Zakres działania rozwiązań PAM obejmuje osoby, które mają dostęp do najbardziej wrażliwych, krytycznych systemów – pozwalają między innymi na śledzenie wprowadzanych zmian, a także automatycznie przerywają sesję w przypadku działań mogących skutkować zagrożeniem dla bezpieczeństwa firmy. Tym samym eliminują konieczność prowadzenia bardzo skrupulatnej dokumentacji dotyczącej działań administratorów.

Ponadto PAM świetnie sprawdza się jako narzędzie do monitoringu zewnętrznych firm świadczących usługi IT. W czasie wykonywania prac mają one często dostęp do newralgicznych danych klienta, który nie ma kontroli nad ich działaniami. Jeśli dojdzie do kradzieży danych, PAM nie tylko o tym poinformuje, ale również pozwoli dostarczyć dowody przestępstwa. Rozwiązanie to umożliwia także podniesienie poziomu bezpieczeństwa środowiska IT poprzez ochronę i aktualizację haseł, a także dbałość o ich złożoność i zróżnicowanie we wszystkich systemach, do których logują się użytkownicy.

Analitycy Gartnera przewidują, że w 2022 r. około 70 proc. firm wdroży systemy PAM, co oznacza wzrost o 40 proc. w porównaniu z rokiem 2020. Przyjęło się zakładać, że z tego typu rozwiązań najczęściej korzystają banki i instytucje telekomunikacyjne, ale równie przydatne są one w jednostkach sektora publicznego, jak też większych i średnich przedsiębiorstwach.

Kamil Budak, Product Manager Senhasegura, Dagma  

Jako dystrybutor z wartością dodaną od 35 lat oferujemy partnerom wsparcie w badaniu potrzeb klientów oraz doborze właściwego zestawu rozwiązań i usług. Aby klient miał szansę przekonać się o zasadności przedstawionej propozycji, zapewniamy możliwość bezpłatnego przetestowania zarekomendowanych rozwiązań, a także udostępniamy niezbędne szkolenia na temat przedstawionych produktów w postaci bezpłatnych warsztatów i webinarów dla klientów oraz partnerów. Jeśli testy wypadną pomyślnie, klient może kupić wskazane rozwiązanie u partnera handlowego, ten zaś skorzysta na pozyskaniu od nas wiedzy i doświadczenia w realizacji tego typu sprzedaży.

  

Hasła pod kontrolą

Wśród najważniejszych funkcji systemu Senhasegura jest scentralizowane zarządzanie dostępem w celu ochrony poświadczeń i kontroli nad ich wykorzystaniem. Istnieje możliwość definiowania grup dostępu i przypisywania do nich użytkowników, którzy mogą pobrać dane hasło lub skorzystać ze zdalnego dostępu do danego systemu lub urządzenia. Można też w kontrolowany sposób dopuścić do sieci podmioty zewnętrzne, w tym dostawców usług, nadając im uprawniania wyłącznie do określonych urządzeń i w określonym przedziale czasu.

Bardzo przydatna jest też funkcja nagrywania w formie wideo zdalnych sesji prowadzonych za pośrednictwem Senhasegura w celu identyfikowania niepożądanych zachowań. Nagrania sesji można następnie przeszukiwać na podstawie szeregu kryteriów, na przykład danego użytkownika lub wprowadzonych poleceń. Administratorzy mogą określić, którzy użytkownicy będą korzystali z sesji logowanych, monitorowanych oraz w pełni nagrywanych. W razie potrzeby można też generować łatwe do wyeksportowania zbiory dowodów za pomocą rozbudowanego menu raportów, zaprojektowanego na potrzeby audytów oraz instytucji nadzorczych. W celu prowadzenia regularnych audytów można również utworzyć oddzielny profil audytora.

Produkty Senhasegura są oceniane przez klientów biznesowych jako wybitnie przyjazne i skuteczne – w rankingu Gartner Peer Insights użytkownicy wystawili im ocenę 4,9 w pięciostopniowej skali. Rozwiązania te stosowane są także w Polsce, a jednym z klientów referencyjnych jest Bank Spółdzielczy w Staszowie.

