Vartotojų autentifikavimas

Patikimai nustatykite, kas jungiasi prie jūsų sistemų

Vartotojo tapatybė tapo vienu svarbiausių šiuolaikinės IT infrastruktūros saugumo elementų.

Darbuotojai jungiasi prie organizacijos sistemų iš biuro, namų ir kitų vietų, naudoja debesijos paslaugas, VPN, vidines aplikacijas ir mobiliuosius įrenginius. Vien vartotojo vardas ir slaptažodis daugeliu atvejų nebėra pakankama apsauga.

Pavogti prisijungimo duomenys gali suteikti užpuolikui teisėto vartotojo prieigą ir tapti pradiniu tašku tolimesnei atakai.

AVEDUS projektuoja, diegia ir integruoja vartotojų autentifikavimo sprendimus, padedančius patikimai patvirtinti vartotojo tapatybę ir apsaugoti prieigą prie organizacijos sistemų, tinklo bei debesijos paslaugų.

Kas yra vartotojų autentifikavimas?

Autentifikavimas – procesas, kurio metu sistema patikrina, ar vartotojas iš tikrųjų yra tas, kuo prisistato.

Paprasčiausias autentifikavimo būdas – vartotojo vardas ir slaptažodis.

Tačiau šiuolaikinėje kibernetinio saugumo architektūroje gali būti naudojami keli skirtingi autentifikavimo faktoriai.

Tai, ką vartotojas žino – slaptažodis arba PIN.

Tai, ką vartotojas turi – telefonas, aparatinis saugumo raktas, sertifikatas ar kitas patikimas įrenginys.

Tai, kas vartotojas yra – biometriniai duomenys.

Derinant kelis nepriklausomus faktorius galima reikšmingai sumažinti pavogto slaptažodžio keliamą riziką.

Daugiafaktorė autentifikacija – MFA

MFA (Multi-Factor Authentication) reikalauja, kad vartotojas savo tapatybę patvirtintų daugiau nei vienu būdu.

Pavyzdžiui:

Slaptažodis + mobilioji autentifikavimo aplikacija

Slaptažodis + aparatinis saugumo raktas

PIN + patikimas įrenginys

Net jeigu užpuolikas sužino vartotojo slaptažodį, jam vis tiek reikia papildomo autentifikavimo faktoriaus.

Todėl MFA yra viena svarbiausių paskyrų apsaugos priemonių.

Kodėl vien slaptažodžio nebepakanka?

Slaptažodžiai gali būti:

• pavogti phishing atakos metu;

• atspėti;

• nutekinti iš kitos interneto paslaugos;

• pakartotinai naudojami keliose sistemose;

• perimti naudojant kenkėjišką programinę įrangą.

Užpuolikas, turintis teisingą vartotojo vardą ir slaptažodį, daugeliu atvejų techniniu požiūriu atrodo kaip teisėtas vartotojas.

Papildomas autentifikavimo faktorius sukuria dar vieną apsaugos sluoksnį.

Phishing atsparesnis autentifikavimas

Ne visi MFA metodai užtikrina vienodą apsaugos lygį.

Kai kurių tipų autentifikavimo kodus vartotojas gali būti apgaule įtikintas perduoti užpuolikui.

Todėl aukštesnio saugumo sistemoms gali būti naudojami phishing atsparesni autentifikavimo metodai, paremti FIDO2, WebAuthn ar aparatiniais saugumo raktais.

Tokie mechanizmai gali padėti sumažinti riziką, kad vartotojas netyčia patvirtins prisijungimą suklastotoje svetainėje.

Passwordless autentifikavimas

Passwordless modelyje vartotojui nebereikia tradicinio slaptažodžio kiekvienam prisijungimui.

Tapatybė gali būti patvirtinama naudojant:

• FIDO2 saugumo raktą;

• patikimą įrenginį;

• biometrinį autentifikavimą;

• sertifikatą;

• kitus kriptografinius autentifikavimo mechanizmus.

Tai gali pagerinti ne tik saugumą, bet ir vartotojo patirtį bei sumažinti su slaptažodžių atkūrimu susijusį administracinį darbą.

Single Sign-On – SSO

Organizacijos darbuotojas gali kasdien naudotis dešimtimis skirtingų aplikacijų.

Jeigu kiekviena jų turi atskirą vartotojo paskyrą ir slaptažodį, didėja tiek administravimo sudėtingumas, tiek saugumo rizika.

