Lokálne administrátorské práva používateľom uľahčujú prácu. Zároveň však predstavujú významné bezpečnostné riziko – rovnaké oprávnenia, ktoré využíva používateľ, môže pri kompromitácii zariadenia zneužiť aj malvér alebo útočník. BeyondTrust Endpoint Privilege Management pomáha toto riziko odstrániť bez toho, aby IT zbytočne obmedzovalo používateľov.
Používateľ potrebuje nainštalovať aplikáciu, aktualizovať nástroj alebo vykonať úlohu, ktorá vyžaduje vyššie oprávnenia. Najjednoduchším riešením býva prideliť mu lokálne administrátorské práva.
Jednoduché však neznamená bezpečné.
Takéto oprávnenia môže zneužiť škodlivý skript, malvér alebo útočník, ktorý sa dostane k používateľskému účtu. Potenciálne tak môže meniť systémové nastavenia, inštalovať ďalší softvér alebo spúšťať kód s vyššími oprávneniami.
BeyondTrust Endpoint Privilege Management (EPM) pre Windows a macOS umožňuje trvalé administrátorské práva odstrániť a nahradiť ich riadeným povyšovaním oprávnení iba vtedy, keď ich používateľ skutočne potrebuje.
Výsledkom je menšia plocha pre útok, väčšia kontrola nad koncovými zariadeniami a menej kompromisov medzi bezpečnosťou a produktivitou.
Oprávnenia iba vtedy, keď sú potrebné
Princíp least privilege je jednoduchý: používateľ, aplikácia alebo proces má mať iba také oprávnenia, ktoré potrebuje na vykonanie konkrétnej úlohy – a iba na nevyhnutný čas.
V praxi teda používateľ nemusí byť lokálnym administrátorom len preto, že raz za čas potrebuje spustiť aplikáciu s vyššími oprávneniami.
BeyondTrust EPM umožňuje definovať politiky podľa používateľa, aplikácie, zariadenia alebo konkrétnej činnosti. Vybranej aplikácii možno potrebné oprávnenie prideliť automaticky, inú akciu zablokovať alebo vyžiadať schválenie.
Používateľ pokračuje v práci, ale administrátorské práva nad celým zariadením nikdy nezíska.
3 vrstvy kontroly
BeyondTrust EPM kombinuje správu oprávnení, kontrolu aplikácií a audit privilegovaných aktivít.
Správa oprávnení
Politiky určujú, kto, kedy a za akých podmienok môže vykonať akciu vyžadujúcu vyššie oprávnenia.
Namiesto trvalého administrátorského účtu dostane konkrétna aplikácia alebo proces potrebné oprávnenie iba v momente, keď ho potrebuje.
Kontrola aplikácií
IT tím môže definovať, ktoré aplikácie, inštalácie, skripty alebo procesy môžu používatelia spúšťať.
Politiky pritom nemusia fungovať iba systémom povoliť alebo zakázať. Môžu obsahovať výnimky, schvaľovanie alebo rozdielne pravidlá pre jednotlivé skupiny používateľov.
Reporting a audit
Privilegované aktivity sú zaznamenávané, takže bezpečnostný tím získava prehľad o tom, kto vykonal konkrétnu akciu, na akom zariadení a v akom čase.
Tieto informácie sú dôležité pri vyšetrovaní incidentov, auditoch aj pri vyhodnocovaní toho, či sú nastavené politiky primerané.
Windows aj macOS pod jednotným modelom
Firemné prostredie dnes často kombinuje zariadenia s Windows aj macOS. Bezpečnostné pravidlá preto musia fungovať konzistentne naprieč oboma platformami.
BeyondTrust EPM umožňuje zaviesť rovnaký základný princíp na Windows aj Mac zariadeniach: používateľ pracuje so štandardným účtom a vyššie oprávnenie získava iba pre konkrétnu povolenú činnosť.
Na zariadeniach s Windows poskytuje riešenie aj mechanizmy na ochranu dôveryhodných aplikácií pred ich zneužitím škodlivými procesmi. Politiky zároveň umožňujú kontrolovať používanie PowerShellu, skriptov a ďalších nástrojov, ktoré môžu byť legitímnou súčasťou administrácie, ale zároveň ich často využívajú aj útočníci.
Menej admin práv nemusí znamenať viac tiketov
Jednou z najčastejších obáv pri odoberaní administrátorských práv je nárast požiadaviek na helpdesk. Ak totiž každá aktualizácia alebo inštalácia skončí tiketom na IT, bezpečnostné opatrenie začne brzdiť používateľov aj samotné IT oddelenie. EPM preto umožňuje vytvárať rozdielne politiky podľa typu používateľa.
Vývojári a technické tímy môžu mať povolené konkrétne nástroje a príkazy. Bežní používatelia môžu pracovať s užším rozsahom oprávnení a pri výnimočnej požiadavke môže systém vyžadovať schválenie.
