Эксперты обсуждают критическую проблему повсеместного использования избыточных привилегий в корпоративных ИТ-системах, где 91% пользователей работают с максимальным доступом. Аналитики указывают на пренебрежение управлением и сложность современных инфраструктур. Ситуация усугубляется ростом нечеловеческих идентификаторов (NHI), требующих смены парадигмы PAM/IAM.
Управление привилегированным доступом (Privileged Access Management, PAM) всегда было нацелено на обеспечение принципа наименьших привилегий. Однако природа корпоративной кибербезопасности, в сочетании со сложностью системных операций, вынуждает слишком многих пользователей входить в систему с максимально возможным уровнем привилегий и оставаться на нём, даже когда большинство их задач этого не требует.
Одно недавнее исследование показало, что 91% конечных пользователей входят в систему с наивысшим уровнем привилегий.
Санчит Вир Гогоиа, главный аналитик Greyhound Research, считает широкое использование неоправданно высоких привилегий результатом многолетнего пренебрежения корпоративным технологическим управлением.
«Предприятия управляют сложными, взаимозависимыми технологическими активами, где привилегированный доступ лежит в основе стабильности, восстановления и непрерывности работы», — говорит он. «Во многих средах привилегированный доступ был предоставлен много лет назад для поддержки систем, у которых больше нет чётких владельцев, чистой документации или современных путей аутентификации. Этот доступ теперь поддерживает интеграции, пакетные задания, сценарии восстановления, инструменты поставщиков и хрупкие цепочки автоматизации».
Более того, Гогоиа полагает, что предприятия поддерживают этот статус-кво с привилегиями, поскольку ограничение их «больше похоже на создание экзистенциального операционного риска, нежели на усиление безопасности».
«Они выбирают предсказуемость вместо сбоев», — объясняет он. «Постоянно активная привилегия становится самым безопасным вариантом в средах, где архитектурная определённость больше не существует. Она тихо накапливается с течением времени, поскольку системы развиваются быстрее, чем модели управления. Слияния, миграции в облако, аутсорсинг, многоуровневость платформ и экстренные исправления оставляют после себя привилегированные учётные записи, к которым никто не возвращается. За годы это создаёт среду, где привилегия глубоко встроена в то, как выполняется работа».
Из-за этой сложности, по словам Гогоиа, режим постоянной активности становится не просто самой лёгкой тактикой, а по умолчанию используемой.
«Предприятия часто прибегают к постоянным привилегиям, потому что это работает», — говорит он. «Это поддерживает работу конвейеров, стабильность интеграций и отзывчивость систем. Хранение учётных данных не решает проблему, если эти учётные данные никогда не истекают. Принципы нулевого доверия (Zero Trust) верны, но их реализация часто предполагает чистоту среды, которой в корпоративных активах просто нет. Это несоответствие объясняет, почему многие организации покупают инструменты PAM, развёртывают их частично и позволяют исключениям бесконтрольно множиться, пока исключение не станет нормой».
В результате PAM — и управление доступом к идентификаторам (Identity Access Management, IAM) — перестали соответствовать тому, как работают современные корпоративные системы, утверждает Гогоиа.
«Многие инструменты по-прежнему предполагают относительно статическую инфраструктуру, ограниченное количество идентификаторов и точки ручного вмешательства», — отмечает он. «Современные предприятия работают в динамичных, эфемерных средах, где рабочие нагрузки постоянно запускаются и останавливаются, идентификаторы создаются программно, а требования к доступу меняются в режиме реального времени».
Опасности постоянных привилегий
Роберт Крамер, вице-президент и главный аналитик Moor Insights & Strategy, согласен, что избыточные учётные данные являются следствием десятилетий нестрогого ИТ-управления.
«Они застряли в устаревших привычках, в устаревших операционных методах», — говорит Крамер. «Должен произойти переход к модели «точно в срок» (just-in-time). Лишь около 1% организаций внедрили её».
Руководитель, курировавший отчёт о 91% — Чарльз Чу, генеральный менеджер по ИТ- и продуктам для разработчиков в CyberArk — заявил, что постоянное нахождение в системе с наивысшим уровнем привилегий, безусловно, создаёт риск для кибербезопасности, но также несёт ИТ-риск нанесения масштабного ущерба системам.