Dodatkowe informacje: Kamil Budak, Product Manager Senhasegura, Dagma, budak.k@dagma.pl, senhasegura.eu/pl

Artykuł Senhasegura ułatwi zarządzanie dostępem uprzywilejowanym pochodzi z serwisu CRN.

W nie tak znowu odległych latach, gdy hasła były uważane za skuteczną ochronę, często podchodzono do nich w sposób – delikatnie mówiąc – niefrasobliwy. Nazwą użytkownika był zazwyczaj adres mailowy, hasło było krótkie, łatwe do zapamiętania i związane z czymś, co znamy (np. imieniem psa). Te czasy to już na szczęście przeszłość, bo nawet w tych firmach, które wciąż polegają wyłącznie na hasłach, widać jednak pewną zmianę w zachowaniu użytkowników i administratorów.

– W przedsiębiorstwach, w których istnieje jako taka świadomość w obszarze cyberbezpieczeństwa, ale też bardzo mocne ograniczenia budżetowe, stosuje się zarządzanie polityką haseł. Nadaje im się wymagania co do długości, rodzaju użytych znaków oraz wymusza cykliczne zmiany hasła, uwzględniając wcześniejszą historię zmian. Takie rozwiązanie co prawda nie jest najlepsze, ale dobrze, że w ogóle jest stosowane – mówi Jakub Jagielak, lider technologiczny w obszarze cyberbezpieczeństwa w Atende.

Na przestrzeni ostatnich lat zaszło wiele zmian w sposobach realizacji dostępu do wszelkiego rodzaju zasobów. Nowa normalność to dziś praca hybrydowa albo nawet całkowicie zdalna. W budowaniu cyberbezpieczeństwa stosowane od dawna podejście „zamku i fosy” (wokół firmowej sieci) przestaje być efektywne z perspektywy nie tylko ochrony, ale również wygody użytkownika. Za trendami muszą podążać sposoby i narzędzia uwierzytelniania. Dziś hasło to za mało, nawet naprawdę skomplikowane. Proces uwierzytelniania bazujący tylko na nim lub czymkolwiek innym, co człowiek zna, to proszenie się o kłopoty.

Kilka składników zamiast hasła  

W nowej rzeczywistości rośnie zainteresowanie rozwiązaniami MFA (Multi-Factor Authentication), czyli uwierzytelnienia wieloskładnikowego, najczęściej realizowanego w formie dwuskładnikowej (2FA). Przy odpowiedniej implementacji daje ono wyraźny wzrost bezpieczeństwa i ogranicza kradzieże tożsamości. Jeśli hasło wyciekło, to – dajmy na to – bez urządzenia mobilnego, które służy jako drugi wektor uwierzytelnienia, napastnikowi na niewiele się przyda.

– To, że fizycznie nie siedzimy już przy swoich służbowych biurkach, nie zmienia faktu, że potrzebujemy stałego i bezpiecznego dostępu do naszych narzędzi – mówi Michał Porada, Business Development Manager Cisco Security w Ingram Micro.– Z tego samego powodu firmy coraz chętniej migrują do chmury: dla prostego dostępu do zasobów czy współużytkowania dokumentów. Jak wtedy upewnić administratora systemu, że dostęp uzyskuje uprawniona osoba? W takim przypadku 2FA to podstawa.

Najbliższa przyszłość należy więc do dwuskładnikowego, czy nawet kilkuskładnikowego uwierzytelniania, w którym oprócz tradycyjnej metody (login plus hasło) stosuje się dodatkowe składniki potwierdzające, że osoba, która się właśnie loguje jest tą, za którą się podaje: token sprzętowy lub programowy, kod SMS albo wiadomość push.

– Jako dodatek do hasła, silną metodą podwójnego uwierzytelnienia jest klucz sprzętowy, z tego powodu, że generowanie drugiego składnika odbywa się poza systemem komputera. Token nie ma połączenia z internetem, więc hakerzy nie są w stanie go przejąć. Popularnym i dobrym rozwiązaniem są też aplikacje na smartfonie, ale tutaj nie można już wykluczyć kompromitacji urządzenia – mówi Jakub Jagielak.

