České Radiokomunikace

Kontrola privilegovaných účtů je klíčovým prvkem bezpečnosti IT

Kontrola privilegovaných účtů je klíčovým prvkem bezpečnosti IT
Privilegované účty představují největší bezpečnostní zranitelnost IT systémů každé organizace. Počet takových účtů se přitom pohybuje v násobcích počtů běžných uživatelských účtů a následky jejich zneužití mohou být skutečně obrovské.

Privilegované účty představují cestu k nejcennějším informacím, které každá organizace v rámci svých informačních systémů spravuje. Tento typ účtů umožňuje přístup ke kriticky důležitým systémům a jejich ovládání, představuje ale i cestu, jak obejít standardní bezpečnostní mechanismy nebo jak manipulovat s citlivými daty uloženými v podnikových systémech a aplikacích. Typicky jde o administrátorské účty ke každému kusu softwaru a hardwaru provozovaného v rámci organizace, administrační skripty, uživatelské a aplikační účty, účty k sociálním sítím a mnoho dalších typů účtů. Celkový počet těchto privilegovaných účtů se zpravidla pohybuje mezi troj- až desetinásobkem počtu zaměstnanců organizace. To znamená, že organizace s 1 000 zaměstnanci musí často spravovat mezi 3 000 až 10 000 privilegovaných účtů, které představují zásadní bezpečnostní riziko.

Závažnost problému privilegovaných účtů odhaluje fakt, že při každém ze závažných kybernetických útoků byly zneužity právě tyto účty se silnými oprávněními, ale často nedostatečným řízením. Dopady zneužití privilegovaných účtů přitom mohou být velmi rozsáhlé a zásadní – od úniku či ztráty citlivých dat, přes odstávky klíčových IT systémů až po ztrátu důvěryhodnosti u zákazníků a obchodních partnerů. Zabezpečení privilegovaných účtů řeší také bezpečnostní normy pro oblast IT, konkrétně ISO 2700x, PCI DSS či Sans a rovněž i český Zákon o kybernetické bezpečnosti. Přesto se správci privilegovaných účtů v řadě firem a organizací stále spoléhají pouze na zabezpečení prostřednictvím statických přihlašovacích údajů.

Nedostatečná ochrana privilegovaných účtů

Privilegované přihlašovací údaje nalezneme v IT systémech v celé řadě podob, jako jsou hesla, uložená hesla (hash) či SSH klíče. Bezpečnost privilegovaných účtů je přitom zásadně závislá právě na stavu přihlašovacích údajů ke všem těmto silným účtům. Současným maximem v mnoha organizacích jsou ale jen běžné bezpečnostní politiky, jako je například nutnost pravidelné změny hesla. Tím je sice možná ošetřeno riziko zneužití zastaralých nebo statických přihlašovacích údajů, které nesplňují požadavky těchto bezpečnostních politik, ale nijak to neřeší ochranu před sofistikovanějšími způsoby kybernetických útoků ani zlepšení přehledu o tisících privilegovaných účtů v rámci IT prostředí organizace a způsobu jejich využívání.

Řízení přístupu k privilegovaným účtům

Při výběru PxM platformy na řízení privilegovaných účtů doporučujeme zvolit některé z integrovaných řešení, které bude díky svému jednotnému prostředí šetřit administrátorům čas a práci. Řízení přístupu k privilegovaným účtům pak zajistí, že se k systémům budou moci přihlásit skutečně jen oprávnění uživatelé, kteří navíc budou plně personalizováni díky odstranění anonymity sdílených účtů (root, admin atd.). Ochranu přístupu k systémům posílí také dvoufaktorová autentizace a součástí zavedení PxM má být rovněž nastavení workflow schvalování přístupů, aby správci neudělovali přístupová oprávnění sami sobě.

Pro přihlašovací údaje je nutné nastavit bezpečnostní politiky, zahrnující především požadavky na komplexnost hesel a pravidelnost výměny hesel či SSH klíčů. Správa privilegovaných účtů samozřejmě není jednorázovou činností, proto je nutné pravidelně identifikovat všechny privilegované účty v infrastruktuře a automaticky je integrovat do systému ochrany. Nepřetržitě jsou také ukládány detailní auditní záznamy o využívání privilegovaných účtů, stejně jako o aktivitách správců při práci s kriticky důležitými systémy. Centrálně jsou velmi detailně řízena i oprávnění, co a který správce může se systémy dělat.

Vyspělá PxM řešení nabízejí i mnoho dalších funkcí, jako například bezpečný vzdálený přístup k systémům pro externí dodavatele, ochranu kritických aplikací nebo informační trezor na spolehlivou ochranu nejcennějších dat – a samozřejmě také lokání podporu ze strany certifikovaných partnerů.