Cieľom nie je používateľom všetko zakázať. Cieľom je odstrániť zbytočné administrátorské oprávnenia bez toho, aby sa bežná práca stala komplikovanejšou.
Nasadenie nemusí začínať od nuly
BeyondTrust ponúka pripravené QuickStart politiky pre Windows a macOS, ktoré môžu slúžiť ako východiskový bod pri zavádzaní EPM.
Organizácia tak môže začať s predpripraveným základom a politiky postupne upravovať podľa reálneho správania používateľov a potrieb jednotlivých tímov.
Pri macOS môže nasadenie uľahčiť Rapid Deployment Tool, ktorý pomáha pripraviť balíky na hromadnú distribúciu prostredníctvom nástrojov na správu zariadení. Riešenie je zároveň možné začleniť do existujúcich servisných, autentifikačných a bezpečnostných procesov.
Dôležité však je, že samotný nástroj nestačí. Kvalita výsledku závisí najmä od správne navrhnutých politík, segmentácie používateľov a postupného ladenia pravidiel podľa reálnej prevádzky.
Kde má EPM najväčší prínos
BeyondTrust EPM má význam najmä tam, kde organizácia potrebuje:
- odstrániť lokálne administrátorské práva bez výrazného obmedzenia používateľov,
- poskytnúť vývojárom a technickým tímom vyššie oprávnenia iba pre konkrétne nástroje,
- kontrolovať inštaláciu a spúšťanie aplikácií,
- získať auditnú stopu privilegovaných aktivít,
- zjednotiť správu oprávnení v prostredí Windows a macOS.
Výhodou je, že politiky možno zavádzať postupne. Organizácia nemusí zo dňa na deň zablokovať všetky existujúce procesy, ale môže najskôr sledovať správanie používateľov, identifikovať legitímne potreby a následne pravidlá sprísňovať.
Máte záujem dozvedieť sa viac o technológiách Alanata alebo BeyondTrust? Kontaktujte našich špecialistov
EPM ako súčasť bezpečnostných a compliance opatrení
Riadenie privilegovaných prístupov dnes nie je iba technickou otázkou.
Princíp minimálnych oprávnení, kontrola prístupových práv a schopnosť preukázať vykonané bezpečnostné opatrenia sa objavujú v požiadavkách a odporúčaniach viacerých regulačných a bezpečnostných rámcov, napríklad NIS2, DORA, ISO/IEC 27001, NIST Cybersecurity Framework či CIS Controls.
Samotné nasadenie jedného produktu samozrejme nezabezpečí súlad organizácie s týmito požiadavkami.
Endpoint Privilege Management však môže byť dôležitou súčasťou technických opatrení, ktoré pomáhajú obmedziť nadbytočné oprávnenia, kontrolovať privilegované aktivity a vytvárať auditovateľný záznam o ich použití.
Menej oprávnení. Viac kontroly.
BeyondTrust Endpoint Privilege Management pomáha organizáciám presunúť sa od modelu „používateľ je administrátor“ k modelu, v ktorom sa oprávnenia prideľujú konkrétnej aplikácii alebo úlohe iba vtedy, keď sú potrebné.
V praxi to znamená menšiu plochu pre útok, väčšiu kontrolu nad aplikáciami a privilegovanými činnosťami a zároveň nižšie riziko, že bezpečnostné pravidlá budú brzdiť používateľov.
EPM tak nie je iba ďalším bezpečnostným agentom na koncovom zariadení. Je to spôsob, ako dostať princíp least privilege z bezpečnostnej politiky do každodennej prevádzky.
BeyondTrust a Alanata
Alanata je partnerom spoločnosti BeyondTrust a pomáha zákazníkom s návrhom aj implementáciou technológií na ochranu privilegovaných prístupov.
Pri nasadení Endpoint Privilege Management vieme pomôcť už od úvodnej analýzy existujúcich administrátorských oprávnení a používateľských scenárov. Nasleduje návrh politík, pilotné nasadenie, testovanie na vybraných skupinách používateľov a následné rozšírenie riešenia do produkčného prostredia.
Cieľom nie je iba nasadiť ďalší nástroj. Dôležité je nastaviť model, ktorý zníži bezpečnostné riziko a zároveň bude fungovať v reálnej prevádzke organizácie.
Ďalším riešeniam BeyondTrust sme sa venovali aj v článku Multiplatformový nástroj novej generácie.
Riešite vo svojej organizácii lokálne administrátorské práva alebo hľadáte spôsob, ako zaviesť princíp least privilege bez zbytočného zaťaženia používateľov a helpdesku? Obráťte sa na nás. Spoločne sa pozrieme na vaše prostredie a navrhneme vhodný spôsob nasadenia BeyondTrust EPM.