Privilegovaný přístup: Strategie

Společnost Microsoft doporučuje přijmout tuto strategii privilegovaného přístupu, která by rychle snížila rizika pro vaši organizaci z útoků s vysokým dopadem a vysokou pravděpodobností na privilegovaný přístup.

Privilegovaný přístup by měl být nejvyšší prioritou zabezpečení v každé organizaci. Jakýkoli kompromis těchto uživatelů má vysokou pravděpodobnost, že bude mít pro organizaci významný negativní dopad. Privilegované uživatele mají přístup k důležitým obchodním prostředkům v organizaci, což téměř vždy způsobuje zásadní dopad, když útočníci nahromžují své účty.

Tato strategie je postavená na principech nulové důvěryhodnosti explicitního ověřování, nejmenšího oprávnění a předpokladu porušení. Microsoft vám poskytl pokyny k implementaci, které vám pomůžou rychle nasadit ochranu založenou na této strategii.

Proč je privilegovaný přístup důležitý?

Zabezpečení privilegovaného přístupu je velmi důležité, protože je základem všech ostatních záruk zabezpečení, takže útočník, který má pod kontrolou vaše privilegované účty, může narušit všechny ostatní záruky zabezpečení. Z hlediska rizik je ztráta privilegovaného přístupu událost s vysokým dopadem s vysokou pravděpodobností, že se stane, a roste alarmující rychlostí v různých odvětvích.

Tyto techniky útoku se původně používaly při cílených útocích na krádeže dat, které vedlo k mnoha porušením vysokých profilů u známých značek (a mnoha nehlášených incidentů). V poslední době tyto techniky přijali útočníci ransomwaru, které podnětují explozivní růst vysoce ziskových útoků ransomwaru provozovaných lidmi, které záměrně narušují obchodní operace v různých odvětvích.

Tento obrázek popisuje, jak tento útok založený na vydírání roste s dopadem a pravděpodobností pomocí privilegovaného přístupu:

• Vysoký dopad na firmy
  • Potenciální obchodní dopad a poškození ztráty privilegovaného přístupu je obtížné přetížovat. Útočníci, kteří mají privilegovaný přístup, mají úplnou kontrolu nad veškerými podnikovými prostředky a zdroji, což jim umožňuje zpřístupnit veškerá důvěrná data, zastavit všechny obchodní procesy nebo podvést obchodní procesy a stroje k poškození majetku, ubližování lidem nebo k horšímu. Ve všech odvětvích je vidět velký dopad na firmy:
    • Cílené krádeže dat – útočníci používají privilegovaný přístup k citlivému duševnímu vlastnictví a k jejich vlastnímu použití nebo k prodeji/přenosu vašim konkurentům nebo cizím vládám.
    • Ransomwar provozovaný lidmi (HumOR) – útočníci používají privilegovaný přístup k krádeži a/nebo šifrování všech dat a systémů v podniku, často zastavují všechny obchodní operace. Potom vydírá cílovou organizaci tím, že požaduje peníze, aby data nezveřejněla a/nebo aby je odemknula.
• Vysoká pravděpodobnost výskytu
  • Výskyt útoků s privilegovaný přístup se od příchodu moderních útoků krádeží přihlašovacích údajů od doby, kdy začaly využívat techniku hash, zvýšila. Tyto techniky se poprvé propadly popularitě u zločinců počínaje vydáním nástroje pro útok z roku 2008 "Pass-the-Hash Toolkit" a dospěly do sady spolehlivých technik útoku (většinou založeného na sadě nástrojů Mimikatz). Tato odzbrojení a automatizace technik umožnila rychlému růstu útoků (a jejich následného dopadu) omezeném pouze zranitelností cílové organizace vůči útokům a modely zpeněžení/pobídek útočníka.
    • Před příchodem ransomwaru provozovaných lidmi (HumOR) se tyto útoky převládaly, ale často se nepochopily, protože:
      • Limity zpeněžení útočníků – Z těchto útoků profitují jenom skupiny a jednotlivci, kteří věděli, jak zpeněžit citlivé duševní vlastnictví od cílových organizací.
      • Tichý dopad : Organizace často zmeškaly tyto útoky, protože neměli nástroje pro zjišťování a také měli těžké vidět a odhadnout výsledný dopad na firmy (například to, jak jejich konkurenti používají jejich odcizené duševní vlastnictví a jak to ovlivnilo ceny a trhy, někdy i o několik let později). Kromě toho organizace, které útoky viděly, o nich často mlčely, aby chránily jejich reputaci.
    • Omezení tichého dopadu a zpeněžení útočníků na tyto útoky se rozpadají s příchodem ransomwaru provozovaných lidmi, který roste objemem, dopadem a povědomím, protože jde o obojí:
      • Hlasitá a rušivá – pro obchodní procesy s platbou vydíracích požadavků.
      • Všeobecně použitelné – Každá organizace v každém odvětví je finančně motivovaná k nepřerušovaným operacím.

