ניהול משתמשים פריבלגים מול ניהול גישה פריבלגי

בנוף אבטחת הסייבר המתפתח במהירות של היום, ניהול גישה מועדפת הפך לדאגה קריטית עבור ארגונים בכל הגדלים. שתי גישות נפוצות לניהול גישה מועדפת הן ניהול משתמשים פריבלגים (PUM) וניהול גישה פריבלגית (PAM). במאמר זה, אנו משווים גישות PUM לעומת PAM וחוקרים מדוע הן חשובות לאבטחת הארגון שלך.

בעיית ההרשאות הבלתי מבוקרות

ככל שיש לך פחות שליטה, כך אתה מסתכן יותר כסף.

ממש מיד, ברצוננו להגדיר גישה מועדפת. זוהי גישה לנתונים, מערכות ומחשבים שאינם זמינים למשתמשים גנריים. גישה מועדפת שמורה לעתים קרובות לצוות מהימן ומורשים, כגון מנהלי מערכות, מהנדסי רשת ומנהלים הזקוקים להרשאות מוגברות לניהול מערכות, יישומים ונתונים קריטיים.

במילים פשוטות, גישה מיוחסת היא מפתח שפותח את הדלת לחלקים הרגישים והיקרים ביותר של התשתית הדיגיטלית של הארגון. עם מפתח זה, משתמש יכול לבצע מגוון רחב של פעולות, מהתקנת תוכנה חדשה והגדרת הגדרות רשת ועד גישה לנתונים סודיים.

עם זאת, אם גישה מיוחסת תגיע לידיים הלא נכונות, הדבר עלול להוביל לתוצאות קשות על הארגון.

אם למשתמשים זדוניים יש אישורים מורשים, הם יכולים לגשת למשאבים קריטיים לעסקים שונים, כולל:

• מערכות קריטיות – עם גישה לחשבון מיוחס לגיטימי, תוקפים יכולים להשתמש בחופשיות במשאבים מוגבלים ולחסום מערכות קריטיות לעסק.

• מאגרי מידע – ברגע שתוקפים מקבלים אישורי גישה מורשים, הם מקבלים הזדמנות לגשת, להעתיק, לשנות ואפילו להרוס מידע המאוחסן במסדי הנתונים של החברה שלך.

• יישומים – תהליכים שונים של יישום ליישום כוללים גם שימוש באישורים מורשים. אם תוקף ישיג את האישורים האלה, הם עלולים להפריע לתהליכים עסקיים קריטיים.

• סביבות ענן – בסביבות ענן ובסביבות מכולות, מפתחות וסודות ניהול מיוחדים משמשים ליצירת מופעים חדשים, ניהול עומסי עבודה ואינטראקציה עם מסדי נתונים. ברגע שתוקפים מקבלים גישה לאישורים אלה, הם יכולים להתעסק במשאבי ענן ובמידע בעל ערך.

זו הסיבה שפושעי סייבר המבקשים להשיג את הנתונים הרגישים והסודיים שלך מחפשים לעתים קרובות אישורי גישה מועדפת. עם זאת, הבעיה האקוטית ביותר היא שטעות אנוש היא בדרך כלל הסיבה להתקפות סייבר מוצלחות.

בעוד שאנשים מסוימים עשויים לאחסן את הסיסמאות שלהם בפתקים נגישים בקלות, אחרים יכולים ללחוץ על קישורי דוא"ל חשודים מבלי להתחשב בהשלכות. עם זאת התוצאה היא תמיד זהה: תוקף, בין אם זה מקורב זדוני פורץ, משיג גישה למידע עסקי קריטי.

הסיבות העיקריות לשלוט בגישה מורשות

מספרים מדברים חזק יותר ממילים.

על פי עלות של דוח הפרת נתונים 2022 על ידי מכון Ponemon ו-IBM, הווקטור העיקרי של מתקפות הסייבר בשנת 2022 נגנב או נפגע אישורים. מקרים עם וקטור תקיפה זה היוו 19% מהפרות, והביאו להפסדים כספיים של 4.50 מיליון דולר.

