I tym sposobem dochodzimy do narzędzi EPM (Endpoint Privilege Management), a więc nowej generacji zabezpieczeń, których zadaniem jest stworzenie „bariery immunologicznej” dla punktów końcowych. Zamiast w mało skuteczny sposób próbować identyfikować atak i następnie go blokować, EPM zatrzymuje wszystko, co nie jest dla „organizmu” naturalne. W efekcie w chronionych systemach mogą mieć miejsce tylko legalne procesy.

To nowe podejście ma szczególne znaczenie w przypadku urządzeń końcowych, przy użyciu których pracownicy zdalni (albo zewnętrzni wykonawcy) uzyskują dostęp do zasobów firmy. Zakłada ono wprawdzie, że każdy system może zostać zaatakowany, ale dzięki właściwym wewnętrznym zabezpieczeniom można ataku uniknąć. A jeśli nawet miałoby do niego dojść, to tylko poza firmową siecią. To jest możliwe, ponieważ ochrona punktów końcowych w EPM opiera się na zasadzienajmniejszego uprzywilejowania (Principle Of Least Privilege). Co oznacza, że bez praw administratora intruz albo złośliwe oprogramowanie nie będą w stanie uzyskać uprawnień niezbędnych do uruchamiania procesów i aplikacji.

Zasada wprowadza porządek, przyznając właściwe prawa odpowiednim użytkownikom i we właściwym kontekście. Eliminuje nadmierne uprzywilejowanie użytkowników na urządzeniach końcowych, by złośliwe oprogramowanie nie było w stanie uszkodzić systemu albo wykradać krytycznych danych. Umożliwia także usunięcie wszystkich lokalnych kont administratora w celu wzmocnienia ochrony. A dzięki blokowaniu kryptograficznych API, systemy stają się odporne na ransomware, cryptojacking i inne rodzaje złośliwego kodu.

Egzekwowanie zasady najmniejszego uprzywilejowania użytkowników to krok we właściwym kierunku, ale wciąż niewystarczający. Chodzi o to, by systemy były w stanie same chronić się przed zagrożeniami. Dlatego najskuteczniejsze rozwiązania EPM skupiają się na uprawnieniach nie na poziomie użytkowników, ale procesów i aplikacji. Wdrażana w ten sposób ochrona daje dużo większy zakres kontroli i bezpieczeństwa.

Szczegółowa ochrona na poziomie procesów z jednej strony zapewnia użytkownikowi dostęp do wszystkich narzędzi niezbędnych do wydajnego i niezakłóconego wykonywania jego zadań, z drugiej zaś dba o to, by udostępnione mu oprogramowanie nie było w stanie zaszkodzić systemowi, gdy napastnik zdoła przełamać jego zabezpieczenia.

Principle of Least Privilege w praktyce

Właśnie tak działa rozwiązanie WALLIX BestSafe, które – wdrażając zasadę najmniejszego uprzywilejowania – zwiększa bezpieczeństwo punktów końcowych. Skutecznie zapobiega między innymi atakom wykorzystującym malware, uruchamianym i rozprzestrzeniającym się na urządzeniach przy użyciu kont administratora. BestSafeuzupełnia zatem o ochronę EPM pozostałe narzędzia bezpieczeństwa oferowane przez francuskiego producenta.

Łącząc rozwiązania Bastion i BestSafe, oferta PAM-PEDM (Privileged Access Management and Privilege Elevation and Delegation Management) daje firmom dążącym do centralizacji zarządzania zasobami cyfrowymi możliwość stosowania zasady najmniejszego uprzywilejowania w kontroli nad dostępem i kontami uprzywilejowanymi. To szczególnie ważne w kontekście zgodności z regulacjami, takimi jak RODO czy NIS.

Dodatkowe informacje: Paweł Rybczyk, Territory Manager CEE & CIS, WALLIX, prybczyk@wallix.com

Artykuł WALLIX BestSafe, czyli ochrona na poziomie procesów i aplikacji pochodzi z serwisu CRN.

