Privilegovaný přístup: Strategie

  • Článek
  • 9 min ke čtení

Microsoft doporučuje přijmout tuto strategii privilegovaného přístupu, aby se rychle snížila rizika pro vaši organizaci z útoků s vysokým dopadem a vysokou pravděpodobností na privilegovaný přístup.

Privilegovaný přístup by měl být nejvyšší prioritou zabezpečení v každé organizaci. Jakékoli ohrožení zabezpečení těchto uživatelů má vysokou pravděpodobnost významného negativního dopadu na organizaci. Privilegované uživatele mají přístup k důležitým obchodním prostředkům v organizaci, což téměř vždy způsobuje velký dopad, když útočníci napadnou jejich účty.

Tato strategie je založená na nulová důvěra (Zero Trust) principech explicitního ověřování, nejnižších oprávnění a předpokladu porušení zabezpečení. Microsoft vám poskytl pokyny k implementaci , které vám pomůžou rychle nasadit ochranu na základě této strategie.

Důležité

Neexistuje žádné "stříbrné" technické řešení, které magicky zmírní riziko privilegovaného přístupu. Je nutné kombinovat více technologií do holistického řešení, které chrání před více vstupními body útočníka. Organizace musí pro každou část úlohy přinést správné nástroje.

Proč je privilegovaný přístup důležitý?

Zabezpečení privilegovaného přístupu je zásadně důležité, protože je základem všech ostatních záruk zabezpečení. Útočník, který řídí vaše privilegované účty, může ohrozit všechny ostatní záruky zabezpečení. Z hlediska rizika je ztráta privilegovaného přístupu událostí s vysokou pravděpodobností, že dojde k alarmující frekvenci v různých odvětvích.

Tyto útočné techniky se původně používaly při cílených útocích na krádež dat, které vedly k mnoha vysoce profilovaným porušením u známých značek (a mnoha neohlášených incidentů). V poslední době tyto techniky přijali útočníci ransomwaru, kteří podnětili explozivní růst vysoce ziskových útoků ransomwaru provozovaných člověkem, které úmyslně narušují obchodní operace v celém odvětví.

Důležité

Ransomwar provozovaný člověkem se liší od útoků ransomwaru na jeden počítač, které cílí na jednu pracovní stanici nebo zařízení.

Tento obrázek popisuje, jak tento útok založený na vydírání roste s dopadem a pravděpodobností s využitím privilegovaného přístupu:

PLACEHOLDER

  • Vysoký dopad na firmu
    • Je obtížné přehodnocet potenciální obchodní dopad a poškození ztráty privilegovaného přístupu. Útočník s privilegovaným přístupem má plnou kontrolu nad všemi podnikovými prostředky a prostředky a umožňuje jim zpřístupnit jakákoli důvěrná data, zastavit všechny obchodní procesy nebo odvrátit obchodní procesy a počítače, aby poškodily majetek, ublížily lidem nebo horším. V každém odvětví jsme zaznamenali obrovský dopad na firmu s:
      • Cílená krádež dat – útočníci používají privilegovaný přístup k přístupu a krádeži citlivého duševního vlastnictví pro vlastní použití nebo k prodeji nebo přenosu na konkurenty nebo zahraniční vlády
      • Human-operated ransomware (HumOR) – útočníci používají privilegovaný přístup ke krádeži a/nebo šifrování všech dat a systémů v podniku, často zastavují všechny obchodní operace. Pak vydírání cílové organizace tím, že požaduje peníze, aby nezveřejnili data nebo poskytli klíče k jejich odemknutí.
  • Vysoká pravděpodobnost výskytu
    • Rozšíření útoků privilegovaného přístupu se rozrostlo od nástupu moderních útoků na krádež přihlašovacích údajů počínaje metodami předávání hodnot hash. Tyto techniky nejprve skočil v popularitě s zločinci počínaje vydáním 2008 útoku nástroj "Pass-the-Hash Toolkit" a rozrostly se do sady spolehlivých útočných technik (většinou na základě mimikatz toolkit). Tato zbraň a automatizace technik umožnila útoky (a jejich následný dopad) rychle růst, což je omezené pouze ohrožením zabezpečení cílové organizace před útoky a modely monetizace/pobídek útočníka.
      • Před nástupem ransomwaru provozovaného člověkem (HumOR) byly tyto útoky převládající, ale často neznámé nebo nepochopené z těchto důvodů:
        • Limity zpeněžení útočníka – Z těchto útoků mohou těžit pouze skupiny a jednotlivci, kteří věděli, jak zpeněžit citlivé duševní vlastnictví z cílových organizací.
        • Tichý dopad – Organizace tyto útoky často postrádaly, protože neměly detekční nástroje a také těžko viděly a odhadly výsledný obchodní dopad (například jak jejich konkurenti používali odcizené duševní vlastnictví a jak to ovlivnilo ceny a trhy, někdy i o několik let později). Organizace, které útoky viděly, o nich navíc často mlčely, aby chránily svou reputaci.
      • Omezení tichého dopadu i monetizace útočníka u těchto útoků se rozpadají s nástupem ransomwaru provozovaného člověkem, který roste v objemu, dopadu a povědomí, protože se jedná o obojí:
        • Hlasitý a rušivý - obchodním procesům k platbě požadavků na vydírání.
        • Všeobecně použitelná – každá organizace v každém odvětví má finanční motivaci pokračovat v provozu bez přerušení.

