Переход на российские операционные системы затрагивает не только базовую инфраструктуру, но и смежные контуры безопасности. Наиболее чувствительный среди них – управление привилегированным доступом. В нем пересекаются требования регуляторов, риски кибератак и устойчивость ИТ-среды.
Автор: Артем Назаретян, руководитель BI.ZONE PAM
Практика показывает, что при миграции контроль привилегированных учетных записей часто вызывает трудности. Причина – необходимость одновременно обновлять технологический стек, поддерживать непрерывность работы и не перегружать инфраструктуру. Рассмотрим, как на практике обеспечить контроль привилегированного доступа, и разберем реальные кейсы внедрений.
Контроль доступа как ограничение и как точка роста
По данным BI.ZONE TDR [1], около 35% критичных инцидентов связаны с компрометацией привилегированных учетных данных. Многие атаки на российские компании так или иначе опираются на эскалацию привилегий или злоупотребление уже существующими правами доступа. В условиях миграции эти риски усиливаются: увеличивается число временных доступов, как следствие – за ними сложнее уследить.
При переходе на новые ОС компании вынуждены искать архитектурный баланс. С одной стороны, необходимо усилить контроль: внедрить новые политики, обеспечить соответствие требованиям и закрыть уязвимости. С другой – нельзя замедлить работу администраторов и инженерных команд.
На практике компании сталкиваются с трудностями в следующих аспектах:
- Масштаб инфраструктуры. Даже в средних организациях речь идет о тысячах узлов и сотнях администраторов. Любое изменение в модели доступа должно масштабироваться без ухудшения производительности.
- Ограниченные сроки. Миграция на отечественное ПО, как правило, происходит в сжатые сроки, что исключает длительные пилоты и поэтапную перестройку процессов с нуля.
- Требования к непрерывности. Привилегированный доступ обеспечивает выполнение критичных операций. Любые ограничения или сбои напрямую влияют на бизнес-процессы.
Возникает противоречие: нужно вложить ресурсы в трудоемкую задачу и при этом их сэкономить.
Архитектурный подход: управление доступом по модели нулевого доверия
Практика внедрений показывает, что устойчивый результат дает модель, в которой контроль привилегированного доступа изначально встроен в инфраструктуру, а не добавлен поверх нее как отдельный слой. В этом случае доступ к целевым системам организуется через централизованную точку контроля: пользователи не взаимодействуют с учетными данными напрямую, а все подключения проходят через механизм аутентификации и проксирования сессий.
В такой архитектуре учетные данные управляются автоматически: пароли и сертификаты регулярно ротируются, что снижает риск их компрометации. Доступ предоставляется по принципу минимальных привилегий: пользователь получает ровно те права и на тот срок, которые необходимы для выполнения конкретной задачи. Все действия фиксируются, а события передаются в системы мониторинга и корреляции, что упрощает контроль, расследование инцидентов и реагирование на них.
Управление по модели Zero Trust снижает зависимость от рисков, вызванных человеческим фактором, и исключает типовые сценарии атак, связанные с хранением, передачей и повторным использованием паролей. При этом модель Zero Trust работает только при грамотной реализации: система должна масштабироваться вместе с инфраструктурой, поддерживать разные сценарии доступа и не создавать избыточной нагрузки на ресурсы и команды.
Как эти принципы реализуются на практике
Архитектурный подход не решает задачу, если его невозможно применить в реальных условиях – с ограниченными сроками, разным масштабом инфраструктуры и требованиями бизнеса к непрерывности процессов. На практике компании вынуждены искать баланс между уровнем контроля, удобством для администраторов и нагрузкой на ИТ-среду. Разберем, как этот баланс достигается в проектах с разными вводными – от инфраструктур уровня Enterprise до быстрорастущих технологических компаний.
В крупных инфраструктурах еще одной ключевой задачей является внедрение. Один из успешных примеров решения – переход Сбера на отечественное решение для управления привилегированным доступом на базе BI.ZONE PAM [2].
Перед банком стояла задача заменить зарубежную PAM-платформу, при этом сохранить привычную функциональность и уровень безопасности. Проект реализовывался в инфраструктуре с сотнями тысяч серверов и тысячами пользователей, обладающих привилегированным доступом. Ключевыми ограничениями проекта были невозможность остановки или деградации административных процессов, недопустимость вывода привилегированного доступа из-под контроля даже на время и необходимость соблюдения требований по переходу на отечественное ПО.