– Podział systemów do zarządzania urządzeniami końcowymi na UEM, MDM czy EMM jest nieczytelny. Wymienione skróty wykorzystuje się w celach marketingowych, ponieważ ułatwiają wypromowanie produktu w konkretnej kategorii. Pomimo tego, że nasz produkt to typowy UEM, umożliwiający zarządzanie smartfonami, tabletami, laptopami czy urządzeniami Internetu rzeczy, wielu klientów oraz partnerów wciąż określa go jako MDM – mówi Bartosz Leoszewski, pełniący funkcję CEO w Famocu. 

Również według Bogdana Lontkowskiego, dyrektora regionalnego na Polskę, Czechy, Słowację i kraje bałtyckie w firmie Ivanti, naturalnym kierunkiem rozwoju narzędzi do zarządzania wydają się być rozwiązania obejmujące jak najszerszą grupę firmowych urządzeń. Optymalna opcja to UEM składający się z modułów EMM oraz EPM, które użytkownik może przystosować do swoich aktualnych potrzeb, a następnie rozszerzać na kolejne obszary przy zachowaniu skalowalności systemu.

Wspomniana kategoryzacja jest po części wymysłem producentów, którzy próbują się w ten sposób wyróżnić i zaistnieć na rynku, a także analityków opracowujących nowe rankingi, ale ma też swoje podłoże historyczne. Pierwsze nowoczesne systemy MDM były odseparowane od narzędzi do zarządzania komputerami PC, a w późniejszym etapie vendorzy zaczęli konsolidować w jednej platformie MDM oraz MAM. W ten sposób powstały narzędzia EMM, które w miarę dojrzewania przekształcały się w UEM-y.Przy czym proces integracji przebiegał według różnych scenariuszy. Część systemów do zarządzania wzbogaciła się o obsługę urządzeń mobilnych za pośrednictwem protokołów MDM. W innych przypadkach dostawcy połączyli platformy obsługujące komputery PC z EMM, zapewniając jednocześnie ujednolicony wgląd we wszystkie urządzenia i aplikacje używane przez pracowników. W tym samym czasie systemy operacyjne dla komputerów stacjonarnych zaczęły dodawać obsługę zdalnego zarządzania za pośrednictwem własnych interfejsów API i protokołów MDM.

Nie ulega wątpliwości, że czas pracuje na korzyść UEM. Większość dostawców systemów do zarządzania punktami końcowymi dąży bowiem do unifikacji, a tego typu rozwiązań  oczekują też klienci. Według analityków z MarketsandMarkets globalna wartość rynku UEM osiągnie w 2022 r. wartość 7 mld dol. Dla porównania, w roku 2017 było to zaledwie 1,4 mld dol. Jednym z motorów napędowych tego segmentu są rozporządzenia RODO, KRI czy ISO 27001, obligujące przedsiębiorstwa oraz instytucje do ochrony danych.

– Wymagania i obowiązki narzucone przez prawo często stanowią silniejszą motywację dla przedsiębiorców niż zdrowy rozsądek.  Wprowadzenie RODO uzmysłowiło firmom jak wiele danych przechowują na swoich urządzeniach. Technologie klasy UEM, MDM czy EMM ułatwiają zarówno zabezpieczenie tych zasobów, jak też automatyczne sporządzanie raportów o ich stanie – mówi Marta Drozdowska, International Operations Director w Proget Software.

Głód technologiczny daje się we znaki 

Ale nie tylko odgórne nakazy skłaniają firmy do inwestycji w UEM-y. Wpływ na poziom zamówień ma również przyrost liczby terminali używanych przez pracowników, a także ilość przechowywanych danych. Ponadto przedsiębiorstwa muszą zmierzyć się z takimi problemami, jak złożoność sieci firmowych, praca w domu, wzrost cyberprzestępczości czy wreszcie brak specjalistów IT. Wdrożenie rozwiązania UEM pozwala w znacznym stopniu uporać się z powyższymi bolączkami, automatyzując rutynowe zadania wykonywane przez administratorów sieci, a także zapewniając płynną integrację z produktami zabezpieczającymi. 

Choć systemy UEM znajdują się na fali wznoszącej,  wciąż istnieją  bariery hamujące ich sprzedaż.  Największą z nich jest recesja: firmy tną budżety na IT, a rozwiązania do zarządzania flotą urządzeń rzadko znajdują się na liście priorytetów działów IT. Eksperci zwracają też uwagę na tzw. dług technologiczny. Firmy nadal korzystają z przestarzałego oprogramowania, i choć UEM potrafi wykorzystać liczne udogodnienia Windows 10, to już zdecydowanie gorzej radzi sobie w śro-dowisku Windows 7.