Например, случайная опечатка может нанести огромный ущерб, если оператор вошёл в систему с наивысшим уровнем привилегий, утверждает Чу. «Я могу случайно что-то удалить, допустив опечатку. Неужели войти или выйти из системы так уж обременительно?»
Последний вопрос не риторический. Чу предполагает, что некоторые пакеты PAM действительно слишком сложны в использовании, что вызывает недовольство пользователей. «Если сам инструмент PAM обременителен в использовании, [конечные пользователи] найдут способы его обойти».
Дж.Р. Канкл, президент Kunkle Consulting и бывший консультант по рискам в Deloitte & Touche, согласен с риском опечаток. «Большинство сбоев в работе компьютеров происходит из-за ошибок или оплошностей», — говорит он. «ИТ-сотрудник, использующий права администратора [привилегию], может вызвать простой в работе продакшена».
Но Канкл, который также работал ИТ-менеджером в Limited Brands и Honda, отмечает, что использование по умолчанию высокого уровня доступа может также подорвать усилия в области права, комплаенса и конфиденциальности. «Если администратор просматривает конфиденциальные данные [которые он не должен был видеть], ему довольно легко скрыть свои следы, удалив журналы доступа».
Однако большинство наблюдателей возлагают вину за избыточные учётные данные на самих ИТ-специалистов.
«Это сводит на нет меры контроля, которые они внедрили. Небрежность или опечатка могут привести к краху всей компании», — говорит Джастин Грейс, генеральный директор консалтинговой фирмы Acceligence и бывший руководитель североамериканской практики кибербезопасности в McKinsey. «Это просто человеческая натура — выбирать более лёгкий путь» и срезать углы, когда речь идёт о привилегированном доступе.
Джейсон Сабин, технический директор DigiCert, выражается более прямо: «Если [ИТ-работник] предприятия использует root-доступ, он идиот. Можно разрушить весь свой мир. Никогда не следует использовать root. Придерживайтесь наименьших привилегий. Никогда не следует использовать повышенные привилегии для обычных рутинных задач».
Предстоящий сдвиг парадигмы
Аналитик Forrester Джефф Кейрнс подчёркивает риски кибербезопасности, связанные с тем, что организации не ограничивают чрезмерное использование учётных данных.
«Постоянно существующая привилегия, да, я думаю, она широко распространена», — говорит он. «Это то, на что могут нацелиться злоумышленники, чтобы затем использовать это для горизонтального перемещения по системам и создания хаоса. Повышенная привилегия делает это ещё более разрушительным».
Тем не менее Кейрнс видит сложный путь решения этой проблемы в современных корпоративных средах.
«Это сложная задача в условиях очень сложного ИТ-ландшафта с локальными, облачными решениями и SaaS», — отмечает он, — «и она будет экспоненциально усугубляться с «взрывом нечеловеческих идентификаторов», включая автономных агентов», — говорит Кейрнс.
Гогоиа из Greyhound Research согласен, что нечеловеческие идентификаторы (Non-Human Identities, NHI) усугубят проблему избыточного использования учётных данных.
«Центр тяжести сместился от администраторов-людей. Самые опасные и наименее регулируемые привилегии теперь принадлежат нечеловеческим идентификаторам. Служебные учётные записи, API, роли в облаке, CI/CD-конвейеры, коннекторы SaaS, фреймворки автоматизации и автономные системы постоянно работают с постоянным доступом», — говорит он. «Эти идентификаторы проходят аутентификацию программно, со скоростью машины, часто через разные среды, и зачастую с более широкими разрешениями, чем когда-либо было бы предоставлено какому-либо человеку».
И растущее распространение NHI, взаимодействующих с корпоративными системами, подталкивает PAM и IAM к смене парадигмы.
«Традиционные модели PAM и IAM были разработаны для людей, которые входят в систему, выполняют задачи и выходят из неё. Они с трудом справляются, когда идентификаторы никогда не выходят из системы», — говорит Гогоиа.
«Привилегии машин — это не крайний случай», — добавляет он. «Это основной случай в современных средах. Предприятия, пытающиеся применить обзоры доступа и рабочие процессы утверждения в человеческом стиле к этим идентификаторам, быстро обнаруживают, что управление рушится под давлением масштаба. Именно здесь постоянная привилегия перестаёт быть провалом дисциплины и становится провалом проектных допущений».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Evan Schuman