Wymieniając inne sposoby weryfikacji tożsamości niż hasła, Michał Sanecki, architekt rozwiązań IT w NetFormers, zwraca uwagę na dane biometryczne. W tym sposobie uwierzytelniania wykorzystywane są unikalne cechy biologiczne osoby, aby zweryfikować jej tożsamość. System może analizować odciski palców, głos, siatkówkę, rysy twarzy itp. Dane biometryczne są bezpieczne, ponieważ są prawie niemożliwe do podrobienia lub powielenia. Metoda ta jest również przyjazna dla użytkownika – skany są szybkie, a sam sposób uwierzytelnienia całkiem wygodny. Nie trzeba pamiętać kodu ani nosić przy sobie urządzenia zewnętrznego. Jednak, aby ograniczyć ryzyko włamania, lepiej rozszerzyć podejście do zabezpieczeń.

– Hasło pozostaje ważnym czynnikiem, pod warunkiem, że nie jest używane samodzielnie. To samo dotyczy biometrii, która również ma swoje wady i w pewnych sytuacjach może okazać się zawodna. Dlatego wdrażamy rozwiązania, które łączą dwa lub więcej mechanizmów bezpieczeństwa dostępu do zasobów IT, w tym aplikacji i urządzeń. Zapewniają one bezpieczny dostęp do zasobów sieciowych, wykorzystujący właśnie wielopoziomową autentykację. Wspieranych w nich jest wiele metod uwierzytelniania, chociażby za pomocą aplikacji mobilnej, tokena, wiadomości SMS, czy czujników biometrycznych – mówi Michał Sanecki.

Artykuł Jak hasło staje się przeżytkiem pochodzi z serwisu CRN.

Jak sama nazwa wskazuje, ZTNA bazuje na zasadzie „nie ufaj niczemu, weryfikuj wszystko”. W ten sposób wyeliminowana została koncepcja murów starego zamku i fosy na rzecz uczynienia każdego użytkownika, każdego urządzenia i każdej aplikacji sieciowej indywidualnym obiektem, podlegającym weryfikacji danych uwierzytelniających, kontroli stanu urządzenia i sprawdzeniu aktualnych reguł dostępu.

Kolejną kluczową różnicą w sposobie działania ZTNA jest to, że użytkownicy nie są wpuszczani do sieci z zapewnioną pełną swobodą ruchu. Zamiast tego stosowana jest metoda mikrosegmentacji – tworzone są indywidualne tunele między użytkownikiem a konkretną bramą dla aplikacji, do której ma on uprawnienia, i nic więcej. Zdalny dostęp VPN nie zapewnia żadnego wglądu w to, z jakich aplikacji mogą korzystać użytkownicy, podczas gdy ZTNA gwarantuje informacje o statusie i aktywności w czasie rzeczywistym dla wszystkich aplikacji, co jest nieocenione przy identyfikacji potencjalnych problemów i prowadzeniu audytów licencyjnych.

Dodatkowa mikrosegmentacja, jaką zapewnia ZTNA, gwarantuje eliminację ryzyka tzw. bocznego ruchu danych (lateral movement) pomiędzy urządzeniami użytkowników i infrastrukturą sieci. Każdy użytkownik, urządzenie i aplikacja lub zasób jest poddany indywidualnej kontroli, dzięki czemu znika pojęcie domniemanego zaufania.

Centralnie zarządzany bezpieczny dostęp

Chmurowe rozwiązanie Sophos ZTNA od początku zostało zaprojektowane tak, aby zapewniać łatwy w obsłudze, zintegrowany i bezpieczny dostęp do sieci. Dzięki integracji z Sophos Central, platformą do zarządzania cyberbezpieczeństwem w chmurze (i raportowania), możliwe jest nie tylko zarządzanie rozwiązaniem ZTNA, ale także posiadanymi firewallami Sophos, urządzeniami końcowymi, ochroną serwerów, urządzeniami mobilnymi, ochroną poczty elektronicznej i wieloma innymi.

– Korzyści z oszczędności czasu, jakie zapewnia w pełni zintegrowane rozwiązanie cyberochronne, są ogromne. Klienci twierdzą, że równoczesne korzystanie z pakietu produktów Sophos, zarządzanych z platformy Sophos Central i objętych mechanizmem Synchronized Security do automatycznej identyfikacji zagrożeń i reagowania, to jakby podwojenie wielkości ich zespołu IT – mówi Grzegorz Nocoń, inżynier systemowy w Sophosie.

