Ставим контроль над учётными записями, которые открывают всё: администраторы, подрядчики, сервисные аккаунты. На выходе — доступ по заявке и на срок, запись сессий и понятный ответ на вопрос, кто и что делал на сервере.
Четыре ситуации, в которых задача перестаёт быть теоретической.
Работы закончились год назад, учётная запись жива, пароль знают несколько человек в чужой компании. Кто именно заходил под ней вчера, установить нечем.
Один пароль root на всех, смена — раз в никогда. При увольнении администратора приходится менять доступы вручную по всей инфраструктуре.
Журналы серверов показывают, что команда выполнена, но не показывают, кто сидел за консолью. Без записи сессии разбор упирается в слово против слова.
Управление учётными записями и контроль полномочий входят в состав мер, которые нужно не только выполнить, но и подтвердить документами при проверке.
| Этап | Что делаем | Что остаётся у вас |
|---|---|---|
| Инвентаризация | поиск всех привилегированных и сервисных учётных записей, включая забытые | реестр учёток с владельцами |
| Модель доступа | кому какие права нужны, что выдаётся постоянно, а что по заявке и на срок | матрица доступа |
| Регламент | порядок выдачи, продления и отзыва привилегий, работа с подрядчиками | утверждённый регламент |
| Пилот | развёртывание на одной группе систем, проверка на реальных сценариях | протокол пилота |
| Внедрение | подключение целевых систем, настройка хранилища паролей и записи сессий | работающая система |
| Опытная эксплуатация | разбор обращений, донастройка правил, устранение обходных путей | журнал разбора |
| Передача | обучение администраторов и службы ИБ, инструкции по разбору сессий | инструкции и обученная команда |
Порядок важен: система, поставленная до инвентаризации, начинает контролировать те учётные записи, о которых уже знают, и не видит остальные.
Собираем полный список привилегированных учёток по доменам, серверам, базам и сетевому оборудованию. Как правило, находится заметно больше, чем ожидают: забытые сервисные и локальные учётные записи всплывают именно здесь.
Разделяем постоянные права и временные. Определяем, что выдаётся по заявке, кто согласует и на какой срок.
Фиксируем порядок в документе: выдача, продление, отзыв, отдельный блок про внешних подрядчиков.
Подключаем одну группу систем и реальную команду. Проверяем, что работа администраторов не встала.
Подключаем остальные системы очередями, начиная с самых критичных.
Разбираем обращения и обходные пути. Именно здесь система превращается из формальной в работающую.
Цену считаем после инвентаризации: без реального числа учёток и систем любая оценка будет угадыванием.
| Фактор | Что меняет |
|---|---|
| Число привилегированных учётных записей | основной множитель и для лицензий, и для работ |
| Типы подключаемых систем | серверы, базы, сетевое оборудование и промышленные системы подключаются по-разному |
| Внешние подрядчики | отдельный контур доступа, согласование и запись сессий |
| Требования к записи сессий | глубина архива и объём хранилища |
| Отказоустойчивость | резервный узел нужен там, где через PAM идёт весь административный доступ |
| Состояние учёта | если реестра учёток нет, инвентаризация занимает больше времени |
Отдельной нормы «внедрить PAM» не существует: регулятор описывает не продукт, а меры, которые продукт закрывает. В приказе ФСТЭК России № 21 это управление учётными записями пользователей, в том числе внешних (мера УПД-1), контроль правил разграничения доступа и полномочий пользователей (мера АНЗ-5) и требование к регистрации событий безопасности: меры должны обеспечивать сбор, запись, хранение и защиту сведений о событиях, а также возможность их просмотра, анализа и реагирования (пункт 8.5).
Аналогичные по смыслу меры есть в приказах для государственных систем, значимых объектов КИИ и автоматизированных систем управления. Какие именно применимы к вам, зависит от типа системы и её категории — определяем это на обследовании и фиксируем документально.
Соберём реальный список привилегированных учётных записей и покажем, где доступ выдан бессрочно. По результатам — объём работ и смета по этапам.
Отправить заявку на сотрудничество
Я соглашаюсь на обработку персональных данных
Хочу получать новости и полезные материалы на email - необязательно
ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва
300034, г. Тула, ул. Демонстрации, 27
офисы: Тула, Москва
ООО «КРЕДО-С»ИНН 7106014366КПП 710601001ОГРН 1027100747596300034, г. Тула, ул. Демонстрации, 27офисы: Тула, Москвана рынке с 1993 года