SSO (Single Sign-On) leidžia vartotojui vieną kartą patvirtinti tapatybę ir naudotis keliomis jam autorizuotomis sistemomis.

Tai leidžia centralizuoti autentifikavimą ir nuosekliau taikyti saugumo politikas.

Centralizuotas autentifikavimas

Autentifikavimo infrastruktūra gali būti integruojama su organizacijos vartotojų katalogais ir identiteto platformomis.

Tai leidžia centralizuotai valdyti:

• vartotojų tapatybes;

• autentifikavimo metodus;

• MFA;

• prieigos politikas;

• vartotojų grupes;

• prisijungimo įvykius.

Centralizuotas modelis sumažina atskirų vartotojų duomenų bazių kiekį ir palengvina paskyrų administravimą.

Adaptyvus autentifikavimas

Ne visi prisijungimai kelia vienodą riziką.

Vartotojas, kuris jungiasi iš įprasto organizacijos kompiuterio ir įprastos vietos, gali būti vertinamas kitaip nei vartotojas, kuris staiga bando pasiekti sistemą iš naujo įrenginio ar neįprastos geografinės vietos.

Adaptyvus autentifikavimas gali vertinti:

• vartotojo identitetą;

• naudojamą įrenginį;

• prisijungimo vietą;

• IP adresą;

• prisijungimo laiką;

• įrenginio saugumo būklę;

• ankstesnį vartotojo elgesį;

• kitus rizikos signalus.

Pagal nustatytą riziką sistema gali reikalauti papildomo tapatybės patvirtinimo arba visiškai blokuoti prieigą.

MFA administratorių paskyroms

Privilegijuotos paskyros yra vienas vertingiausių užpuolikų taikinių.

Kompromitavus administratoriaus paskyrą gali būti gaunama plati prieiga prie serverių, tinklo įrangos, debesijos infrastruktūros ir kitų kritinių sistemų.

Todėl administratorių autentifikavimui turi būti taikomi griežtesni reikalavimai.

MFA turėtų būti derinama su:

• atskiromis administravimo paskyromis;

• mažiausių privilegijų principu;

• PAM;

• administravimo prieigos ribojimu;

• veiksmų registravimu ir stebėjimu.

VPN autentifikavimas

Nuotolinė prieiga prie organizacijos tinklo yra viena svarbiausių MFA taikymo sričių.

VPN prieiga, apsaugota tik vartotojo vardu ir slaptažodžiu, gali tapti reikšminga rizika, jei prisijungimo duomenys yra pavagiami.

Integravus VPN su MFA, prieš suteikiant nuotolinę prieigą vartotojo tapatybė patvirtinama papildomu autentifikavimo faktoriumi.

ZTNA ir autentifikavimas

Zero Trust Network Access (ZTNA) prieigos modelyje vartotojo identitetas yra vienas pagrindinių sprendimo kriterijų.

Prieš suteikiant prieigą gali būti tikrinama:

Kas yra vartotojas?

Ar jo tapatybė patvirtinta naudojant MFA?

Kokį įrenginį jis naudoja?

Ar įrenginys atitinka saugumo reikalavimus?

Kokią aplikaciją vartotojas turi teisę pasiekti?

Todėl stiprus autentifikavimas yra vienas svarbiausių Zero Trust architektūros komponentų.

NAC ir vartotojų autentifikavimas

Autentifikavimas gali būti naudojamas ne tik aplikacijose, bet ir suteikiant prieigą prie organizacijos tinklo.

Integravus autentifikavimo infrastruktūrą su NAC (Network Access Control) galima patikrinti vartotoją ar įrenginį prieš suteikiant prieigą prie laidinio arba belaidžio tinklo.

Tam gali būti naudojami 802.1X, RADIUS, sertifikatai ir kiti autentifikavimo mechanizmai.

Pagal vartotojo identitetą NAC gali automatiškai pritaikyti atitinkamą tinklo prieigos politiką.

Wi-Fi autentifikavimas

Verslo belaidžiame tinkle bendras Wi-Fi slaptažodis nėra optimalus prieigos valdymo modelis.

Naudojant WPA2/WPA3 Enterprise ir 802.1X kiekvienas vartotojas ar įrenginys gali būti autentifikuojamas individualiai.

Tai leidžia centralizuotai suteikti ir panaikinti prieigą bei išvengti bendro slaptažodžio dalijimosi tarp darbuotojų.

