Tinkama prieiga tinkamam vartotojui

Kompromituotos vartotojų paskyros ir netinkamai valdomos prieigos yra vienas dažniausių būdų kibernetiniams užpuolikams patekti į organizacijos sistemas.

Šiuolaikinėje IT infrastruktūroje vartotojai jungiasi ne tik iš biuro tinklo. Jie naudojasi debesijos paslaugomis, nuotoline prieiga, mobiliaisiais įrenginiais ir skirtingomis verslo sistemomis. Tuo pačiu metu prie infrastruktūros jungiasi administratoriai, partneriai, rangovai, įrenginiai ir automatizuotos sistemos.

Todėl organizacijai svarbu patikimai atsakyti į tris klausimus:

Kas jungiasi? Prie ko jungiasi? Ar ši prieiga turi būti leidžiama?

AVEDUS projektuoja, diegia ir integruoja identiteto bei prieigos valdymo sprendimus, padedančius apsaugoti vartotojų tapatybes, centralizuotai kontroliuoti prieigas ir sumažinti kompromituotų paskyrų keliamą riziką.

Kas yra identiteto ir prieigos valdymas?

Identiteto ir prieigos valdymas (IAM – Identity and Access Management) – tai technologijų ir procesų visuma, skirta valdyti vartotojų skaitmenines tapatybes bei jų prieigos teises.

IAM padeda užtikrinti, kad kiekvienas vartotojas galėtų pasiekti tik tas sistemas, aplikacijas ir duomenis, kurių jam reikia darbo funkcijoms atlikti.

Efektyvus prieigos valdymas apima visą vartotojo paskyros gyvavimo ciklą – nuo jos sukūrimo ir teisių suteikimo iki jų pakeitimo ar visiško panaikinimo.

Daugiafaktorė autentifikacija – MFA

Vien slaptažodžio nebepakanka patikimai vartotojo tapatybei apsaugoti.

Slaptažodis gali būti pavogtas naudojant phishing atakas, kenkėjišką programinę įrangą, nutekintas iš kitos sistemos ar tiesiog atspėtas.

Daugiafaktorė autentifikacija (MFA) reikalauja papildomo vartotojo tapatybės patvirtinimo.

Tai gali būti:

• mobilioji autentifikavimo aplikacija;

• vienkartinis kodas;

• aparatinis saugumo raktas;

• skaitmeninis sertifikatas;

• biometrinis autentifikavimas;

• kitas papildomas autentifikavimo faktorius.

MFA ženkliai sumažina riziką, kad pavogtas slaptažodis suteiks užpuolikui prieigą prie organizacijos sistemų.

Vieningas prisijungimas – SSO

Darbuotojai kasdien naudojasi vis didesniu skaičiumi sistemų ir debesijos paslaugų.

Atskiri prisijungimo duomenys kiekvienai sistemai didina administravimo sudėtingumą ir skatina vartotojus pakartotinai naudoti tuos pačius slaptažodžius.

SSO (Single Sign-On) leidžia vartotojui naudojant vieną centralizuotai valdomą tapatybę pasiekti kelias autorizuotas sistemas.

Centralizuotas autentifikavimas padeda supaprastinti vartotojų darbą ir kartu sustiprinti prieigos kontrolę.

Privilegijuotų paskyrų valdymas – PAM

Administratorių paskyros turi plačiausias teises organizacijos infrastruktūroje, todėl jų kompromitavimas gali turėti ypač didelį poveikį.

PAM (Privileged Access Management) sprendimai skirti kontroliuoti ir apsaugoti privilegijuotas prieigas.

Jie gali padėti:

• centralizuotai valdyti administratorių prieigas;

• apsaugoti privilegijuotų paskyrų slaptažodžius;

• riboti administravimo sesijų trukmę;

• suteikti privilegijas tik tada, kai jų reikia;

• registruoti administratorių veiksmus;

• kontroliuoti trečiųjų šalių ir rangovų prieigą;

• sumažinti nuolatinių administratoriaus teisių naudojimą.

Tinkamas privilegijuotų paskyrų valdymas ženkliai sumažina potencialų sėkmingos kibernetinės atakos poveikį.

Mažiausių privilegijų principas

Vartotojui turi būti suteikiamos tik tokios prieigos teisės, kurių jam reikia konkrečioms darbo funkcijoms atlikti.

Tai vadinama Least Privilege principu.

Perteklinės prieigos didina riziką – kompromitavus vieną paskyrą užpuolikas gali gauti prieigą prie sistemų ir duomenų, kurių vartotojui iš tikrųjų nereikia.

Todėl svarbu ne tik tinkamai suteikti teises, bet ir periodiškai jas peržiūrėti.

Vartotojų prieigos gyvavimo ciklas

Darbuotojų pareigos ir atsakomybės keičiasi. Vieni prisijungia prie organizacijos, kiti pereina į naujas pozicijas, treti palieka įmonę.

Kiekvienas toks pokytis turi atsispindėti prieigos teisėse.

Efektyvus identiteto valdymas apima:

Joiner – naujam darbuotojui suteikiamos jo funkcijoms reikalingos prieigos.

Mover – pasikeitus darbuotojo pareigoms, prieigos teisės atnaujinamos.

Leaver – darbuotojui palikus organizaciją, jo prieigos operatyviai panaikinamos.

Automatizuotas šių procesų valdymas padeda sumažinti užmirštų paskyrų ir perteklinių teisių riziką.

Tinklo prieigos kontrolė – NAC

Identiteto valdymas neturėtų apsiriboti tik aplikacijomis.

Svarbu kontroliuoti ir tai, kas gali prisijungti prie organizacijos tinklo.