Z těchto důvodů by měl být privilegovaný přístup nejvyšší prioritou zabezpečení v každé organizaci.

Vytvoření strategie privilegovaného přístupu

Strategie privilegovaného přístupu je cesta, která se musí skládat z rychlých výher a přírůstkového průběhu. Každý krok ve vaší strategii privilegovaného přístupu vás musí přiblížit k "zapečeťování" trvalých a flexibilních útočníků z privilegovaného přístupu, kteří se jako voda snaží prokousat vaše prostředí prostřednictvím jakékoli dostupné slabiny.

Tyto pokyny jsou určené pro všechny podnikové organizace bez ohledu na to, kde už jste na cestě.

Komplexní praktická strategie

Snížení rizik z privilegovaného přístupu vyžaduje promyšlenou, holistický a prioritní kombinaci zmírnění rizik zahrnujících více technologií.

Vytvoření této strategie vyžaduje uznání, že útočníci jsou jako voda, protože mají mnoho možností, které dají využít (z nichž některé se dají na první pohled zdát nevýznamné), útočníci jsou flexibilní, ve kterých používají ty, které používají, a obvykle se vydají na cestu nejmenší odolnosti k dosažení svých cílů.

Cesty, které útočníci upřednostní ve skutečné praxi, jsou kombinací:

• Zavedené techniky (často automatizované do nástrojů útoku)
• Nové techniky, které se snadněji využívají

Vzhledem k různorodosti technologií vyžaduje tato strategie úplnou strategii, která kombinuje více technologií a řídí se principy nulové důvěryhodnosti.

• Útočníci jsou cílení a technologie agnostik, a to pomocí jakéhokoli typu útoku, který funguje.
• Páteř řízení přístupu, kterou bráníte, je integrovaná do většiny nebo všech systémů v podnikovém prostředí.

Očekáváte, že tyto hrozby zjistíte nebo jim zabráníte jenom pomocí síťových ovládacích prvků nebo jediného privilegovaného řešení přístupu, takže budete zranitelní vůči mnoha dalším typům útoků.

Strategický předpoklad – Cloud je zdrojem zabezpečení

Tato strategie používá cloudové služby jako primární zdroj funkcí zabezpečení a správy a ne místní techniky izolace z několika důvodů:

• Cloud má lepší možnosti – Nejvýkonnější funkce zabezpečení a správy, které jsou dnes dostupné, pocházejí z cloudových služeb, včetně sofistikovaných nástrojů, nativní integrace a obrovského množství bezpečnostních funkcí, jako jsou 8+ triliardové bezpečnostní signály denně, které Microsoft používá pro naše nástroje zabezpečení.
• Cloud je jednodušší a rychlejší – zavádění cloudových služeb vyžaduje jen málo až žádnou infrastrukturu pro implementaci a rozšiřování, což umožňuje týmům soustředit se na jejich bezpečnostní poslání a ne na integraci technologií.
• Cloud vyžaduje menší údržbu – cloud je také spravovaný, spravovaný a konzistentní prostřednictvím organizací dodavatelů s týmy určenými k tomuto jedinému účelu pro tisíce zákaznických organizací a zkušenější čas a úsilí vašeho týmu o důslednou údržbu funkcí.
• Cloud se neustále vylepšuje – Funkce a funkce v cloudových službách se neustále aktualizují, aniž by vaše organizace průběžně investovala.

Vytvoření doporučené strategie

Doporučenou strategií Microsoftu je postupně vytvářet systém "uzavřené smyčky" pro privilegovaný přístup, který zajistí, aby pro privilegovaný přístup k systémům citlivým na firmy bylo možné používat jenom důvěryhodná "čistá" zařízení, účty a zprostředkovatelské systémy.

Podobně jako třeba voděodolnost něco složitého v reálném životě, jako je třeba loď, musíte tuto strategii navrhnout záměrně, pečlivě stanovit a dodržovat standardy a průběžně sledovat a kontrolovat výsledky, abyste opravíte případné úniky. Neočekáváte jenom nehtové desky společně ve tvaru lodě a kouzelně očekáváte nepromokavé čluny. Nejdřív byste se soustředil na stavební a nepromokavé prvky, jako je trup a kritické součásti, jako je motor a mechanismus řízení (a zároveň jste opustili možnosti, jak se dostat do budovy), a pak později nepromokavé pohodlné předměty, jako jsou rádia, sedadla a podobně. V průběhu času byste si ho také zachovali, protože i ten nejdokonalnější systém by mohl únik na jaře vyřešit později, takže je potřeba udržovat si kontrolu nad preventivní údržbou, sledovat úniky a opravit je, aby se nepotopil.

Zabezpečení privilegovaného přístupu má dva jednoduché cíle.

