Термін
PAM
Управління привілейованим доступом - інструменти та процедури контролю облікових записів з найвищими правами, наприклад адміністраторів. Паролі зберігаються в сейфі, доступ надається лише тимчасово, а всі дії записуються.
Оновлено
Що це означає
PAM, або управління привілейованим доступом, - це інструменти та процедури для контролю облікових записів із максимальними правами, наприклад адміністраторів серверів, баз даних, бухгалтерської системи чи хмарних сервісів. Саме ці облікові записи - найцінніша ціль атакувальників, адже вони відкривають шлях до всього іншого.
Принцип простий: паролі до привілейованих облікових записів зберігають не в голові й не в таблицях, а у сховищі. Доступ надають лише на час, потрібний для конкретного завдання, після погодження та з двофакторною автентифікацією. Кожна дія протоколюється.
PAM - спеціалізована частина управління доступом і одна з опор підходу zero trust. Якщо звичайний менеджер паролів допомагає працівникам з їхніми особистими обліковими записами, то PAM розв'язує питання спільних і технічних облікових записів із необмеженою владою над системами.
Як це працює на практиці
У малій фірмі PAM часто починається з інвентаризації: хто має права адміністратора, до чого й навіщо. Зазвичай з'ясовується, що колишні підрядники досі мають доступ, працівники постійно працюють під адмінським обліковим записом, а пароль до сервера знає пів офісу.
Наступний крок - розділити звичайний і привілейований обліковий запис: адміністратор читає пошту під звичайним, а адміністративний використовує лише для втручань. Доступ зовнішнього IT-підрядника відкривають на запит і автоматично закривають після завершення робіт.
Записи привілейованих сесій зберігають у журналі аудиту, який не може змінити навіть сам адміністратор. Для компаній, що підпадають під NIS2, контроль привілейованого доступу - один з очікуваних заходів безпеки.
На що звернути увагу
Найбільший ризик - аварійний доступ за принципом розбий скло, який ніхто не контролює. Якщо він є, він має бути опечатаний, його використання - відстежуватися, а пароль після кожного застосування змінюватися, інакше виняток перетворюється на постійний чорний хід.
Самого інструмента замало, якщо люди його обходять. Надто складний процес призводить до того, що адміністратори знову записують паролі осторонь. Правила мають відповідати розміру компанії й доповнюватися регулярною перевіркою, кому доступ справді потрібен.
Потрібно пояснити термін на вашій конкретній ситуації? Консультації від 55 € / година без ПДВ, залежно від теми та складності.