יתר על כן, על פי אותו דיווח, אישורים שנגנבו או שנפגעו לקח את הזמן הארוך ביותר לזיהוי מבין וקטורי ההתקפה הנפוצים, 243 ימים לזיהוי ו-84 ימים להכיל (327 ימים בסך הכל). במילים אחרות, ארגונים צריכים כמעט שנה כדי לזהות ולהכיל מתקפת סייבר הנגרמת על ידי אישורים שנגנבו או נפגעו. זמן הזיהוי והבלימה הארוך הזה יכול להיות נושא קריטי עבור ארגונים, מכיוון שהוא עלול לגרום לאובדן משמעותי של נתונים רגישים ונכסים פיננסיים יחד עם נזק למוניטין.

מלבד פרצות נתונים, הפסדים כספיים ופגיעה במוניטין, ישנן סיבות נוספות לשלוט בגישה מועדפת.

לדוגמה, שליטה בגישה מוסמכת באמצעות תוכנה ייעודית ותהליך סקירת גישת משתמשיםמעמיקה יכול לעזור לך לבנות אמון עם הלקוחות, מחזיקי העניין והשותפים שלך. אם תוכיח שאתה מתייחס לאבטחת מידע ברצינות ועושה כמיטב יכולתך להגן על מידע רגיש, הארגון שלך ייחשב כאמין יותר ובטוח יותר עבור הלקוחות שלך.

כאשר מיושם נכון, ניהול גישה מועדף יכול לייעל את הפעילות שלך, להפחית את הסיכון לשגיאות ולהבטיח שלעובדים תהיה הגישה הדרושה למערכות הדרושים להם כדי לבצע את עבודתם ביעילות.

לבסוף, בוא לא נשכח ששליטה בגישה מורשות היא אחת הדרישות העיקריות של NIST וPCI DSS תקנים, Sarbanes-Oxley Act HIPAA. זו הסיבה שהקמת נוהלי ניהול משתמשים מורשיםנכונים היא חיונית עבור ארגונים בכל גודל ובכל תחום.

עכשיו, לאחר שהבנת מדוע חיוני לשלוט בגישה מועדפת, אנו מציעים לך לחפור לעומק וללמוד עוד על ניהול משתמשים מורשים וגישה.

ניהול גישה מועדף

ניהול גישה מועדף, או PAM, עוסק בהעלאת ההרשאות הנוכחיות.

מהו ניהול גישה מועדפת (PAM)? לפי Gartner, PAM הוא מונח גג לכל מיני פתרונות ניהול הרשאות. עם זאת, במאמר זה, אנו ניגשים ל-PAM מנקודת מבט ממוקדת במשתמש, תוך התמקדות בתפקידה כתהליך ולא כפתרון יחיד.

בבסיסו, ניהול גישה מועדף כרוך בניהול הרשאות חד-פעמיות המעלות באופן זמני את ההרשאות של משתמשים רגילים לפי בקשה. גרטנר מתייחסת לסוג זה של בקרת הרשאות כמו ניהול הרשאות והאצלה (PEDM). אבל הנה דרך קלה יותר לחשוב על זה.

בארגונים רבים, ישנם מתקנים עם הגבלות גישה שונות:

• מתקנים בסיסיים שכל עובד או אפילו אורח יכולים להיכנס אליהם באופן חופשי
• מתקני עבודה שכל העובדים הרגילים של הארגון יכולים להיכנס אליהם
• אזורים מוגבלים שרק אנשים עם רמות גישה מיוחדות יכולים להיכנס אליהם

עכשיו, תאר לעצמך שכדי לגשת לסוג השלישי של מתקן, אתה צריך לבקש הרשאת גישה מיוחדת – נניח, תג שיאפשר לך לעבור את הבידוק הביטחוני. לאחר שתסיים את עבודתך, עליך להחזיר את התג לקצין האבטחה: פג תוקף ההרשאה שלך.

