ניהול משתמשים פריבלגים מול ניהול גישה פריבלגי

בנוף אבטחת הסייבר המתפתח במהירות של היום, ניהול גישה פריבילגית הפך לדאגה קריטית עבור ארגונים בכל הגדלים. שתי גישות נפוצות לניהול גישה פריבילגית הן ניהול משתמשים פריבילגיים (PUM) וניהול גישה פריבילגית (PAM). במאמר זה, אנו משווים גישות PUM לעומת PAM וחוקרים מדוע הן חשובות לאבטחת הארגון שלך.

בעיית ההרשאות הבלתי מבוקרות

ככל שיש לך פחות שליטה, כך אתה מסכן יותר כסף.

נתחיל בהגדרה של גישה פריבילגית. זוהי גישה לנתונים, למערכות ולמחשבים שאינם זמינים למשתמשים רגילים. גישה פריבילגית שמורה לעתים קרובות לאנשי צוות מהימנים ומורשים, כגון מנהלי מערכות, מהנדסי רשת ומנהלים הזקוקים להרשאות מוגברות לניהול מערכות, יישומים ונתונים קריטיים.

במילים פשוטות, גישה פריבילגית היא מפתח שפותח את הדלת לחלקים הרגישים והיקרים ביותר של התשתית הדיגיטלית של הארגון. עם מפתח זה, משתמש יכול לבצע מגוון רחב של פעולות, מהתקנת תוכנה חדשה והגדרת הגדרות רשת ועד גישה לנתונים סודיים.

עם זאת, אם פרטי גישה פריבילגיים יגיעו לידיים הלא נכונות, הדבר עלול להוביל לתוצאות קשות על הארגון.

אם למשתמשים זדוניים יש פרטי גישה פריבילגיים, הם יכולים לגשת למשאבים קריטיים לעסקים שונים, כולל:

• מערכות קריטיות: עם גישה לחשבון פריבילגי לגיטימי, תוקפים יכולים להשתמש בחופשיות במשאבים מוגבלים ולחסום את הגישה של משתמשים אחרים למערכות קריטיות לעסק.
• מסדי נתונים: ברגע שתוקפים משיגים פרטי גישה פריבילגיים, הם יכולים לגשת למידע המאוחסן במסדי הנתונים של החברה שלך, להעתיק אותו, לשנות אותו ואפילו להשמיד אותו.
• יישומים: תהליכי תקשורת שונים בין יישומים כוללים גם שימוש בפרטי גישה פריבילגיים. אם תוקף ישיג את פרטי הגישה האלה, הוא עלול לשבש תהליכים עסקיים קריטיים.
• סביבות ענן: בסביבות ענן ובסביבות קונטיינרים נדרשים מפתחות וסודות ניהול מיוחדים כדי ליצור מופעים חדשים, לנהל עומסי עבודה ולתקשר עם מסדי נתונים. תוקפים שמשיגים גישה לפרטי הגישה האלה יכולים לחבל במשאבי הענן ובמידע בעל ערך.

זו הסיבה שפושעי סייבר המבקשים להשיג את הנתונים הרגישים והסודיים שלך מחפשים לעתים קרובות פרטי גישה פריבילגיים. עם זאת, הבעיה האקוטית ביותר היא שטעות אנוש היא בדרך כלל הסיבה להתקפות סייבר מוצלחות.

בעוד שאנשים מסוימים עשויים לאחסן את הסיסמאות שלהם בפתקים נגישים בקלות, אחרים יכולים ללחוץ על קישורי דוא"ל חשודים מבלי להתחשב בהשלכות. עם זאת התוצאה היא תמיד זהה: תוקף, בין אם גורם פנימי זדוני ובין אם פורץ חיצוני, משיג גישה למידע עסקי קריטי.

הסיבות העיקריות לשלוט בגישה פריבילגית

מספרים מדברים חזק יותר ממילים.

על פי דוח Cost of a Data Breach 2022 על ידי מכון Ponemon ו-IBM, וקטור התקיפה הנפוץ ביותר בשנת 2022 היה פרטי גישה גנובים או פרוצים. מקרים עם וקטור תקיפה זה היוו 19% מהפרצות, ועלותן הממוצעת הייתה 4.50 מיליון דולר.

