через прокси.

Ключевое правило: учётная запись верхнего уровня никогда не используется на нижнем. Админ домена, зашедший под своей записью на пользовательский компьютер, обесценивает всю модель. Его хэш оказывается на машине, до которой злоумышленник добирается первой.

Изолированный сегмент управления

Второй элемент, без которого система PAM работает наполовину. Управляющий трафик выносят в отдельный сегмент: management VLAN или отдельный виртуальный маршрутизатор. Правила простые.

Административные интерфейсы серверов, гипервизоров, сетевого оборудования и средств защиты не должны быть доступны из пользовательской сети. Вход в этот сегмент идёт только через шлюз PAM. Рабочие станции администраторов уровня 0 держат отдельно, без почты и браузера: именно они цель номер один.

Отдельно проверьте средства защиты. Консоль антивируса, межсетевого экрана или системы мониторинга — тоже административный интерфейс, и если она доступна из общей сети, злоумышленник, добравшийся до неё, выключит защиту тише и быстрее, чем будет ломать сами серверы.

Российские системы PAM

Приводим решения так, как они позиционируются производителями. Рынок шире, поэтому перед выбором сверьтесь с актуальным перечнем в реестре отечественного ПО.

Что закрывает PAM с точки зрения требований

Контроль привилегий — не идея безопасников, а группа мер. В приказе ФСТЭК России № 21 раздел «Управление доступом субъектов доступа к объектам доступа» (УПД) содержит меры, которые прямо касаются администраторов:

Доступ сотрудников подрядчика закрывает УПД.1 — управление учётными записями, в том числе внешних пользователей. УПД.16 про другое: взаимодействие с информационными системами сторонних организаций. Разводить их полезно: подрядчик может работать и без всякого межсистемного обмена. Отдельной строкой стоит УПД.5: минимально необходимые права. Формулировка короткая. На практике это самая тяжёлая часть работы: нужно разобрать, кому что действительно требуется.

Какие меры обязательны для конкретной системы, определяется её уровнем защищённости при выборе и адаптации базового набора. Проверить текущее состояние помогает аудит по 152-ФЗ или оценка защищённости.

С чего начать, если PAM пока нет

Систему покупать рано, пока не сделаны три вещи. Они бесплатны и дают половину эффекта.

Первое: инвентаризация привилегированных учётных записей. Список всех записей с административными правами, с ответственным за каждую. Обычно на этом шаге обнаруживаются учётки уволившихся и сервисные записи, о которых никто не помнит.

Второе: персонификация. Общие записи вида admin заменяются именными, а общий пароль остаётся только для аварийного сценария и хранится опечатанным.

Третье: разделение уровней по таблице выше — хотя бы административно, приказом и регламентом.

После этого внедрение системы PAM становится проектом на недели вместо года.

Типовые ошибки внедрения

Ставят систему поверх хаоса. PAM разворачивают, не разобрав учётные записи. В сейф уезжают те же общие пароли, а сессии пишутся под записью admin. Отчёты появляются, ответственность нет.

Оставляют обходные пути. Шлюз поставили, но прямой доступ к серверам по SSH и RDP из пользовательской сети не закрыли. Администраторы продолжают ходить напрямую, потому что быстрее. Проверяется это просто: попробуйте подключиться к серверу мимо шлюза.

Не включают в контур подрядчиков. Внутренних администраторов заводят в систему, внешних оставляют «пока по VPN». При этом именно подрядчик чаще всего работает без надзора и в нерабочее время.

Записывают сессии и не смотрят. Видеозапись без выборочного контроля работает только как доказательство постфактум. Час в неделю на разбор случайных сессий меняет дисциплину сильнее, чем сам факт записи, а события от системы полезно передавать в мониторинг событий ИБ, чтобы вход администратора в нерабочее время попадал в общую картину.

Забывают про саму систему. PAM хранит ключи от всей инфраструктуры и становится целью номер один. Её собственные учётные записи, резервные копии и доступ к консоли требуют отдельного контроля — по тем же правилам уровня 0.

Дальше

Начните с инвентаризации привилегированных записей: она покажет реальный масштаб. Если в списке окажутся учётные записи уволившихся сотрудников или подрядчиков с бессрочным доступом, задача переходит из плановой в срочную.

«Кредо-С» помогает разобрать привилегированный доступ по порядку: инвентаризация, уровневая модель, изоляция сегмента управления, подбор и внедрение решения. Отдельно закрываем смежную задачу — защиту от несанкционированного доступа и защиту удалённых рабочих мест.

Внедрением занимаемся под ключ: внедрение PAM-системы — инвентаризация привилегированных учётных записей, модель доступа, пилот и передача в эксплуатацию.