NAC (Network Access Control) sprendimai leidžia identifikuoti vartotojus bei įrenginius ir pagal nustatytas politikas suteikti jiems atitinkamą tinklo prieigą.

Prieiga gali priklausyti nuo vartotojo tapatybės, įrenginio tipo, saugumo būklės ar kitų kriterijų.

Tai padeda užtikrinti, kad nežinomas ar saugumo reikalavimų neatitinkantis įrenginys negautų nekontroliuojamos prieigos prie vidinės infrastruktūros.

Zero Trust prieigos modelis

Tradicinis principas „organizacijos tinkle esantis vartotojas yra patikimas“ nebeatitinka šiuolaikinės infrastruktūros.

Zero Trust modelyje prieiga nėra automatiškai suteikiama vien dėl vartotojo ar įrenginio buvimo vidiniame tinkle.

Kiekvienas prieigos prašymas vertinamas pagal tapatybę, įrenginį, jo saugumo būklę, lokaciją, prašomą resursą ir kitus kontekstinius parametrus.

Pagrindinis principas:

Never trust, always verify – nepasitikėti automatiškai, visada patikrinti.

ZTNA – prieiga prie aplikacijų, o ne viso tinklo

Tradicinis VPN dažnai suteikia vartotojui prieigą prie didesnės vidinio tinklo dalies, nei jam iš tikrųjų reikia.

ZTNA (Zero Trust Network Access) leidžia prieigą suteikti konkrečiam vartotojui tik prie konkrečių aplikacijų ar sistemų.

Taip sumažinama atakos zona ir apribojamos galimybės kompromituotam vartotojui ar įrenginiui pasiekti kitus organizacijos resursus.

Trečiųjų šalių prieigos valdymas

Partneriams, rangovams ir išoriniams IT specialistams dažnai reikalinga prieiga prie organizacijos infrastruktūros.

Tokios prieigos turi būti ypač kontroliuojamos.

Galima riboti:

• prie kokių sistemų leidžiama jungtis;

• kada leidžiama jungtis;

• kiek laiko galioja prieiga;

• kokius veiksmus galima atlikti;

• ar reikalingas papildomas patvirtinimas.

Prireikus privilegijuotos sesijos gali būti registruojamos ir audituojamos.

Įrenginio tapatybė

Šiuolaikinėje infrastruktūroje autentifikuojami ne tik žmonės.

Prie tinklo ir sistemų jungiasi serveriai, mobilieji įrenginiai, IoT įranga, aplikacijos ir kitos sistemos.

Todėl saugumo architektūroje svarbu valdyti ne tik vartotojo, bet ir įrenginio tapatybę bei patikimumą.

Prieš suteikiant prieigą gali būti vertinama, ar įrenginys žinomas, valdomas ir atitinka organizacijos nustatytus saugumo reikalavimus.

Identiteto saugumo stebėjimas

Sėkmingas prisijungimas nebūtinai reiškia, kad jungiasi teisėtas vartotojas.

Todėl svarbu stebėti autentifikavimo ir prieigos įvykius.

Daug nesėkmingų prisijungimų, netikėtas administratoriaus teisių naudojimas, prisijungimas iš neįprastos vietos ar kitas vartotojui nebūdingas elgesys gali būti paskyros kompromitavimo požymis.

Autentifikavimo įvykiai gali būti perduodami į SIEM ir SOC/MDR sistemas, kur analizuojami kartu su informacija iš tinklo, galinių įrenginių ir kitų saugumo šaltinių.

Identiteto valdymas ir NIS2

Prieigos kontrolė ir daugiafaktorė autentifikacija yra svarbios organizacijos kibernetinių rizikų valdymo priemonės.

Organizacijai svarbu žinoti, kas turi prieigą prie kritinių sistemų, kontroliuoti privilegijuotas paskyras ir užtikrinti, kad nereikalingos prieigos būtų laiku panaikintos.

Todėl identiteto ir prieigos valdymo priemonių įvertinimas gali būti platesnio NIS2 pasirengimo ir saugumo architektūros projektavimo proceso dalis.

Identitetas – naujasis saugumo perimetras

Kai organizacijos aplikacijos ir duomenys išskaidyti tarp vietinės infrastruktūros, duomenų centrų ir debesijos paslaugų, tradicinio tinklo perimetro nebeužtenka.

Vartotojo tapatybė tampa vienu svarbiausių sprendimo, ar suteikti prieigą prie organizacijos išteklių, elementų.

Todėl moderni prieigos strategija jungia:

Identitetą → MFA → Įrenginio patikimumą → Mažiausias privilegijas → Prieigos kontrolę → Nuolatinę stebėseną.

Tokiu būdu prieiga tampa dinamiška ir valdoma pagal realią riziką.

Kodėl AVEDUS?

Kompleksinis požiūris

Identiteto apsaugą integruojame su tinklo, galinių įrenginių, debesijos ir kitomis organizacijos saugumo priemonėmis.

Nuo MFA iki Zero Trust

Projektuojame sprendimus nuo bazinės daugiafaktorės autentifikacijos iki pažangių PAM, NAC ir Zero Trust prieigos architektūrų.

Integracija su esama infrastruktūra

Identiteto sprendimus integruojame su organizacijos katalogų tarnybomis, VPN, tinklo infrastruktūra, aplikacijomis ir kitomis sistemomis.

Nuo projektavimo iki priežiūros

Galime įvertinti esamą prieigos modelį, suprojektuoti tikslinę architektūrą, įdiegti reikalingas technologijas ir užtikrinti jų priežiūrą.

Saugumas pagal realią riziką

Siekiame ne apsunkinti vartotojo darbą papildomais saugumo mechanizmais, o sukurti tokį prieigos modelį, kuriame kontrolės lygis atitiktų konkrečios prieigos keliamą riziką.