– Dług technologiczny występuje często w dużych firmach, najczęściej państwowych, i rzeczywiście może nastręczać sporo kłopotów. To zjawisko hamuje rozwój i przejście na zdalny tryb pracy. Największą blokadą są stare systemy operacyjne bądź archaiczna infrastruktura sieciowa. Niemniej przy odpowiednim podejściu dług technologiczny może być bodźcem, który zapoczątkuje wprowadzenie zmian. Firmy dostrzegają problem i starają się go zniwelować – mówi Sebastian Kisiel, Senior Sales Engineer w Citrix Systems.

Mnogość w jedności

UEM w pandemicznych czasach

Wybuch pandemii sprawił, że osoby odpowiedzialne za IT w pośpiechu tworzyły zdalne środowiska pracy. W pierwszej kolejności trzeba było zadbać o sprzęt oraz zestawienie bezpiecznych połączeń. W związku z tym na liście zakupów znalazły się komputery oraz usługi VPN. Jednak prędzej czy później administratorzy IT zmierzą się z wyzwaniami jakie niesie ze sobą zmiana modelu pracy.  Już dziś wielu pracowników wraz ze swoimi urządzeniami zostało  „wypchniętych” poza bezpieczne środowisko firmowe. Taki stan rzeczy nie umyka uwadze hakerów, którzy w czasie zarazy zwiększyli zainteresowanie osobami pracującymi w zaciszu domowym.

Ciekawe informacje na ten temat przynoszą wyniki badania przeprowadzone wśród uczestników tegorocznej konferencji Black Hat. Aż 94 proc. respondentów uważa, że systemy oraz dane należące do przedsiębiorstw są poważnie zagrożone, zaś 57 proc. twierdzi, że najsłabszym ogniwem firmowego bezpieczeństwa są pracownicy domowi. O ile istnieje duże prawdopodobieństwo, że przedsiębiorcy, zaniepokojeni rozwojem wypadków, zainwestują w systemy bezpieczeństwa, o tyle decyzje o zakupie rozwiązań do zarządzania końcówkami mogą przełożyć na spokojniejsze czasy. Sygnały napływające od producentów UEM oraz integratorów działających w tym segmencie rynku pozwalają z umiarkowanym optymizmem patrzeć w nieodległą przyszłość.

– Zauważamy, że w ostatnim czasie w firmach pojawiły się problemy związane z zarządzeniem urządzeniami oraz ich odpowiednim zabezpieczeniem przed atakami. W konsekwencji nastąpił wzrost zainteresowania systemami UEM. Niemniej trudna sytuacja ekonomiczna wielu przedsiębiorców oraz niepewność jutra powodują, że część z nich wstrzymuje inwestycje – tłumaczy Bogdan Lontkowski.

W tym kontekście nie dziwi, że zwłaszcza pierwsze tygodnie pandemii nie były łatwe między innymi dla Famocu, który musiał pogodzić się z opóźnieniami w realizacji projektów. Niemniej Bartosz Leoszewski przyznaje, że sytuacja nie tylko wraca do normy, ale zainteresowanie systemami UEM jest wręcz większe niż przed pandemią. Również Infonet Projekt odnotował wzrost popytu na systemy do zarządzania urządzeniami końcowymi, a klienci najczęściej pytają o funkcjonalności związane z pracą zdalną oraz monitoringiem przebiegu pracy.

COPE lepszy niż BYOD

Przy wdrożeniu systemu UEM  szczególną  ostrożność powinny przejawiać organizacje, w których przeważa model BYOD. Osoby odpowiedzialne za instalację systemu UEM w tego typu  firmach nierzadko konsultują się z działami kadr oraz prawnikami, żeby ustalić, jak dalece można ingerować w urządzenia osobiste wykorzystywane w pracy zawodowej. Jednak o ile ten model jest rozpowszechniony za oceanem czy krajach Europy Zachodniej, o tyle w Polsce zdecydowanie przeważa COPE. Zdaniem Bogdana Lontkowskiego z tego ostatniego bardzo często  korzystają dojrzałe firmy, poważnie podchodzące do ochrony danych i zarządzania flotą urządzeń. COPE (corporate-owned, personally-enabled) polega na tym, że przedsiębiorstwo we własnym zakresie tworzy listę urządzeń mobilnych dla pracowników, z góry narzucając im system operacyjny, rodzaj sprzętu itp.  Duża popularność tej formy w Polsce jest efektem współpracy pomiędzy przedsiębiorstwami a operatorami sieci komórkowych. Klienci biznesowi zamawiają nie tylko usługi abonamentowe, ale również flotę urządzeń mobilnych po preferencyjnych cenach.

