Решения PAM - что это и зачем?

Как вы думаете: что в первую очередь может сделать вашу организацию уязвимой для киберугроз? Возможно, вам сразу вспоминаются слабые пароли сотрудников или ошибки в настройках системы безопасности. Однако один из самых значительных рисков кроется гораздо глубже.

Учетные записи, которыми пользуются такие привилегированные пользователи, как администраторы IT-систем, специалисты по безопасности, аудиторы и подрядчики, открывают доступ к ключевым ресурсам компании:

• серверным системам
• базам данных
• конфиденциальной информации и критически важным сервисам

А теперь представьте: ключи ко всей IT-инфраструктуре находятся в руках ограниченного круга людей. Если учётные данные таких сотрудников попадут в руки злоумышленников, последствия могут быть катастрофическими.

Хакеры охотятся именно за такими учётными записями, поскольку они позволяют быстро получить полный контроль над системой. Но не только внешние угрозы представляют опасность: инсайдерские атаки со стороны сотрудников также являются серьёзным фактором риска. Финансовые трудности, политические взгляды, личные конфликты — всё это может стать причиной компрометации данных внутри компании.

Чтобы эффективно защитить привилегированные учётные записи, недостаточно просто назначить права доступа. Нужна чёткая система контроля и прозрачное управление привилегиями. Для решения вышеперечисленных проблем существуют системы класса PAM, которые помогают организациям минимизировать риски взлома, предотвратить инсайдерские угрозы и соответствовать требованиям безопасности.

Аббревиатура РАМ (от английского Privileged Account Management) в переводе означает Управление привилегированным доступом.

Другими словами, это система контроля учётных записей с высокими привилегиями в целевой системе, а так же контроль методов доступа к этим системам и ресурсам. Решения класса PAM появились на рынке довольно давно. В России решения PAM особую популярность обрели с началом пандемии и развитием парадигмы Zero Trust.

Zero Trust — концепция «нулевого доверия», подразумевающая, что каждый пользователь или устройство должны подтверждать свои данные каждый раз, когда запрашивают доступ к какому-либо ресурсу внутри или за пределами сети.
Увидеть обзор концепции с её преимуществами, недостатками, подходами к реализации и основными решениями вы можете в записи вебинара RA VPN, NAC, ZTNA, SDP, SASE… В чем отличия и что подходит именно вам?

Основным драйвером для развития отечественных решений этого класса послужило взятие в последние несколько лет курса на импортозамещение и уход иностранных разработчиков.

Цели применения систем класса PAM в инфраструктуре компаний могут быть различны. Но если говорить глобально — PAM обеспечивает безопасность и контроль. С точки зрения безопасности: внедрение PAM позволяет уменьшить площадь периметра сети, усилить парольную политику, контролировать права пользователей.

Функции контроля дают возможность:

• поднять дисциплину;
• упростить разбор инцидентов;
• ввести правила доступа по времени и типу проводимых работ на целевых системах

Конечно, приоритет выполняемых задач и основную цель внедрения решения специалисты, использующие РАМ, должны определить самостоятельно.

К целевым системам можно отнести:

• операционные системы;
• средства виртуализации и резервного копирования;
• СУБД;
• средства информационной безопасности;
• сетевое оборудование и прочее

С точки зрения контроля корректности работы PAM-систем —его на себя могут взять:

• удалённые администраторы в штате и на аутсорсе
• подрядчики
• различного рода службы технической поддержки и сервисы
• а также рядовые пользователи, которым необходим временный и постоянный доступ к «не рядовым» ресурсам.

Системы Privileged Access Management (PAM) начали развиваться в ответ на необходимость защиты привилегированных учетных записей в корпоративных сетях. Первые решения появились в начале 2000-х годов и фокусировались на управлении паролями суперпользователей.

Со временем PAM-системы эволюционировали, охватывая такие функции, как сегментация доступа, мониторинг сеансов, управление привилегиями в облаке и автоматизация смены паролей.

Ключевые вехи развития PAM:

• 2000-е: появление первых решений для управления паролями учетных записей с высокими привилегиями.
• 2010-е: расширение функциональности за счет интеграции с SIEM и механизмами аутентификации.
• 2020-е: переход к Zero Trust, добавление AI-аналитики и поведенческих факторов в анализ доступа.

Спрос на системы РАМ в России показал значительный рост в связи с усилением регуляторных требований, включая политику импортозамещения и обязательный переход на отечественные решения к 1 января 2025 года для государственных компаний.

Для государственных предприятий, а также для предприятий, связанных с выполнением госзаказов, подходят отечественные решения, поскольку здесь важно наличие сертификатов, выданных соответствующими организациями (ФСТЭК, ФСБ).

На российском рынке систем PAM представлено достаточное количество продуктов с широкими функциональными возможностями:

• Indeed Privileged Access Manager
• СКДПУ НТ (от АйтиБастион)
• Zecurion PAM и т. д

Выбор решения зависит от задач и инфраструктуры компании. Однако очевидно одно: PAM-решения становятся обязательным элементом защиты корпоративных систем, обеспечивая контроль, управление и безопасность привилегированных учетных записей.
Итак, на этом мы заканчиваем основной обзор систем РАМ. В следующей статье курса мы с вами приступим к знакомству с системами РАМ на примере российского решения Indeed PAM.

До встречи на TS University!