Z těchto důvodů by měl být privilegovaný přístup nejvyšší prioritou zabezpečení v každé organizaci.

Vytvoření strategie privilegovaného přístupu

Strategie privilegovaného přístupu je cesta, která se musí skládat z rychlých vítězství a přírůstkového průběhu. Každý krok ve strategii privilegovaného přístupu vás musí přiblížit k "zapečetění" trvalých a flexibilních útočníků z privilegovaného přístupu, kteří jsou jako voda, která se snaží prorazit do vašeho prostředí prostřednictvím jakékoli dostupné slabiny.

Tyto pokyny jsou určené pro všechny podnikové organizace bez ohledu na to, kde už jste na cestě.

Holistické praktické strategie

Snížení rizika z privilegovaného přístupu vyžaduje promyšlenou, holistickou a prioritní kombinaci rizik, která pokrývají více technologií.

Vytvoření této strategie vyžaduje uznání, že útočníci jsou jako voda, protože mají řadu možností, které mohou využít (z nichž některé se mohou zpočátku zdát nevýznamné), útočníci jsou flexibilní, ve kterých používají ty, které používají, a obecně se snaží dosáhnout svých cílů co nejmenší odolností.

Attackers are like water and can appear insignificant at first but, flood over time

Cesty, které útočníci ve skutečné praxi upřednostňují, jsou kombinací:

  • Zavedené techniky (často automatizované do útočných nástrojů)
  • Nové techniky, které se snadněji využívají

Vzhledem k rozmanitosti zapojených technologií vyžaduje tato strategie úplnou strategii, která kombinuje více technologií a dodržuje nulová důvěra (Zero Trust) principy.

Důležité

Musíte přijmout strategii, která zahrnuje několik technologií pro ochranu proti těmto útokům. Stačí implementovat řešení pro správu identit nebo správu privilegovaného přístupu (PIM/PAM). Další informace najdete v tématu Zprostředkovatelé privilegovaného přístupu.

  • Útočníci jsou cílení a nezávislí na technologiích a používají jakýkoli typ útoku, který funguje.
  • Páteřní síť řízení přístupu, kterou bráníte, je integrovaná do většiny nebo všech systémů v podnikovém prostředí.

Pokud očekáváte, že tyto hrozby můžete detekovat nebo zabránit pouze pomocí řízení sítě nebo jednoho řešení s privilegovaným přístupem, budete zranitelní vůči mnoha dalším typům útoků.