– COPE pozwala organizacji przejąć kontrolę nad kosztami bezpieczeństwa i innymi obszarami objętymi potencjalnym ryzykiem. To rodzaj kompromisu, w którym zapewnia się pracownikom elastyczność, a jednocześnie umożliwia działowi IT łatwe zarządzanie różnymi urządzeniami oraz minimalizuje ryzyko naruszenia bezpieczeństwa – tłumaczy Sebastian Kisiel.

Trudno jest znaleźć jakieś większe mankamenty tego modelu, choć niektórzy twierdzą, że pracownicy często nie znają możliwości urządzeń i  potrzebują sporo czasu, aby się z nimi zapoznać. Jednak wydaje się to być argument mało przekonujący, zaś w przypadku najmłodszego personelu, doskonale zaznajomionego z technologicznymi nowinkami, wręcz chybiony.

Zdaniem specjalisty 

Sebastian Wąsik, Country Manager, baramundi software  

UEM to termin określający produkty służące do zarządzania klasycznymi komputerami, siecią oraz urządzeniami mobilnymi. Przewidujemy, że ujednolicone podejście stanie się standardem w tym segmencie rynku. Rozwiązania adresowane do ściśle określonych, wąskich zastosowań nie znikną, ale będą stanowić mniejszość. Rosnąca złożoność sieci, a także duże zapotrzebowanie na specjalistów IT – których brakuje – powodują, że firmy poszukują narzędzi do automatyzacji rutynowych zadań. Bez dobrej klasy rozwiązań UEM firmy przestaną nadążać z obsługą wielu procesów, niezbędnych do zachowania płynności i bezpieczeństwa pracy.

  

Marta Drozdowska, International Operations Director, Proget Software  

Takie rozwiązania jak MDM, EMM czy UEM wciąż  ewoluują. Nie ulega wątpliwości, że unifikacja wymienionych narzędzi będzie postępować, a wraz z nią zaczną pojawiać się nowe funkcjonalności.  Systemy do zarządzania urządzeniami końcowymi będą zyskiwać nowe możliwości w zakresie automatyzacji procesów i rozszerzonej analityki. Poza tym coraz częściej będą bazować na mechanizmach sztucznej inteligencji oraz maszynowego uczenia. Czynnikiem kreującym popyt na UEM, MDM czy EMM jest praca w domu, wymuszająca zdalne instalowanie oraz wsparcie sprzętu. W tym zakresie z pomocą przychodzą właśnie wymienione rozwiązania. Ponadto epidemia COVID-19 przyniosła ze sobą wzmożoną aktywność cyberprzestępców, zaś ochrona urządzeń końcowych jest jednym z zadań systemów do zarządzania nimi.

  

Nie tylko AI

W wielu produktach z obszaru bezpieczeństwa i zarządzania pojawiają się innowacyjne funkcje bazujące na sztucznej inteligencji i uczeniu maszynowym. Systemy UEM nie stanowią pod tym względem wyjątku. Wymienione mechanizmy mogą być pomocne w identyfikacji nieprawidłowego zachowania i konfiguracji urządzenia, użytkownika lub aplikacji, ostrzegając IT o zaistniałych problemach. Ponadto znajdują zastosowanie w zarządzaniu dostępem, gdzie technologię można wykorzystać do dostosowania wymagań uwierzytelniania. Korzyści ze sztucznej inteligencji powinniczerpać również użytkownicy sprzętu. W niektórych rozwiązaniach UEM pojawiają się już chatboty, działające na podobnej zasadzie jak Alexa czy Siri w produktach konsumenckich. Niemniej AI to tylko jeden z kierunków rozwoju systemów do zarządzania urządzeniami końcowymi.  Bardzo ważną kwestią jest przystosowanie rozwiązań do współpracy z przedmiotami należącymi do segmentu Internetu rzeczy. Bartosz Leoszewski zwraca przy tym uwagę na zmiany zachodzące na rynku telefonii komórkowej.

