Главная мысль
Подтвердите владельца и назначение привилегированных аккаунтов; для входа людей требуйте MFA, а для сервисных аккаунтов используйте учётные данные и ограничения доступа, подходящие workload. По возможности ограничивайте срок привилегий и сохраняйте аудит.
Определите привилегии и начните сокращать их
Составьте перечень администраторов домена, облака, сети, баз данных, гипервизора и приложений, а также сервисных аккаунтов и секретных учётных данных. Подтвердите владельца и деловую необходимость, разделите общие постоянные admin-аккаунты и выдайте отдельные администраторские аккаунты по ролям. Отделите почту и повседневную работу администраторов от высокопривилегированной учётной записи. Ищите забытый доступ у бывших сотрудников, старых приложений и тестовых сред.
Защитите секреты входа и сессии
Защитите привилегированный вход людей с помощью MFA и ограниченного административного устройства. Для сервисных аккаунтов применяйте подходящие workload учётные данные и ограничения доступа. Где поддерживается, используйте временное повышение прав и согласование; храните общие или встроенные пароли в утверждённом хранилище секретов и планируйте их смену после использования. Выбирайте срок сессии с учётом задачи, регистрируйте удалённое администрирование и задайте контроль для чувствительных сессий. Вместо одинаковой частой ротации везде определите управление секретами по риску и процедуру на случай компрометации.
Пересматривайте использование и отрабатывайте реагирование
Регистрируйте выдачу и повышение привилегий, удалённые сессии, чтение секретов и аварийный доступ. Защитите журналы от подмены и назначьте владельца для разбора неожиданного использования. Отдельно защитите хранилище PAM и его управляющий слой: их компрометация может поставить под угрозу множество секретов и сессий. Сведите break-glass аккаунты к минимуму, сразу проверяйте их использование и меняйте пароль после инцидента. Пересматривайте права с владельцем ежеквартально или с подходящей риск-ориентированной периодичностью.
Подбирайте функции PAM по роли и риску
Возможности PAM зависят от целевой системы и интеграции; один менеджер паролей не заменяет полноценную программу PAM. Проверьте также поддержку обнаружения аккаунтов, ротации после использования и оповещений в целевой системе. Определите подключение каждой функции и согласующего выдачу секрета. Начните с небольшой группы критичных аккаунтов, проверьте сбои и восстановление, затем расширяйте охват.
| Возможность | Назначение | Что проверить |
|---|---|---|
| Хранилище/извлечение секрета | Контроль доступа к извлекаемым секретам | Коннектор и аудит извлечения |
| Временное повышение прав | Сокращение постоянных привилегий | Согласование, срок и фактическое удаление |
| Контроль сессий | Проверка привилегированных действий | Поддерживаемый протокол, хранение и разрешённый доступ к записям |
| Экстренный доступ | Восстановление при сбое | Независимость, мониторинг и разбор после использования |