הטריק הוא שבתג זה יהיה השם שלך, כך שאתה תהיה האדם היחיד שיכול להשתמש בו. יתר על כן, אתה יכול להשתמש בתג זה רק פעם אחת לצורך גישה למתקן ספציפי. כך עובד PAM.

במילים אחרות, PAM מאפשרת למשתמשים רגילים לבקש גישה לנתונים, יישומים או מערכות מוגנים מהחשבונות הנוכחיים שלהם. בדומה לעיקרון הפחות הרשאות, הרעיון המרכזי של PAM הוא שאין דבר כזה ברשת שלך כמו משתמש רגיל עם גישה קבועה לנתונים רגישים.

תוכל לקחת גישה זו עוד יותר על ידי יישום גישת PAM JIT המעניקה גישה מועדפת רק לזמן מוגבל מאוד כדי להפחית את הסיכון של גישה לא מורשית או שימוש לרעה. כמו כן, שקול להשתמש במודל אבטחת אמון אפס, שיש לו שני מאפיינים חשובים:

• אין היקפי מאובטח כללי – במקום לאבטח את ההיקף של הרשת כולה, כל יישום קריטי, נקודת קצה ומסד נתונים מאובטח בנפרד. משתמש יכול לגשת לנקודת קצה מסוימת רק אם יש לו את רמת הרשאת הגישה הנכונה.
• אין הפרדה בין משתמשים מהימנים למשתמשים שאינם מהימנים – במודל אפס אמון, אף אחד אינו אמין כברירת מחדל. משתמש יכול לקבל גישה לנכסים מוגנים רק אם הוא מאמת את זהותו, כגון באמצעות אימות רב גורמי (MFA).

אם נחזור ליתרונות של PAM, ברצוננו להדגיש שטווח הפירוט של גישה הוא זה שעושה את כל ההבדל. ליתר דיוק, PAM יכול לאפשר לך לציין:

• מי מקבל גישה
• למה בדיוק המשתמשים מקבלים גישה
• לכמה זמן ניתנת גישה
• מה מותר למשתמשים עם גישה לעשות בתוך ההיקף המוגן

עם PAM, אתה יכול להגדיר מספר רמות גישה גבוהות ולציין אילו סוגי פעולות מותרים ומוגבלים עבור כל אחת מהן.

לדוגמה, עובדים עם רמת גישת משתמש בסיסית עשויים להיות מסוגלים לקרוא נתונים מוגנים אך לא יוכלו לשנות או למחוק אותם. כדי לשנות את הנתונים המוגנים, הם יזדקקו לרמת סמכות גבוהה יותר, כמו זו של מנהל מערכת. זה הופך את PAM לפתרון רב עוצמה, פרטני ומורכב לניהול הרשאות.

בואו נעביר את תשומת הלב שלנו ל-PUM.

ניהול משתמש מועדף

PUM עוסקת בשיתוף הרשאות עם אחרים.

זוכר את הדוגמה שלנו עם מתקנים מוגבלים? עכשיו דמיינו שאתם עדיין צריכים לקבל תג מיוחד. אבל הפעם, יש מספר מוגבל של תגים אלה. ובניגוד לסוג הראשון של תג, לזה אין תאריך תפוגה. יתרה מכך, השם שלך לא רשום עליו, אז אתה יכול להשתמש בו בעצמך, או שאתה יכול למסור אותו לאחד מעמיתיך ולבקש מהם לבצע את העבודה. כך פועל ניהול משתמשים מיוחס, או PUM.

מה זה PUM בדיוק? עד כמה שזה נשמע מבלבל, ניהול משתמשים מיוחס עוסק בחשבונות ולא באנשים מסוימים.

מהו ניהול משתמשים מורשים?

ניהול משתמשים מועדף הוא תהליך של ניהול חשבונות מועדפים עם גישה קבועה לנכסים קריטיים. PUM אחראית לניהול ואבטחת חשבונות מוסמכים של מנהל מערכת וחשבונות בסיס.</p >

מונח נוסף ל-PUM שנמצא בשימוש נרחב הוא ניהול זהויות מועדפות (PIM), שבו חשבונות מועדפים נתפסים זהויות דיגיטליות ולא אנשים מסוימים. סוג זה של בקרת הרשאות קרובה גם למה שגרטנר מכנה גישה מורשות וניהול הפעלה (PASM).