1. Přísně omezte možnost provádět privilegované akce na několik povolených drah.
2. Chraňte a pečlivě sledujte tyto dráhy

Existují dva typy cest pro přístup k systémům, přístup uživatelů (pro použití této možnosti) a privilegovaný přístup (pro správu funkce nebo přístup k citlivé funkci)

• Přístup uživatelů – světlejší modrá cesta v dolní části diagramu znázorňuje standardní uživatelský účet, který provádí obecné úkoly související s produktivitou, jako je e-mail, spolupráce, procházení webu a používání obchodních aplikací nebo webů. Tato cesta zahrnuje přihlášení účtu k zařízení nebo pracovním stanicm, někdy procházející zprostředkovatelem, jako je řešení vzdáleného přístupu, a interakci s podnikovými systémy.
• Privilegovaný přístup – tmavší modrá cesta v horní části diagramu znázorňuje privilegovaný přístup, kde privilegované účty, jako jsou správci IT nebo jiné citlivé účty, mají přístup k důležitým obchodním systémům a datům nebo provádějí administrativní úkoly v podnikových systémech. I když technické součásti mohou mít podobnou povahu, poškození, které může mít privilegovaný přístup, může být mnohem vyšší.

Součástí plného systému správy přístupu jsou taky systémy identit a povolené cesty ke zvýšení oprávnění.

• Systémy identit – poskytují adresáře identit, které hostují účty a skupiny pro správu, funkce synchronizace a federace a další funkce podpory identit pro standardní a privilegované uživatele.
• Povolené cesty ke zvýšení oprávnění – poskytují standardním uživatelům prostředky k interakci s privilegovanými pracovními postupy, jako jsou manažeři nebo kolegové, kteří schvalují žádosti o oprávnění správce citlivému systému prostřednictvím procesu JIT (Just In Time) v systému pro správu privilegovaného přístupu nebo privilegovaného přístupu.

Tyto součásti souhrnně zahrnují privilegovaný povrch útoku na přístup, na který se může adversary zaměřit, aby se pokusil získat zvýšený přístup k vašemu podniku:

Vytvoření strategie trvalého a spravovatelného privilegovaného přístupu vyžaduje uzavření všech neautorizovaných vektorů, aby se vytvořil virtuální ekvivalent řídicí konzole fyzicky připojené k zabezpečenému systému, který představuje jediný způsob, jak k němu získat přístup.

Tato strategie vyžaduje kombinaci:

• Řízení přístupu nulové důvěryhodnosti popsané v těchto pokynech, včetně plánu rychlé modernizace (RAMP)
• Ochrana majetku k ochraně před přímými útoky na aktiva použitím osvědčených bezpečnostních postupů pro tyto systémy. Ochrana majetku pro zdroje (kromě součástí řízení přístupu) je mimo rozsah těchto pokynů, ale obvykle zahrnuje rychlé použití aktualizací nebo oprav zabezpečení, konfiguraci operačních systémů pomocí standardních hodnot zabezpečení výrobce/odvětví, ochranu dat v klidu i při přenosu a integraci osvědčených postupů zabezpečení pro procesy vývoje a DevOps.

Strategické iniciativy na cestě

Provádění této strategie vyžaduje čtyři doplňkové iniciativy, které budou mít jasné výsledky a kritéria úspěchu.

1. End-to-end Session Security – Vytvoření explicitního ověření nulové důvěryhodnosti pro privilegované relace, relace uživatelů a povolené cesty ke zvýšení oprávnění.
   1. Kritéria úspěšnosti: Každá relace před povolením přístupu ověří, že každý uživatelský účet a zařízení jsou důvěryhodné na dostatečné úrovni.
2. Ochrana & systémů identit monitoru, včetně adresářů, správy identit, účtů správců, udělení souhlasu a dalších
   1. Kritéria úspěšnosti: Každý z těchto systémů bude chráněn na úrovni odpovídající potenciálnímu obchodnímu dopadu účtů, které jsou v nich hostované.
3. Zmírňovat laterální traversal, abyste se chránili před bočním procházením pomocí hesel místních účtů, hesel ke servisním účtům nebo jiných tajných kódů
   1. Kritéria úspěchu: Kompromitování jednoho zařízení okamžitě nepovede k řízení mnoha nebo všech ostatních zařízení v prostředí.
4. Rychlá reakce na hrozby pro omezení přístupu a času pro nenávratné spory v prostředí
   1. Kritéria úspěšnosti: Procesy odpovědí na incidenty brání protivným, aby spolehlivě prováděli vícestupňový útok v prostředí, které by vedlo ke ztrátě privilegovaného přístupu. (měřeno zkrácením střední doby pro nápravu (MTTR) incidentů zahrnujících privilegovaný přístup k nulu a zkrácení MTTR všech incidentů na několik minut, takže pronávratci nemají čas zaměřit se na privilegovaný přístup)

Další kroky

• Přehled zabezpečení privilegovaného přístupu
• Měření úspěšnosti
• Úrovně zabezpečení
• Privilegované přístupové účty
• Zprostředkovatelé
• Rozhraní
• Zařízení s privilegovaný přístup
• Enterprise přístupového modelu
• Vyřazení rozšířeného prostředí pro správu zabezpečení (ESAE)