Sophos ZTNA jest również wyjątkowy dzięki ścisłej integracji zarówno z Sophos Firewall, jak i wdrażanym na urządzeniach końcowych oprogramowaniem Sophos Intercept X. Pozwala to na wykorzystanie mechanizmów Synchronized Security i Security Heartbeat do wymiany informacji o stanie sprzętu pomiędzy firewallem, urządzeniem, ZTNA i Sophos Central, aby automatycznie reagować na zagrożenia lub obecność w sieci niezgodnych urządzeń. Umożliwia to automatyczne ograniczanie dostępu i uniemożliwianie połączenia zagrożonych systemów do czasu ich oczyszczenia.

Dodatkowe informacje: Grzegorz Nocoń, inżynier systemowy, Sophos, grzegorz.nocon@sophos.com

Artykuł Sophos ZTNA: bezpieczny dostęp bez kompromisów pochodzi z serwisu CRN.

– Nie było czegoś takiego jak w ubiegłych latach, że jeśli projekty były przesuwane w czasie, to tylko na 1-2 kwartały – podkreśla Paweł Rybczyk, Senior Territory Sales Manager CEE&CIS w Wallix.

Teraz powinno być już lepiej

Są jednak optymistyczne przesłanki, by twierdzić, że czas sprzedaży oprogramowania do zabezpieczania dostępu dopiero się zaczyna. Wcześniej budżety musiały zostać przeznaczone na sprzęt, więc zeszłoroczne inwestycje na IT dotyczyły zakupów laptopów, serwerów, rozwiązań do wideokonferencji itp. W tym roku są już pierwsze oznaki innego podejścia. Klienci, dysponując niezbędną infrastrukturą sprzętową i połączeniami VPN, chcą teraz lepiej nadzorować to, co się dzieje w ich środowisku IT.

Na decyzje o zakupie lepszej ochrony bez wątpienia wpływać będzie nagłaśnianie poważnych incydentów bezpieczeństwa w Polsce, takich jak ataki na Małopolski Urząd Marszałkowski czy CD Projekt. Coraz częściej dochodzi do nich w naszym kraju, a pytani przez CRN Polska integratorzy twierdzą, że powoływanie się na te i podobne przykłady bardzo pomaga w rozmowach.

– Ponieważ teraz stały się zdalnymi nawet te zewnętrzne usługi, które wcześniej były realizowane na miejscu w firmie, to klienci chcą mieć lepszy wgląd w zasady takiego dostępu – twierdzi Paweł Rybczyk. – I niekoniecznie kontrolowani muszą być użytkownicy z uprawnieniami superadmina. Firmy chcą wiedzieć, kto i kiedy się łączy, a dodatkowo rejestrować, co robi. Za tym idzie integracja rozwiązań IAM/PAM z uwierzytelnianiem dwuskładnikowym.

Większe zainteresowanie zarządzaniem dostępem przejawia też przemysł, bowiem w zakładach produkcyjnych część czynności, w tym związanych z utrzymaniem czy serwisem urządzeń, zaczęła być wykonywana zdalnie. Wobec konieczności rygorystycznej kontroli dostępu wymagane są profesjonalne zabezpieczenia.

Hasła prędko nie odejdą

Przeszło dwa lata temu Gartner przewidywał, że do 2022 r. 60 proc. korporacji i globalnie działających przedsiębiorstw oraz 90 proc. średnich przedsiębiorstw wdroży metody bezhasłowe w ponad 50 proc. zastosowań, co miało być ogromnym wzrostem w porównaniu z 5 proc. w 2018 r. Na początku 2021 można mieć jednak wątpliwości, czy już za rok hasła znajdą się w odwrocie. Rzeczywiście, postęp techniczny w biometrii i rozwój standardów takich jak FIDO2 sprawiają, że trend „passwordless” przybiera na sile. Powstają ciekawe rozwiązania bazujące na biometrii behawioralnej, która jest połączeniem biometrii i analizy behawioralnej UBA (User Behavior Analytics), czyli uczenia maszynowego – rejestrującego standardowe zachowania użytkownika i alarmującego, gdy odbiegają one od normy. Przykładem może być rozwijana przez polski startup usługa Digital Fingerprints.