Решение строилось вокруг нескольких принципов:
- Сохранение пользовательских сценариев. Администраторы продолжили работать в привычной логике, при этом доступ к системам стал полностью централизованным. Сквозная аутентификация исключила необходимость работы с паролями и снизила риск их компрометации.
- Автоматизация контроля. Ротация паролей, использование одноразовых кодов и разграничение прав доступа позволили соблюсти принцип минимальных привилегий без дополнительной нагрузки на пользователей.
- Архитектурная масштабируемость. Микросервисная модель и кластеризация компонентов обеспечили устойчивость системы при высоких нагрузках и позволили охватить всю инфраструктуру в рамках одной инсталляции.
Переход был разбит на этапы с последовательным расширением охвата пользователей. Каждая функция проходила тестирование, затем внедрялась в ограниченной группе и только после этого масштабировалась. Это позволило избежать сбоев и сохранить непрерывность бизнес-процессов.
В результате Сбер завершил переход на отечественное решение за достаточно короткое время – без потери управляемости и с улучшением пользовательского опыта.
В компаниях с другой организацией ИТ-процессов задача обычно формулируется иначе. "Центр новых финансовых сервисов" (ЦНФС), развивающий BNPL-сервис, столкнулся с задачей: выстроить контроль привилегированного доступа в соответствии с требованиями головной компании, не увеличивая нагрузку на ИТ-команду и инфраструктуру. Для таких компаний характерна высокая скорость развития продукта и ограниченные ресурсы на внедрение сложных систем безопасности. В этих условиях критично не только наличие функций, но и стоимость владения решением. Выбор был сделан в пользу BI.ZONE PAM в версии Lite [3].
Ключевым фактором стала возможность адаптировать архитектуру под реальные задачи. Система была развернута в упрощенной конфигурации с использованием All-in-One-инсталляции, что позволило сократить сроки внедрения. При этом компоненты, отвечающие за подключение к целевым системам, были вынесены отдельно для обеспечения отказоустойчивости.
Дополнительно была оптимизирована модель использования. Компания сосредоточилась на защите наиболее критичных сценариев (RDP- и SSH-доступ), отказавшись от внедрения второстепенных функций на первом этапе.
Лицензионная модель Lite позволила учесть одновременно два параметра, такие как число пользователей и сессий, и избежать переплаты за неиспользуемые ресурсы. В результате компания в три раза снизила затраты на проект. Важную роль сыграла совместная проработка архитектуры с учетом бизнес-процессов компании. Это позволило встроить систему контроля доступа без влияния на скорость релизов и переработки существующей инфраструктуры.
Проект был реализован за два месяца. Компания достигла следующих целей:
- централизованный контроль привилегированного доступа;
- соответствие требованиям безопасности;
- минимальная нагрузка на инфраструктуру;
- возможность масштабирования без смены решения.
При переходе на российские ОС контроль привилегированного доступа должен рассматриваться как часть архитектуры, а не как отдельный инструмент. Переход на отечественные операционные системы неизбежно затрагивает модель управления доступом – и в этом смысле становится не только технической, но и архитектурной задачей. На практике компании редко пересобирают этот контур с нуля: чаще им приходится адаптировать существующие процессы под новые условия, сохраняя контроль и не усложняя работу команд.
Опыт внедрений показывает, что рабочие решения лежат не в максимальном наборе функций, а в точной настройке архитектуры под конкретную инфраструктуру и сценарии доступа. Поэтапное внедрение, фокус на критичных точках и отказ от избыточных изменений на старте позволяют сохранить управляемость даже в условиях сжатых сроков.
В этом контексте системы управления привилегированным доступом становятся частью базовой инфраструктуры, от которой зависит не только уровень защиты, но и устойчивость повседневных процессов. Именно поэтому их роль заметно возрастает в период миграции – как инструмента, который помогает пройти этот этап без потери контроля и лишней нагрузки на систему.
Реклама: ООО "БИЗон". ИНН 9701036178. Erid: 2SDnjdh3K6J