יתר על כן, על פי אותו דיווח, פרצות שמקורן בפרטי גישה גנובים או פרוצים ארכו את הזמן הרב ביותר מבין וקטורי התקיפה הנפוצים: 243 ימים לזיהוי ו-84 ימים להכלה (327 ימים בסך הכל). במילים אחרות, ארגונים צריכים כמעט שנה כדי לזהות ולהכיל מתקפת סייבר שנגרמה על ידי פרטי גישה שנגנבו או נפרצו. זמן הזיהוי והבלימה הארוך הזה יכול להיות נושא קריטי עבור ארגונים, מכיוון שהוא עלול לגרום לאובדן משמעותי של נתונים רגישים ונכסים פיננסיים יחד עם נזק למוניטין.

מלבד פרצות נתונים, הפסדים כספיים ופגיעה במוניטין, ישנן סיבות נוספות לשלוט בגישה פריבילגית.

לדוגמה, שליטה בגישה פריבילגית באמצעות תוכנה ייעודית ותהליך מעמיק של סקירת הרשאות משתמשים יכול לעזור לך לבנות אמון עם הלקוחות, מחזיקי העניין והשותפים שלך. אם תוכיח שאתה מתייחס לאבטחת מידע ברצינות ועושה כמיטב יכולתך להגן על מידע רגיש, הארגון שלך ייחשב כאמין יותר ובטוח יותר עבור הלקוחות שלך.

כאשר מיושם נכון, ניהול גישה פריבילגית יכול לייעל את הפעילות שלך, להפחית את הסיכון לשגיאות ולהבטיח שלעובדים תהיה הגישה הדרושה למערכות שהם צריכים כדי לבצע את עבודתם ביעילות.

לבסוף, בוא לא נשכח ששליטה בגישה פריבילגית היא אחת הדרישות העיקריות של תקני NIST ו-PCI DSS, של חוק Sarbanes-Oxley ושל HIPAA. זו הסיבה שהקמת נוהלי ניהול נכונים של משתמשים בעלי הרשאות היא חיונית עבור ארגונים בכל גודל ובכל תחום.

עכשיו, לאחר שהבנת מדוע חיוני לשלוט בגישה פריבילגית, נעמיק בניהול משתמשים פריבילגיים ובניהול גישה פריבילגית.

ניהול גישה מועדף

ניהול גישה פריבילגית, או PAM, עוסק בהעלאת ההרשאות הנוכחיות.

מהו ניהול גישה פריבילגית (PAM)? לפי Gartner, PAM הוא מונח גג לכל מיני פתרונות ניהול הרשאות. עם זאת, במאמר זה, אנו ניגשים ל-PAM מנקודת מבט ממוקדת במשתמש, תוך התמקדות בתפקידה כתהליך ולא כפתרון יחיד.

בבסיסו, ניהול גישה פריבילגית כרוך בניהול הרשאות חד-פעמיות המעלות באופן זמני את ההרשאות של משתמשים רגילים לפי בקשה. גרטנר מתייחסת לסוג זה של בקרת הרשאות כאל ניהול העלאת הרשאות והאצלתן (PEDM). אבל הנה דרך קלה יותר לחשוב על זה.

בארגונים רבים, ישנם מתקנים עם הגבלות גישה שונות:

• מתקנים בסיסיים שכל עובד או אפילו אורח יכולים להיכנס אליהם באופן חופשי
• מתקני עבודה שכל העובדים הרגילים של הארגון יכולים להיכנס אליהם
• אזורים מוגבלים שרק אנשים עם רמות גישה מיוחדות יכולים להיכנס אליהם

עכשיו, תאר לעצמך שכדי לגשת לסוג השלישי של מתקן, אתה צריך לבקש הרשאת גישה מיוחדת – נניח, תג שיאפשר לך לעבור את הבידוק הביטחוני. לאחר שתסיים את עבודתך, עליך להחזיר את התג לקצין האבטחה: פג תוקף ההרשאה שלך.

הטריק הוא שבתג זה יהיה השם שלך, כך שאתה תהיה האדם היחיד שיכול להשתמש בו. יתר על כן, אתה יכול להשתמש בתג זה רק פעם אחת לצורך גישה למתקן ספציפי. כך עובד PAM.