Sertifikatais pagrįstas autentifikavimas

Tam tikrose infrastruktūrose vartotojo ar įrenginio tapatybei patvirtinti gali būti naudojami skaitmeniniai sertifikatai.

Sertifikatai ypač naudingi autentifikuojant organizacijos valdomus įrenginius.

Jie gali būti naudojami:

• Wi-Fi prieigai;

• VPN;

• ZTNA;

• tinklo autentifikavimui;

• aplikacijoms;

• kitoms organizacijos sistemoms.

Tai leidžia prieigos sprendimą susieti ne tik su vartotoju, bet ir su konkrečiu patikimu įrenginiu.

Autentifikavimas debesijos aplikacijoms

Organizacijos naudoja vis daugiau SaaS ir kitų debesijos paslaugų.

Centralizuotas autentifikavimas leidžia taikyti vienodas MFA ir prieigos politikas tiek vidinėms, tiek debesijos aplikacijoms.

Tai sumažina skirtingų slaptažodžių kiekį ir suteikia saugumo komandai geresnį vartotojų prisijungimų matomumą.

Trečiųjų šalių autentifikavimas

Prie organizacijos sistemų gali jungtis ne tik darbuotojai, bet ir partneriai, rangovai, įrangos gamintojai bei kiti išoriniai specialistai.

Jų prieigai taip pat turi būti taikomi tinkami autentifikavimo reikalavimai.

Priklausomai nuo sistemos kritiškumo gali būti naudojama MFA, riboto galiojimo prieiga, ZTNA ar privilegijuotų prieigų valdymas.

Trečiosios šalies paskyra neturėtų tapti silpnesniu keliu į organizacijos infrastruktūrą.

Autentifikavimo įvykių stebėjimas

Prisijungimų duomenys yra svarbus kibernetinio saugumo informacijos šaltinis.

Svarbu stebėti:

• daug nesėkmingų prisijungimų;

• neįprastas prisijungimo vietas;

• MFA atmetimus;

• naujų autentifikavimo metodų registravimą;

• administratorių prisijungimus;

• neįprastą paskyrų naudojimą.

Šie įvykiai gali būti perduodami į SIEM ir SOC/MDR sistemas bei analizuojami kartu su kitais organizacijos saugumo duomenimis.

Tai padeda greičiau identifikuoti galimą paskyros kompromitavimą.

Vartotojų autentifikavimas ir NIS2

Patikimas vartotojų autentifikavimas yra svarbi bendros organizacijos prieigos kontrolės ir kibernetinių rizikų valdymo dalis.

MFA, saugi autentifikavimo politika ir privilegijuotų paskyrų apsauga gali padėti sumažinti riziką, susijusią su pavogtais ar netinkamai naudojamais prisijungimo duomenimis.

Todėl vartotojų autentifikavimo priemonės gali būti svarbi platesnio NIS2 pasirengimo, identiteto saugumo ir Zero Trust architektūros dalis.

Nuo slaptažodžio iki Zero Trust

Šiuolaikinė autentifikavimo architektūra palaipsniui pereina nuo paprasto vartotojo vardo ir slaptažodžio prie daug stipresnio tapatybės patvirtinimo.

Slaptažodis → MFA → SSO → Adaptyvus autentifikavimas → Passwordless → Zero Trust.

Tikslas – ne apsunkinti vartotojo darbą, o užtikrinti, kad prieiga prie organizacijos sistemų būtų suteikiama tik patikimai identifikuotam vartotojui tinkamomis sąlygomis.

Kodėl AVEDUS?

Identiteto ir tinklo saugumo kompetencija

Autentifikavimą vertiname ne kaip atskirą technologiją, o kaip bendros organizacijos saugumo architektūros dalį.

MFA, SSO ir Passwordless

Projektuojame skirtingo saugumo lygio autentifikavimo sprendimus pagal organizacijos infrastruktūrą ir riziką.

Integracija su esamomis sistemomis

Autentifikavimo sprendimus integruojame su VPN, ZTNA, NAC, Wi-Fi, debesijos aplikacijomis, serveriais ir kitomis organizacijos sistemomis.

Zero Trust principai

Padedame pereiti nuo pasitikėjimo tinklo vieta prie identitetu, įrenginiu ir rizika pagrįstos prieigos kontrolės.

Nuo projektavimo iki priežiūros

AVEDUS gali įvertinti esamą autentifikavimo infrastruktūrą, suprojektuoti tikslinę architektūrą, įdiegti reikalingas technologijas ir užtikrinti jų tolesnę priežiūrą.