Strategický předpoklad – Cloud je zdrojem zabezpečení

Tato strategie používá cloudové služby jako primární zdroj možností zabezpečení a správy místo místních technik izolace z několika důvodů:

  • Cloud má lepší možnosti – nejvýkonnější funkce zabezpečení a správy, které jsou v současné době k dispozici, pocházejí z cloudových služeb, včetně sofistikovaných nástrojů, nativní integrace a obrovského množství inteligentních informací o zabezpečení, jako je 8 nebo bilión bezpečnostních signálů za den, který Microsoft používá pro naše nástroje zabezpečení.
  • Cloud je jednodušší a rychlejší – přechod na cloudové služby vyžaduje pro implementaci a vertikální navýšení kapacity jen malou nebo žádnou infrastrukturu, takže se týmy můžou soustředit na své bezpečnostní cíle místo na integraci technologií.
  • Cloud vyžaduje menší údržbu – cloud také spravuje, udržuje a zajišťuje konzistentně organizace dodavatelů s týmy vyhrazenými pro tento jediný účel pro tisíce zákaznických organizací, což snižuje dobu a úsilí vašeho týmu při důsledné údržbě schopností.
  • Cloud se neustále zlepšuje – funkce a funkce v cloudových službách se neustále aktualizují, aniž by vaše organizace potřebovala průběžně investovat.

Doporučená strategie Microsoftu spočívá v postupném vytváření systému uzavřených smyček pro privilegovaný přístup, který zajistí, aby se pro privilegovaný přístup k podnikovým citlivým systémům mohla používat pouze důvěryhodná "čistá" zařízení, účty a zprostředkující systémy.

Podobně jako u hydroizolace něčeho složitého v reálném životě, jako je loď, musíte navrhnout tuto strategii s úmyslným výsledkem, pečlivě stanovit a dodržovat standardy a průběžně monitorovat a auditovat výsledky, abyste případné úniky napravit. Nebyli byste jen nehtové desky společně ve tvaru lodi a magicky očekávat nepromokavé lodi. Nejprve byste se zaměřili na vytváření a hydroizolace významných položek, jako je trup a kritické součásti, jako je motor a mechanismus řízení (a zároveň ponechat způsoby, jak se lidé dostat dovnitř), pak později hydroizolace pohodlné položky, jako jsou rádia, sedadla, a podobně. Budete ji také udržovat v průběhu času, protože i ten nejdokonalejší systém by později mohl způsobit únik, takže musíte držet krok s preventivní údržbou, monitorovat úniky a opravit je, aby se zabránilo potopení.

Zabezpečení privilegovaného přístupu má dva jednoduché cíle.

  1. Striktně omezit možnost provádět privilegované akce na několik autorizovaných cest
  2. Chraňte a pečlivě sledujte tyto cesty

Existují dva typy cest pro přístup k systémům, přístup uživatelů (pro použití této schopnosti) a privilegovaný přístup (pro správu schopnosti nebo přístupu k citlivým možnostem).

Two pathways to systems user and privileged access

  • Uživatelský přístup – světlejší modrá cesta v dolní části diagramu znázorňuje standardní uživatelský účet, který provádí obecné úlohy produktivity, jako je e-mail, spolupráce, procházení webu a používání obchodních aplikací nebo webů. Tato cesta zahrnuje přihlášení účtu k zařízení nebo pracovním stanicím, někdy procházejícího zprostředkovatelem, jako je řešení vzdáleného přístupu, a interakci s podnikovými systémy.
  • Privilegovaný přístup – tmavší modrá cesta v horní části diagramu znázorňuje privilegovaný přístup, kde privilegované účty, jako jsou správci IT nebo jiné citlivé účty, přistupují k důležitým obchodním systémům a datům nebo provádějí úlohy správy v podnikových systémech. I když technické komponenty mohou mít podobnou povahu, poškození, které může nežádoucí osoba způsobit privilegovanému přístupu, je mnohem vyšší.

Systém pro správu úplného přístupu zahrnuje také systémy identit a autorizované cesty ke zvýšení oprávnění.