במילים אחרות, PAM מאפשרת למשתמשים רגילים לבקש גישה לנתונים, יישומים או מערכות מוגנים מהחשבונות הנוכחיים שלהם. בדומה לעקרון ההרשאות המינימליות, הרעיון המרכזי של PAM הוא שאין דבר כזה ברשת שלך כמו משתמש רגיל עם גישה קבועה לנתונים רגישים.

תוכל להרחיב גישה זו על ידי יישום גישת PAM JIT המעניקה גישה פריבילגית רק לזמן מוגבל מאוד כדי להפחית את הסיכון של גישה לא מורשית או שימוש לרעה. כמו כן, שקול להשתמש במודל אבטחת אפס אמון (Zero Trust), שיש לו שני מאפיינים חשובים:

• אין היקף מאובטח כללי – במקום לאבטח את ההיקף של הרשת כולה, כל יישום קריטי, נקודת קצה ומסד נתונים מאובטח בנפרד. משתמש יכול לגשת לנקודת קצה מסוימת רק אם יש לו את רמת הרשאת הגישה הנכונה.
• אין הפרדה בין משתמשים מהימנים למשתמשים שאינם מהימנים – במודל אפס אמון, אף אחד אינו אמין כברירת מחדל. משתמש יכול לקבל גישה לנכסים מוגנים רק אם הוא מאמת את זהותו, כגון באמצעות אימות רב גורמי (MFA).

אם נחזור ליתרונות של PAM, ברצוננו להדגיש שרמת הפירוט של הגישה הוא זה שעושה את כל ההבדל. ליתר דיוק, PAM יכול לאפשר לך לציין:

• מי מקבל גישה
• למה בדיוק המשתמשים מקבלים גישה
• לכמה זמן ניתנת גישה
• מה מותר למשתמשים עם גישה לעשות בתוך ההיקף המוגן

עם PAM, אתה יכול להגדיר מספר רמות גישה גבוהות ולציין אילו סוגי פעולות מותרים ומוגבלים עבור כל אחת מהן.

לדוגמה, עובדים עם רמת גישת משתמש בסיסית עשויים להיות מסוגלים לקרוא נתונים מוגנים אך לא יוכלו לשנות או למחוק אותם. כדי לשנות את הנתונים המוגנים, הם יזדקקו לרמת סמכות גבוהה יותר, כמו זו של מנהל מערכת. זה הופך את PAM לפתרון רב עוצמה, פרטני ומורכב לניהול הרשאות.

בואו נעביר את תשומת הלב שלנו ל-PUM.

ניהול משתמשים פריבילגיים

PUM עוסקת בשיתוף הרשאות עם אחרים.

זוכר את הדוגמה שלנו עם מתקנים מוגבלים? עכשיו דמיינו שאתם עדיין צריכים לקבל תג מיוחד. אבל הפעם, יש מספר מוגבל של תגים אלה. ובניגוד לסוג הראשון של תג, לזה אין תאריך תפוגה. יתרה מכך, השם שלך לא רשום עליו, אז אתה יכול להשתמש בו בעצמך, או שאתה יכול למסור אותו לאחד מעמיתיך ולבקש מהם לבצע את העבודה. כך פועל ניהול משתמשים פריבילגיים, או PUM.

מה זה PUM בדיוק? עד כמה שזה נשמע מבלבל, ניהול משתמשים פריבילגיים עוסק בחשבונות ולא באנשים מסוימים.

מהו ניהול משתמשים פריבילגיים?

ניהול משתמשים פריבילגיים הוא תהליך של ניהול חשבונות פריבילגיים עם גישה קבועה לנכסים קריטיים. PUM אחראית לניהול ואבטחת חשבונות מנהל מערכת וחשבונות root.

מונח נוסף ל-PUM שנמצא בשימוש נרחב הוא ניהול זהויות פריבילגיות (PIM), שבו חשבונות פריבילגיים נתפסים כזהויות דיגיטליות ולא אנשים מסוימים. סוג זה של בקרת הרשאות קרובה גם למה שגרטנר מכנה ניהול גישה וסשנים פריבילגיים (PASM).