למשתמשים בעלי זכויות יתר יש יותר הרשאות מאשר לצוות רגיל. ניהול משתמשים מוגנים עוסק במתן גישה מלאה וקבועה לעובדים כאלה לנתונים, יישומים ומערכות מוגנים. ובדרך כלל, עובדים מרובים יכולים להיכנס למערכת כמשתמשים מורשים תחת אותו חשבון. לכן, PUM הוא ספציפי לחשבון.

קטגוריות עיקריות של חשבונות מועדפים

אנו יכולים לפצל את כל החשבונות המועדפים לשתי קטגוריות גדולות:

חשבונות אנושיים משויכים למשתמשים בודדים ודורשים הרשאות מוגברות (התקנת תוכנה או שינוי הגדרות מערכת), בעוד שחשבונות לא אנושיים הם חשבונות יישומים הדורשים גישה ברמת המערכת. כלומר, חשבונות הרשאות אנושיות משמשים אנשים לגישה למערכות, יישומים ונתונים.

חשבונות שאינם אנושיים משמשים יישומים, שירותים ותהליכים אוטומטיים אחרים. ומכיוון שחשבונות לא אנושיים אינם משויכים למשתמש בודד, הם עלולים להיות קשים יותר לניהול ולאבטחתם.

סוגים עיקריים של חשבונות מועדפים

אם נחלק עוד יותר חשבונות מועדפים, נוכל להגדיר את הסוגים הנפוצים ביותר:

• מנהלים מקומיים – חשבונות משותפים, לא אישיים, המספקים גישה מנהלתית למערכת ולשירותים המקומיים. חשבונות אלה משמשים בדרך כלל להגדרת תחנות עבודה חדשות ולתחזוקת המערכת.

• מנהלי דומיין – חשבונות עם גישה בלתי מוגבלת בכל השרתים ותחנות העבודה בדומיין של Windows. לחשבונות אלה יש שליטה מלאה על כל בקרי הדומיין וחשבונות הניהול בתוך הדומיין.

• משתמשים מועדפים – חשבונות משתמש עם הרשאות גבוהות, המשמשים בדרך כלל לפתרון משימות הקשורות לעסק ולעבודה עם נתונים קריטיים. חשבונות משתמש מועדפים יכולים להיות משותפים למספר עובדים או להקצות לאדם מסוים.

• חשבונות שירות – כל סוג של חשבון מוגן (מקומי או תחום) שיישומים ושירותים משתמשים בהם לצורך אינטראקציה עם מערכת ההפעלה.

• חשבונות יישומים – חשבונות המשמשים יישומים כדי לקבל גישה למשאבי מערכת, מסדי נתונים ויישומים אחרים. אישורים עבור חשבונות אלה משותפים לעתים קרובות ברחבי הרשת.

• חשבונות חירום – חשבונות מיוחדים שניתן להשתמש בהם לגישה למערכות מוגנות או לנתונים במקרה חירום.

השימוש בחשבונות מועדפים משותפים מגביר באופן משמעותי את הסיכון לפרצות נתונים. העניין הוא שארגונים מסוימים שומרים אישורים עבור חשבונות כאלה בקבצי טקסט לא מוצפנים איפשהו ברשת. ואם קובץ כזה נופל לידיים הלא נכונות, התוקפים עלולים לגנוב את כל הנתונים היקרים על ידי גישה אליו דרך חשבון שנפרץ.

יתרה מכך, למרות שניתן לעקוב אחר פעילות משתמשים מורשים, זה עשוי להיות אתגר רציני לקבוע מי עשה מה בחשבון משותף. זה יוצר קשיים משמעותיים בעת חקירת אירועי אבטחת סייבר.

