Əsas fikir
İmtiyazlı hesabların sahibini və məqsədini təsdiqləyin; insanların imtiyazlı girişində MFA, xidmət hesablarında isə workload-a uyğun etimadnamələr və giriş məhdudiyyətləri tətbiq edin. Mümkün olduqda imtiyazı vaxtla məhdudlaşdırın və audit izi saxlayın.
İmtiyazları müəyyən edin və azaltmağa başlayın
Domain, bulud, şəbəkə, verilənlər bazası, hipervizor və tətbiq idarəçilərini; həmçinin xidmət hesablarını və saxlanılan etimadnamələri siyahıya alın. Sahib və iş ehtiyacını təsdiqləyin, paylaşılmış daimi admin hesablarını ayırın və rol üzrə ayrıca administrator hesabı yaradın. E-poçt və gündəlik veb baxışı üçün yüksək imtiyazlı hesablardan istifadə etməyin. İşdən ayrılmış əməkdaşlara, köhnə tətbiqlərə və test mühitlərinə aid unudulmuş girişləri də axtarın.
Giriş sirrlərini və sessiyaları qoruyun
İnsanların imtiyazlı girişini MFA və məhdudlaşdırılmış inzibati cihazla qoruyun. Xidmət hesablarında workload-a uyğun etimadnamələr və giriş məhdudiyyətləri tətbiq edin. Dəstəklənən sistemlərdə just-in-time yüksəltmə və təsdiq tətbiq edin; paylaşılmış və ya quraşdırılmış parolları təsdiqlənmiş sirr anbarında saxlayın, istifadədən sonra dəyişməyi planlaşdırın. Sessiya müddətini işə uyğun seçin, uzaq idarəetməni qeydə alın və həssas sessiyalar üçün uyğun nəzarət qurun. Bütün mühitlərdə parolu eyni tezliklə rotasiya etmək əvəzinə, riskə uyğun sirr idarəsi və etimadnamələrin təhlükəsizliyinin pozulması halında görüləcək tədbirləri müəyyən edin.
İstifadəni nəzərdən keçirin və cavabı məşq edin
İmtiyazların verilməsi və artırılması hadisələrini, uzaq sessiyaları, sirrlərin əldə edilməsini və fövqəladə girişi qeydə alın. Jurnalları icazəsiz dəyişikliklərdən qoruyun və gözlənilməz istifadə hallarını araşdırmaq üçün məsul şəxs təyin edin. PAM anbarının və idarəetmə qatının özünü ayrıca qoruyun: onların pozulması çox sayda sirr və sessiyanı riskə ata bilər. Break-glass hesablarını az sayda saxlayın, istifadəsini dərhal yoxlayın və etimadnamələri hadisədən sonra dəyişin. Hər rübdə və ya riskə uyğun başqa intervalda hüquqları sahibləri ilə birlikdə nəzərdən keçirin.
PAM imkanlarını rol və riskə uyğun seçin
PAM imkanları hədəf sistemə və inteqrasiyaya görə dəyişir; yalnız parol meneceri tam PAM proqramını əvəz etmir. Hesab aşkarlanması, istifadədən sonra rotasiya və xəbərdarlığın da hədəf sistemdə dəstəkləndiyini yoxlayın. Hansı imkanın hansı sistemə qoşulacağını və sirrin verilməsini kimin təsdiqləyəcəyini müəyyən edin. Az sayda kritik hesabla başlayın, fasilə və bərpa ssenarilərini yoxlayın, sonra əhatəni artırın.
| İmkan | Məqsəd | Yoxlanacaq məqam |
|---|---|---|
| Seyf/sirrin oxunması | Oxuna bilən sirrlərə girişi idarə etmək | Connector və oxuma auditi |
| Vaxtla məhdud yüksəltmə | Daimi imtiyazı azaltmaq | Təsdiq, müddət və faktiki silinmə |
| Sessiya nəzarəti | İmtiyazlı əməliyyatlara baxmaq | Dəstəklənən protokol, saxlanma və qeydlərə səlahiyyətli giriş |
| Fövqəladə giriş | Nasazlıq zamanı bərpa etmək | Müstəqillik, monitorinq və istifadədən sonra baxış |