למשתמשים פריבילגיים יש יותר הרשאות מאשר לצוות רגיל. ניהול משתמשים פריבילגיים עוסק במתן גישה מלאה וקבועה לעובדים כאלה לנתונים, ליישומים ולמערכות מוגנים. בדרך כלל, כמה עובדים יכולים להיכנס למערכת כמשתמשים פריבילגיים תחת אותו חשבון. לכן, PUM הוא ספציפי לחשבון.

קטגוריות עיקריות של חשבונות פריבילגיים

אנו יכולים לפצל את כל החשבונות הפריבילגיים לשתי קטגוריות גדולות:

חשבונות אנושיים משויכים למשתמשים בודדים ודורשים הרשאות מוגברות (התקנת תוכנה או שינוי הגדרות מערכת), בעוד שחשבונות לא אנושיים הם חשבונות יישומים הדורשים גישה ברמת המערכת. כלומר, חשבונות הרשאות אנושיות משמשים אנשים לגישה למערכות, יישומים ונתונים.

חשבונות שאינם אנושיים משמשים יישומים, שירותים ותהליכים אוטומטיים אחרים. ומכיוון שחשבונות לא אנושיים אינם משויכים למשתמש בודד, הם עלולים להיות קשים יותר לניהול ולאבטחה.

סוגים עיקריים של חשבונות פריבילגיים

אם נחלק את החשבונות הפריבילגיים לסוגים, נוכל להגדיר את הסוגים הנפוצים ביותר:

• מנהלים מקומיים: חשבונות משותפים ולא אישיים המספקים גישה ניהולית למערכת המקומית ולשירותיה. חשבונות אלה משמשים בדרך כלל להגדרת תחנות עבודה חדשות ולתחזוקת המערכת.
• מנהלי דומיין: חשבונות עם גישה בלתי מוגבלת לכל השרתים ותחנות העבודה בדומיין של Windows. לחשבונות אלה שליטה מלאה על כל בקרי הדומיין ועל חשבונות הניהול בדומיין.
• משתמשים פריבילגיים: חשבונות משתמש עם הרשאות גבוהות, המשמשים בדרך כלל לביצוע משימות עסקיות ולעבודה עם נתונים קריטיים. חשבונות משתמש פריבילגיים יכולים להיות משותפים לכמה עובדים או מוקצים לאדם מסוים.
• חשבונות שירות: כל סוג של חשבון מוגן (מקומי או בדומיין) שיישומים ושירותים משתמשים בו כדי לתקשר עם מערכת ההפעלה.
• חשבונות יישומים: חשבונות שיישומים משתמשים בהם כדי לגשת למשאבי מערכת, למסדי נתונים וליישומים אחרים. פרטי הגישה של חשבונות אלה משותפים לעתים קרובות ברחבי הרשת.
• חשבונות חירום: חשבונות מיוחדים שמשמשים לגישה למערכות או לנתונים מוגנים במקרה חירום.

• משתמשים מועדפים – חשבונות משתמש עם הרשאות גבוהות, המשמשים בדרך כלל לפתרון משימות הקשורות לעסק ולעבודה עם נתונים קריטיים. חשבונות משתמש מועדפים יכולים להיות משותפים למספר עובדים או להקצות לאדם מסוים.

• חשבונות שירות – כל סוג של חשבון מוגן (מקומי או תחום) שיישומים ושירותים משתמשים בהם לצורך אינטראקציה עם מערכת ההפעלה.

השימוש בחשבונות פריבילגיים משותפים מגביר באופן משמעותי את הסיכון לפרצות נתונים. הבעיה היא שארגונים מסוימים שומרים את פרטי הגישה של חשבונות כאלה בקבצי טקסט לא מוצפנים איפשהו ברשת. ואם קובץ כזה נופל לידיים הלא נכונות, התוקפים עלולים לגנוב את כל הנתונים היקרים על ידי גישה אליו דרך חשבון שנפרץ.

יתרה מכך, למרות שניתן לעקוב אחר הפעילות של משתמשים בעלי הרשאות, זה עשוי להיות אתגר רציני לקבוע מי עשה מה בחשבון משותף. זה יוצר קשיים משמעותיים בעת חקירת אירועי אבטחת סייבר.