למרבה המזל, יש הרבה נוהלי PUM יעילים שיכולים לתת מענה בעיה זו, ואחת האמינות ביותר היא אימות משני. עם אימות משני, משתמשים שנכנסים לחשבון משותף נדרשים גם להתחבר לחשבון האישי שלהם ולעבור אימות זהות נוסף. על ידי כך, אתה יכול לשייך הפעלה מסוימת שהתחילה תחת חשבון משותף למשתמש ספציפי, ובכך לשפר את האחריות ולהפחית את הסיכון לפרצות מידע.

הבדלי PUM לעומת PAM

האם עליך להשתמש ב-PUM או ב-PAM כדי לאבטח את הנתונים היקרים שלך?

לבסוף, בואו נרד ליסודות ונסכם את ההבדלים העיקריים בין PAM ל-PUM.

PAM מאפשר לך להגדיר הרשאות גישה ברמת המשתמש ולציין מי יכול לעשות מה לפי תפקידים או תכונות ספציפיות.

PUM, בתורו, יכולה להיות מועילה יותר בכל הנוגע לביצוע ביקורות אבטחה, מכיוון שהיא מאפשרת לך לערוך דוח על פעילותם של מספר מוגבל של חשבונות במקום לחקור את הפעילות של מספר משתמשים בעלי הרשאות מוגברות.< /p>

באופן כללי, PUM ו-PAM משלימים ולא מחליפים זה את זה. אז במקום להשוות PUM לעומת PAM, עדיף לשלב את שתי הגישות הללו לניהול גישה מועדפת בארגון שלך.

Ekran System יכולה לעזור לך להפיק את המרב משתי גישות ניהול ההרשאות הללו. על ידי פריסת פלטפורמת Ekran System, אתה יכול:

• • עקוב אחר משתמשים מורשים עם פתרון PAM

המוכר על ידי NIST

• עקוב אחר וניהול הפעלות מורשות עם פונקציונליות PASM
• צמצם למינימום סיכוני אבטחת סייבר עם יכולות PAM בדיוק בזמן
• שליטה מפורטת בהרשאות הגישה
• אמת את זהויות המשתמש }אמצעות מערכת ניהול זהויות וכלי MFA
• הוסף חשיפה לפעילות של חשבונות משותפים עם אימות משני
• השתמש בהתראות ברירת מחדל או הגדר התראות מותאמות אישית לאיתור התנהגות חריגה של משתמשים מורשים
• בדוק את הפעילות של משתמשים בעלי גישה מוסמכת וקבל דוחות מקיפים
• הבטח תאימות IT

יתר על כן, אתה יכול לשלב את Ekran System עם ה-SIEM ומערכת הכרטוס שלך עבור בקרת גישה נוספת ופירוט.

מסקנה

ניהול גישה מועדף וניהול משתמשים מועדף הן שתי גישות משלימות שיכולות לעבוד יחד בצורה חלקה כדי לעזור לך לנהל את הגישה לנתונים, יישומים ומערכות רגישים. כאשר משווים PUM לעומת PAM, חשוב לציין כי:

• PUM מתמקדת בחשבונות ספציפיים שבדרך כלל מובנים במערכת או באפליקציה, משותפים ומוגבלים במספרם.
• PAM מתמקדת במשתמשים רגילים המבקשים העלאת הרשאות זמנית כדי להשלים משימה ספציפית.

על ידי שימוש ב-PUM ו-PAM ביחד, ארגונים יכולים ליהנות מרמה גבוהה יותר של גמישות גישה והגנה משופרת על נתונים רגישים. ואם אתה משלב אותם עם פתרונות ניהול זהויות וגישה, אתה יכול להיות סמוך ובטוח בידיעה שהנתונים הרגישים של הארגון שלך מוגנים בצורה מקסימלית מבפנים.

Ekran System היא פתרון הכל-באחד שיעזור לך לא רק ליישם PUM ו-PAM אלא גם לציית לתקנות, לחוקים ולתקנים, וכן לעקוב אחר אבטחת סייבר שיטות עבודה מומלצות.