– Producenci coraz mocniej stawiają na bezpieczeństwo. Unifikacja Androida upodabnia ten system operacyjny do iOS Apple. Zgodnie z wytycznymi Google’a zarządzanie tymi systemami będzie wyglądało identycznie. Niestety, tacy producenci jak Huawei podążają w przeciwnym kierunku. Chiński producent od pewnego czasu tworzy zbiór własnych polityk oraz interfejsów API, które mają zabezpieczać i zarządzać nowymi urządzeniami tej marki – tłumaczy Bartosz Leoszewski.

Jednakże producenci podczas projektowania systemu muszą uwzględniać nie tylko aspekty technologiczne, ale również umiejętnie łączyć często odmienne potrzeby użytkowników. Specjaliści zwracają uwagę, że dostawcy dążą do maksymalnego uproszczenia systemów UEM pod kątem ich efektywności pracy, natomiast działy IT starają się jak najbardziej restrykcyjnie zarządzać urządzeniami, niekoniecznie zwracając uwagę na ich wartość biznesową. Oba podejścia trzeba więc umieć ze sobą pogodzić.

Zdaniem integratora

Artykuł UEM, czyli najwyższy czas na unifikację pochodzi z serwisu CRN.

Dostęp a polityka bezpieczeństwa

Wraz z postępem technologicznym i nowym stylem pracy zmieniają się wymagania dotyczące kontroli dostępu. Sieci w przedsiębiorstwach i instytucjach to skomplikowane środowiska, składające się z lokalnej infrastruktury i aplikacji działających w chmurze. Wielu użytkowników wykorzystuje własne urządzenia, aby uzyskać dostęp do firmowych zasobów. Zdaniem ekspertów z Cisco prowadzi to do sytuacji, w której wielu z nich łączy się z siecią firmową bez odpowiedniego nadzoru działów IT. Zresztą nie dotyczy to tylko pracowników, bowiem dostępu do sieci mogą potrzebować zewnętrzni dostawcy i partnerzy, co wymaga zastosowania dodatkowych mechanizmów kontrolnych. Jednakże nie wszystkie przedsiębiorstwa stosują dla tej grupy użytkowników restrykcyjną politykę, jeśli chodzi o dostęp i procedury bezpieczeństwa.

Mateusz Kawalec, Security Engineer w Infradata, uważa, że firmy rozwijające swoje systemy IT prędzej czy później zmierzą się ze skomplikowanym procesem zarządzania krytycznymi elementami swojej infrastruktury. Nie wszystkie sobie z tym radzą i niektóre z nich decydują się na wynajęcie firmy zewnętrznej do zarządzania częścią lub większością swojego środowiska IT. Poważnym problemem jest brak nadzoru w czasie rzeczywistym i możliwości rejestrowania czynności wykonywanych przez administratorów w systemach krytycznych. Jednym z efektów tego typu zaniechań może być kradzież lub usuwanie danych z serwerów aplikacyjnych, co prowadzi do strat finansowych i utraty reputacji przedsiębiorstwa. Poza tym pozbawione kontroli działania są później trudne do udowodnienia.

– Firmy często próbują zarządzać dostępem do architektury IT, mimo że nie mają wdrożonej polityki bezpieczeństwa. To poważny błąd. Odpowiednia strategia powinna zawierać m.in. obostrzenia dotyczące rotacji kluczy SSH i złożoności haseł, a także zasady stosowania dwuskładnikowego uwierzytelniania itp. – mówi Mateusz Kawalec.

Uwaga na użytkowników uprzywilejowanych

Jednym z kluczowych rozwiązań w obszarze dostępu, uwierzytelniania użytkowników i ich autoryzacji są systemy PAM. Jak tłumaczy Michał Kozownicki, Deputy Director for BeyondTrust Products & Services w EMS Partner, powstały one, by odebrać użytkownikom korzystającym z bardzo dużych uprawnień (głównie administratorom systemów) część ich władzy. PAM oddziela tych użytkowników od haseł i kluczy do kont uprzywilejowanych. Ponadto proces logowania administratora jest rejestrowany, a wszelka aktywność podejmowana w ramach zdalnych sesji – nagrywana. To właśnie ze względu na tę ostatnią funkcję, której zastosowanie wymuszają przepisy, rodzimi przedsiębiorcy wdrażają PAM. Zdecydowanie mniejszy priorytet nadaje się zapewnianej przez te systemy kontroli dostępu i zarządzaniu poświadczeniami.