למרבה המזל, יש הרבה נוהלי PUM יעילים שיכולים לתת מענה לבעיה זו, ואחד האמינים שבהם הוא אימות משני. עם אימות משני, משתמשים שנכנסים לחשבון משותף נדרשים גם להתחבר לחשבון האישי שלהם ולעבור אימות זהות נוסף. על ידי כך, אתה יכול לשייך סשן מסוים שהתחיל תחת חשבון משותף למשתמש ספציפי, ובכך לשפר את האחריות ולהפחית את הסיכון לפרצות מידע.

הבדלי PUM לעומת PAM

האם עליך להשתמש ב-PUM או ב-PAM כדי לאבטח את הנתונים היקרים שלך?

לבסוף, בואו נרד ליסודות ונסכם את ההבדלים העיקריים בין PAM ל-PUM.

PAM מאפשר לך להגדיר הרשאות גישה ברמת המשתמש ולציין מי יכול לעשות מה לפי תפקידים או תכונות ספציפיות.

PUM, בתורו, יכולה להיות מועילה יותר בכל הנוגע לביצוע ביקורות אבטחה, מכיוון שהיא מאפשרת לך לערוך דוח על פעילותם של מספר מוגבל של חשבונות במקום לחקור את הפעילות של מספר משתמשים בעלי הרשאות מוגברות.< /p>

באופן כללי, PUM ו-PAM משלימים ולא מחליפים זה את זה. אז במקום להשוות PUM לעומת PAM, עדיף לשלב את שתי הגישות הללו לניהול גישה פריבילגית בארגון שלך.

Syteca יכולה לעזור לך להפיק את המרב משתי גישות ניהול ההרשאות הללו. על ידי פריסת פלטפורמת Syteca, אתה יכול:

• נטר משתמשים בעלי הרשאות עם פתרון PAM שנכלל במדריך המעשי NIST SP 1800-18 (טיוטה, 2018)
• נטר סשנים פריבילגיים ונהל אותם עם יכולות PASM
• צמצם סיכוני אבטחת סייבר עם יכולות גישה פריבילגית בזמן הנדרש (Just-in-Time)
• שלוט באופן מפורט בהרשאות הגישה
• אמת את זהויות המשתמשים באמצעות ניהול זהויות וכלי MFA
• הוסף נראות לפעילות בחשבונות משותפים בעזרת אימות משני
• השתמש בהתראות מובנות או הגדר התראות מותאמות אישית לזיהוי התנהגות חריגה של משתמשים בעלי הרשאות
• בדוק את הפעילות של משתמשים בעלי גישה פריבילגית וקבל דוחות מקיפים
• עמוד בדרישות רגולציה ותקינה בתחום ה-IT

יתר על כן, אתה יכול לשלב את Syteca עם מערכת ה-SIEM ומערכת ניהול הקריאות (ticketing) שלך עבור בקרת גישה נוספת ופירוט.

מסקנה

ניהול גישה פריבילגית וניהול משתמשים פריבילגיים הם שתי גישות משלימות שיכולות לעבוד יחד בצורה חלקה כדי לעזור לך לנהל את הגישה לנתונים, יישומים ומערכות רגישים. כאשר משווים PUM לעומת PAM, חשוב לציין כי:

• PUM מתמקדת בחשבונות ספציפיים שבדרך כלל מובנים במערכת או באפליקציה, משותפים ומוגבלים במספרם.
• PAM מתמקדת במשתמשים רגילים המבקשים העלאת הרשאות זמנית כדי להשלים משימה ספציפית.

על ידי שימוש ב-PUM ו-PAM ביחד, ארגונים יכולים ליהנות מרמה גבוהה יותר של גמישות גישה והגנה משופרת על נתונים רגישים. ואם אתה משלב אותם עם פתרונות ניהול זהויות וגישה, אתה יכול להיות סמוך ובטוח בידיעה שהנתונים הרגישים של הארגון שלך מוגנים בצורה מקסימלית מבפנים.

Syteca היא פתרון הכל-באחד שיעזור לך לא רק ליישם PUM ו-PAM אלא גם לציית לתקנות, לחוקים ולתקנים, וכן ליישם שיטות עבודה מומלצות לאבטחת סייבר.