Pytani przez CRN Polska dostawcy i integratorzy nie zauważają jednak, by klienci gremialnie rezygnowali z haseł. Zwracają przy tym uwagę, że samo hasło nie powinno być jednak podstawą udzielenia dostępu do systemów newralgicznych. Reguły polityki związane z hasłami zmieniają się, ale pewne przyzwyczajenia użytkowników zostają. Gdy korzysta się z prostych haseł, trzeba być świadomym, że jest wiele metod, które mogą być wykorzystane przez napastników do ich złamania. Kolejnym zagrożeniem jest wykorzystywanie tych samych haseł przez użytkowników w wielu serwisach.

Dlatego bardzo wzrosło zainteresowanie rozwiązaniami MFA (uwierzytelniania wieloskładnikowego, najczęściej 2FA) w najróżniejszej formie. Jednakże z jakichkolwiek systemów klienci by nie korzystali, jeżeli nie będą za tym stały odpowiednie reguły polityki bezpieczeństwa, ich egzekwowanie i monitoring, na nic całe przedsięwzięcie.

– Warto pamiętać o zasadzie „least privilege”, czyli nieudzielania użytkownikom większego dostępu niż potrzebują do wykonania danego zadania – mówi Michał Porada, Business Development Manager Cisco Security w Ingram Micro. – Im mniej dostępu, szczególnie do zasobów newralgicznych, tym administratorzy lepiej śpią. Uprawnienia powinny być okresowo sprawdzane, ponieważ w firmach role pracowników często mogą się zmieniać, zaś treść dokumentu polityki bezpieczeństwa należy weryfikować. Uwierzytelnianie się za pomocą 2FA powinno być stosowane wszędzie, gdzie to możliwe.

Według Pawła Zwierzyńskiego, inżyniera sieciowego w Vernity, istotne jest, by użytkownicy posiadali uprawnienia do systemów zgodnie z funkcją biznesową jaką sprawują w firmie. Bardzo często są one jednak zbyt duże – zarówno w warstwie sieciowej, jak i systemowej.

– Nawet jeśli na początku zasady dostępu odpowiadają pełnionym funkcjom biznesowym, to po pewnym czasie ich spójność nie zostaje zachowana, czy to przez błędy administratorów, czy przez umyślne dawanie większych uprawnień dla „świętego spokoju”. Dlatego tak ważne jest ich cykliczne rewidowanie – mówi przedstawiciel poznańskiego integratora.

Michał Porada sugeruje, by zadawać klientowi wiele pytań o rzeczy, które mają bezpośredni wpływ na bezpieczeństwo w jego firmie. Przykładowo: co się stanie po podłączeniu małego routera Wi-Fi do gniazdka LAN w ścianie obok drukarki? Czy zapewniony jest wgląd w aktywność pracowników? Z jakich aplikacji oni korzystają i w jakim stanie są stacje końcowe? Czy pracownik nie próbuje logować się do konkretnych systemów wewnętrznych z wykorzystaniem nieautoryzowanego urządzenia?

Czym jest Zero Trust?

Skrajnym ograniczeniem i pełną kontrolą dostępu, a ostatnio bardzo nośnym marketingowo hasłem, jest koncepcja Zero Trust, powstała już wiele lat temu. U jej podstaw leży konieczność weryfikowania wszelkich prób połączenia z systemem przed udzieleniem dostępu do niego. Zasadą jest brak zaufania do wszystkich i wszystkiego, nawet jeśli to coś podłączone jest już do sieci lokalnej.

– Model ten nie jest możliwy do wdrożenia za pomocą jednego „magicznego pudełka”, bo tak naprawdę pociąga za sobą wiele elementów funkcjonujących w infrastrukturze oraz dotyczy całkowitej zmiany podejścia w dostępie do danych i zasobów, a także reguł polityki z tym związanych – mówi Michał Porada. – W rezultacie mocno dotyka użytkowników końcowych i chociaż dużo się mówi o Zero Trust, to pełne wdrożenie nie jest w tym przypadku procesem ani szybkim i tanim, ani bezbolesnym.