– Dlatego zawsze staramy się uświadamiać klientów, że wszystkie trzy filary, na których opiera się PAM, są nierozłączne i samo rejestrowanie sesji jest rozwiązaniem połowicznym – mówi przedstawiciel dystrybutora.

Kontrola wiąże się z koniecznością składania wniosków dostępowych i rejestracją dostępu do krytycznych zasobów. Odgrywa ona kluczową rolę, zapewniając rozliczalność „kto, gdzie i kiedy” oraz uszczelnienie infrastruktury. Z kolei automatyczne zarządzanie poświadczeniami odbiera administratorom pełną władzę nad środowiskiem IT i zdejmuje odpowiedzialność za przechowywanie haseł i kluczy. Takie całościowe podejście jest niezwykle istotne w poprawnej implementacji PAM.

Zdaniem Mateusza Kawalca integrator wychodzący naprzeciw wymaganiom przedsiębiorstwa może zaproponować najpierw wykonanie audytu, a następnie wdrożyć PAM. System taki ma możliwości nadzoru i nagrywania sesji administracyjnych, rotacji haseł, kluczy SSH i przechowywania haseł w postaci zaszyfrowanej w bezpiecznym miejscu (tzw. password vault), czego istotną korzyścią jest wspomniany brak konieczności udostępniania administratorom haseł do systemów IT.

– Z technicznego punktu widzenia PAM może być roz-wiązaniem pracującym w trybie proxy.Wówczas jest umieszczany wewnątrz architektury sieciowej za firewallem lub bramą VPN. W takiej opcji wszystkie połączenia sieciowe do zarządzania systemami są przekierowywane na jeden adres IP – wyjaśnia specjalista Infradata.

W efekcie zmniejsza się liczba adresów IP udostępnianych bezpośrednio za firewallem i jednocześnie jest dodawany kolejny bezpieczny punkt logowania i nadzoru sesji administracyjnych. Po wdrożeniu takiego systemu użytkownik uprzywilejowany wykorzystuje tylko jeden adres IP, aby się zalogować do zdefiniowanych wcześniej systemów zgodnie ze swoimi uprawnieniami.

Sam PAM to za mało…

Michał Kozownicki zwraca uwagę, że PAM nie jest w stanie załatwić wszystkiego. O ile takie systemy w pełni zapewniają zarządzanie dostępem i uwierzytelnianie, o tyle autoryzacja odbywa się na innym poziomie. Oczywiście można ustalić uprawnienia użytkowników w systemach operacyjnych przy użyciu zasad grupy (GPO), ale bardziej szczegółowe określenie tych praw wymaga specjalnych narzędzi. Są nimi systemy EPM (Endpoint Privilege Management), zapewniające precyzyjne ustalenie, jakie aplikacje i procesy mogą być uruchamiane przez poszczególnych użytkowników. Dotyczy to wszystkich kont, również tych z dostępami administracyjnymi.

– Przykładowo, w przypadku kontraktora można określić, z jakich aplikacji może on korzystać w ramach sesji RDP. Jeżeli nie ma potrzeby, żeby uruchamiał edytor rejestru w ramach swojej sesji, to ten program znajdzie się na czarnej liście – mówi przedstawiciel EMS Partner.

W ten sposób można stworzyć w firmie szczelną politykę bezpieczeństwa dotyczącą wykorzystania aplikacji – z uwzględnieniem ich wersji lub nawet hasha pliku wykonywalnego. W najprostszym modelu można zbudować politykę dla „zwykłych” użytkowników, w której ramach wszystkie aplikacje z folderów systemowych (Windows, Program Files) są uruchamiane bez uprawnień administratora. Z reguły będą też aplikacje wymagające w szczególnych okolicznościach uprawnień administracyjnych. Wszystkie inne, nieuwzględnione w ustawieniach, zostają zablokowane. W efekcie pracownicy nie mogą np. pobierać aplikacji z internetu i uruchamiać ich na biurowym komputerze.