Two pathways plus identity systems and elevation paths

  • Systémy identit – poskytují adresáře identit, které hostují účty a skupiny pro správu, synchronizační a federační funkce a další funkce podpory identit pro standardní a privilegované uživatele.
  • Cesty autorizovaného zvýšení oprávnění – poskytují standardním uživatelům prostředky pro interakci s privilegovanými pracovními postupy, jako jsou manažeři nebo partneři, kteří schvalují žádosti o oprávnění správce k citlivému systému prostřednictvím procesu JIT (Just In Time) v systému privileged Access Management / Privileged Identity Management.

Tyto komponenty společně tvoří prostor pro útok s privilegovaným přístupem, na který může nežádoucí osoba cílit, aby se pokusil získat zvýšený přístup k vašemu podniku:

Attack surface unprotected

Poznámka

U místních systémů a systémů infrastruktury jako služby (IaaS) hostovaných v operačním systému spravovaném zákazníkem se prostor pro útoky výrazně zvyšuje díky agentům správy a zabezpečení, účtům služeb a potenciálním problémům s konfigurací.

Vytvoření strategie udržitelného a spravovatelného privilegovaného přístupu vyžaduje uzavření všech neautorizovaných vektorů, aby se vytvořil virtuální ekvivalent řídicí konzoly fyzicky připojené k zabezpečenému systému, který představuje jediný způsob, jak k ní přistupovat.

Tato strategie vyžaduje kombinaci:

  • nulová důvěra (Zero Trust) řízení přístupu popsané v těchto pokynech, včetně plánu rychlé modernizace (RAMP)
  • Ochrana prostředků pro ochranu před přímými útoky na prostředky použitím správných hygienických postupů zabezpečení na tyto systémy. Ochrana prostředků pro prostředky (mimo komponenty řízení přístupu) je mimo rozsah těchto pokynů, ale obvykle zahrnuje rychlé použití aktualizací/oprav zabezpečení, konfiguraci operačních systémů pomocí standardních hodnot zabezpečení výrobce/odvětví, ochranu neaktivních uložených a přenášených dat a integraci osvědčených postupů zabezpečení do procesů vývoje / DevOps.

Reduce the attack surface

Strategické iniciativy na cestě

Implementace této strategie vyžaduje čtyři doplňkové iniciativy, z nichž každá má jasné výsledky a kritéria úspěchu.

  1. Zabezpečení celé relace – Vytvořte explicitní ověřování nulová důvěra (Zero Trust) pro privilegované relace, uživatelské relace a cesty autorizovaného zvýšení oprávnění.
    1. Kritéria úspěchu: Každá relace před povolením přístupu ověří, jestli jsou všechny uživatelské účty a zařízení důvěryhodné na dostatečné úrovni.
  2. Ochrana & monitorovaných systémů identit, včetně adresářů, správy identit, účtů správců, udělení souhlasu a dalších
    1. Kritéria úspěchu: Každý z těchto systémů bude chráněn na úrovni odpovídající potenciálnímu obchodnímu dopadu účtů, které jsou v něm hostované.
  3. Zmírnění laterálního procházení za účelem ochrany před laterálním procházením pomocí hesel místního účtu, hesel účtu služby nebo jiných tajných kódů
    1. Kritéria úspěchu: Ohrožení jednoho zařízení okamžitě nevede k řízení mnoha nebo všech ostatních zařízení v prostředí.
  4. Rychlá reakce na hrozby za účelem omezení nežádoucího přístupu a času v prostředí
    1. Kritéria úspěchu: Procesy reakce na incidenty brání nežádoucím procesům v spolehlivém provedení vícefázového útoku v prostředí, který by způsobil ztrátu privilegovaného přístupu. (měřeno zkrácením střední doby nápravy (MTTR) incidentů zahrnujících privilegovaný přístup téměř k nule a snížením mttr všech incidentů na několik minut, aby nežádoucí strany neměli čas cílit na privilegovaný přístup)

Další kroky