Вы еще не забыли историю с многочисленными утечками пользовательских данных различных логистических сервисов? Еще бы, особенно после того, как «энтузиасты» обогатили их за счет других «сливов»…

История эта неприятна всем – и самому сервису, и пользователям. Принято считать, что все это – «хакеры», эдакое универсальное объяснение для различных инцидентов и даже собственных ошибок. Но мы то понимаем, что часто источником таких утечек становятся пользовательские аккаунты с расширенными правами, или, иначе, аккаунты привилегированных пользователей.

Они есть в любой организации. Даже небольшая компания имеет руководителя и системного администратора, которые имеют возможность вносить изменения в настройки систем, копировать и экспортировать данные. В конце концов, такие аккаунты просто имеют доступ к самым серьезным цифровым тайнам бизнеса. И поэтому – особенно уязвимы. И как потенциальные жертвы нападений киберпреступников, и как возможные (вольные или невольные) инсайдеры. А значит, привилегированные «учетки» нуждаются в особенной защите.

Privilege Access Management

Для преодоления этой проблемы имеются специальные инструменты. Это – РАМ-системы (Privilege Access Management). С их помощью решаются всего четыре задачи, но каждая из них критически важна для информационной безопасности любой компании.

Во-первых, при помощи РАМ осуществляется управление привилегиями пользователей. Если конкретнее, то эти системы позволяют определить, каким именно пользователям нужны расширенные полномочия, конкретизировать круг предоставляемых прав и срок их действия. А кроме того, РАМ-инструменты позволяют эту информацию систематизировать, навести в ней порядок.

Вторая роль РАМ-решений – контроль за действиями обладателей привилегированных «учеток», протоколирование и запись их действий. Нужна такая функциональность и для того, чтобы расследовать произошедшие инциденты, и чтобы предотвратить попытки инсайда, -- ведь пользователь, понимающий, что его контролируют, едва ли решится на неправомерные поступки. Наиболее продвинутые PAM-решения также выполняют автоматический разрыв сессии, если выявляются какие-то отклонения в действиях пользователя.

Что предлагает рынок

На российском рынке есть сразу несколько решений класса РАМ с весьма богатыми возможностями. Все это – хорошо известные разработки с богатой историей. И, что очень важно, принадлежат они отечественным вендорам, а, значит, не зависят от иностранной санкционной политики. Это, кстати, помогло российскому рынку РАМ практически безболезненно пережить уход с него иностранных разработчиков.

SafeInspect

Одна из российских систем – SafeInspect. Развивает ее компания «Новые технологии безопасности». О потенциале вендора и качестве его продукта, наверное, лучше всего говорит то, что в декабре прошлого года ею заинтересовался серьезный инвестор. 100% бизнеса «Новых технологий» безопасности» были приобретены профильной структурой «Ростелекома», компанией «РТК-Солар».

Что умеет SafeInspect

Функциональные возможности SafeInspect соответствуют всем требованиям, которые обычно предъявляются к РАМ-системам. Решение умеет проводить дополнительную авторизацию привилегированных пользователей, вести аудит и запись их действий, а кроме того, еще и дополнительно разграничивать их полномочия, выделяя среди привилегированных еще и «супер»-аккаунты, которые имеют доступ вообще ко всем настройкам систем и хранимым в инфраструктуре данным.

Протокол действий привилегированных пользователей в SafeInspect ведется в текстовом формате. Это облегчает дальнейший поиск по таким записям и позволяет, при необходимости, быстро расследовать инциденты, не просматривая часам видеозапись действий.

Достигается такая возможность благодаря использованию технологий оптического распознавания – система «считывает» вводимые команды или надписи на элементах интерфейса и сразу заносит их в составляемый протокол.

Еще одна фишка системы – возможность скрывать привилегированные аккаунты на корпоративном сервере, «прятать» их от киберпреступников, которые могут получить доступ к инфраструктуре организации и выявлять администраторов или суперпользователей.

Как работает SafeInspect

Состоит решение из двух модулей. Управление осуществляет «Менеджер» -- модуль, который работает в связке с другими корпоративными средствами информационной безопасности. А непосредственный контроль привилегированных аккаунтов осуществляет «Коллектор». Этот модуль может быть единственным (он поддерживает не более 6000 одновременных SSH-подключений) или одним из нескольких.

Возможны и разные варианты его размещения -- перед защищаемыми серверами, дополнительно на шлюзе подключения пользователей, в режиме «маршрутизатора» и т. д. Такая вариативность дает возможность использовать SafeInspect в инфраструктурах самого разного масштаба, от небольшой рабочей группы до крупного предприятия.

Администрирование SafeInspect осуществляется через веб-консоль. Она же обеспечивает доступ к протоколам аудита и отчетам, которые можно при необходимости экспортировать в другие системы ИБ (например – корпоративную SIEM) для последующего анализа.