Dlatego, jak twierdzi Michał Kozownicki, integracja dwóch obszarów – PAM i EPM – jest niezwykle istotna w tworzeniu strategii zarządzania dostępem, autoryzacji i uwierzytelniania. Oba systemy wdrożone razem zapewniają nie tylko rejestrowanie, kto uzyskuje dostęp i do jakich zasobów, lecz także precyzyjne określenie, jakie działania w ramach tego dostępu może podejmować. Dochodzi więc do uszczelnienia infrastruktury IT, polegającego na ograniczeniu dostępu osób niepowołanych do krytycznych zasobów i zablokowaniu możliwości uruchamiania niepożądanych aplikacji. W efekcie z jednej strony zostaje zaspokojona potrzeba rozliczalności „kto, gdzie i kiedy”, a z drugiej – przez dopasowanie uprawnień konta – maksymalnie redukuje się ryzyko związane z jego kompromitacją, nie ograniczając przy tym produktywności użytkownika.

Podwójne uwierzytelnianie staje się niezbędne

Jak wynika z raportu na temat incydentów bezpieczeństwa „Verizon Data Breach Investigation Report”, aż 81 proc. przypadków włamania na konta użytkowników wiązało się z faktem, że hasła były zbyt słabe lub zostały wykradzione. Dzięki uzyskanemu w ten sposób dostępowi do sieci firmowej cyberprzestępcy mogą próbować uzyskać większe uprawnienia i przeniknąć do innych systemów, serwerów lub aplikacji firmowych. Co więcej, napastnicy próbują instalować programowanie typu malware w systemach wewnętrznych, aby uzyskać stały i nieodkryty przez nikogo dostęp do sieci.

Nałożona niedawno na jednego z dużych graczy e-commerce w Polsce kara związana z wyciekiem danych klientów w 2018 r. to bez wątpienia precedens, który na nowo każe przyjrzeć się zabezpieczeniom stosowanym w sieci. Urząd Ochrony Danych Osobowych stwierdził, że naruszenie było „znacznej wagi i miało poważny charakter” oraz dotyczyło dużej liczby osób, a „podmiot nie zastosował podwójnego uwierzytelniania dostępu do danych”.

Wspomniane przez UODO uwierzytelnianie dwuskładnikowe (czy ogólnie wieloskładnikowe – MFA) to skuteczne narzędzie zabezpieczające przed kradzieżą tożsamości użytkownika. W razie jego zastosowania napastnik potrzebowałby nie tylko uzyskać dane logowania użytkownika, lecz także fizyczny dostęp do jego urządzenia, żeby przeprowadzić atak.

– Już samo wprowadzenie dwóch elementów uwierzytelniania znacznie podnosi poziom bezpieczeństwa. Przedsiębiorstwa mają do wyboru wiele technik uwierzytelniania, które różnią się stopniem zaawansowania i trudnością wdrożenia: hasła, tokeny lub aplikacje z kodami, uwierzytelnianie biometryczne, np. odcisk palca, układ żył w dłoni, skan siatkówki oka lub kształtu twarzy – mówi Mateusz Pastewski, Cybersecurity Sales Manager w Cisco Poland.

Zarówno integratorzy, jak i sami klienci powinni mieć świadomość potencjalnie dużego ryzyka związanego ze słabościami wynikającymi z zastosowania niewystarczających mechanizmów uwierzytelniania użytkowników sieci. Cyberprzestępcy potrafią bowiem skutecznie wykradać dane logowania, stosując wiele różnych technik, w tym m.in. phishing. Z jednej strony metodą obrony, aczkolwiek wymagającą czasu, jest dokładna wiedza na temat zagrożeń i ich ewolucji, a także taktyk wyłudzania danych stosowanych przez cyberprzestępców. Wiedza ta będzie mieć bezpośrednie przełożenie na zastosowaną politykę bezpieczeństwa. Z drugiej – z pomocą przychodzą zabezpieczenia bazujące na zaawansowanych rozwiązaniach, coraz częściej działające także w chmurze.

Artykuł Kontrola dostępu: podwójna fortyfikacja pochodzi z serwisu CRN.