PAM

Что это значит

PAM, или управление привилегированным доступом, - это инструменты и процедуры для контроля учётных записей с максимальными правами, например администраторов серверов, баз данных, бухгалтерской системы или облачных сервисов. Именно эти учётки - самая ценная цель атакующих, ведь они открывают путь ко всему остальному.

Принцип простой: пароли к привилегированным учётным записям хранят не в голове и не в таблицах, а в хранилище. Доступ выдают только на время, необходимое для конкретной задачи, после согласования и с двухфакторной аутентификацией. Каждое действие протоколируется.

PAM - специализированная часть управления доступом и одна из опор подхода zero trust. Если обычный менеджер паролей помогает сотрудникам с их личными учётками, то PAM решает вопрос общих и технических учётных записей с неограниченной властью над системами.

Как это работает на практике

В малой фирме PAM часто начинается с инвентаризации: у кого есть права администратора, к чему и зачем. Обычно выясняется, что бывшие подрядчики всё ещё имеют доступ, сотрудники постоянно работают под админской учёткой, а пароль к серверу знает пол-офиса.

Следующий шаг - разделить обычную и привилегированную учётку: администратор читает почту под обычной, а административную использует только для вмешательств. Доступ внешнего IT-подрядчика открывают по запросу и автоматически закрывают после окончания работ.

Записи привилегированных сессий сохраняют в журнал аудита, который не может изменить даже сам администратор. Для компаний, подпадающих под NIS2, контроль привилегированного доступа - одна из ожидаемых мер безопасности.

На что обратить внимание

Наибольший риск - аварийный доступ по принципу разбей стекло, который никто не контролирует. Если он есть, он должен быть опечатан, его использование - отслеживаться, а пароль после каждого применения меняться, иначе исключение превращается в постоянный чёрный ход.

Одного инструмента мало, если люди его обходят. Слишком сложный процесс приводит к тому, что администраторы снова записывают пароли на стороне. Правила должны соответствовать размеру компании и дополняться регулярной проверкой, кому доступ действительно нужен.