Choć na rynku zaczęły się pojawiać kompletne oferty promowane pod szyldem Zero Trust, to jednak wielu specjalistów uważa, że nie są to tak naprawdę produkty gotowe do wdrożenia i użycia. Szyte na miarę podejście Zero Trust wymaga zwykle użycia różnych produktów, co powinno wynikać ze specyfiki konkretnego klienta. Wdrożenie trzeba poprzedzić weryfikacją wszystkich zasobów w infrastrukturze klienta oraz każdego dostępu i dopiero na tej podstawie wprowadzać ograniczenia. Problem polega na tym, że potrzebnej do tego wiedzy w przedsiębiorstwach brakuje. O ile strategiczne podejście wykazują jeszcze duże firmy, o tyle mniejsze nie mają wystarczającego know-how.

Dopiero, gdy posiada się konsekwentnie realizowaną strategię bezpieczeństwa, można wdrażać różne produkty, które pomogą w realizacji modelu Zero Trust. Dlatego integrator oferujący taki produkt powinien klientowi pomóc w stworzeniu strategii, która będzie wystarczająca nie na miesiąc lub dwa, ale znacznie dłużej. Swoją drogą, dzięki temu, niejako przy okazji, relacja z klientem także staje się długoterminowa.

– W tym kontekście Zero Trust jest czymś pozytywnym. Klienci chcą o tym podejściu rozmawiać, a dla partnerów to szansa zrobienia z bezpieczeństwa projektu, a nie sprzedaży tego czy innego produktu – mówi Paweł Rybczyk.

W kontrze do Zero Trust wydają się działać niektórzy dostawcy rozwiązań bazujących na sztucznej inteligencji. Twierdzą, że zamiast zamykać wszystko, lepiej jest wdrożyć coś, co nauczy się prawidłowych zachowań w danym środowisku, wyszukując anomalie i reagując na nie. Ten rynek jest jednak wciąż w fazie rozwoju.

Zdaniem integratora

Paweł Zwierzyński, inżynier sieciowy, Vernity  

Z początkiem pandemii wyzwania, jakie pojawiły się u naszych klientów, dotyczyły głównie problemów wydajnościowych. Ich infrastruktury nie były gotowe na tak duży wzrost liczby użytkowników pracujących zdalnie. Później na pierwszy plan wyszły kwestie związane z bezpieczeństwem. Większość klientów korzysta tylko z haseł, co stanowi duże zagrożenie. Często dane uwierzytelniające do VPN to również poświadczenia korporacyjne, na przykład do Office 365, więc atakujący, przechwytując je, uzyskuje dostęp do infrastruktury – mieliśmy taki przypadek. Przy dostępie tylko na podstawie haseł i bez polityki w tym obszarze w każdej firmie znajdzie się użytkownik z hasłem typu „Zima2021!”. Klienci są coraz bardziej świadomi, że hasła to za mało i zaczynają postrzegać wieloskładnikowe uwierzytelnianie jako konieczne. Kolejne zagrożenie dotyczy tego, że domowe biura stały się w sumie zdalnymi oddziałami firm, a w domu działają urządzenia IoT. Łatwo się do nich włamać i przez nie uzyskać dostęp do infrastruktury firmowej.

  

Przyspieszenie na rynku usług bezpieczeństwa

Warto odnotować, że wśród klientów biznesowych zaczyna rosnąć zainteresowanie modelem subskrypcyjnym. Użytkownicy tacy mniej chętnie inwestują w wieczyste licencje, których cena zakupu jest odpowiednio większa, choć potem nie trzeba już nic płacić. Dzieje się tak, gdy przedsiębiorcy nie są pewni, jak rozwinie się sytuacja w gospodarce. Przy czym są klienci, którzy nie tylko decydują się na abonament, ale nierzadko chcą, by wybrane rozwiązanie ochronne było zarządzane przez dostawcę usługi.

– Nie chodzi tu o oferty SOC, których przybyło w ostatnich latach, ale ogólnie o usługę bezpiecznego dostępu do infrastruktury, która może bazować na różnych rozwiązaniach ochronnych – dodaje Paweł Rybczyk. – Może to być VPN oraz IAM/PAM z usługą zarządzania dostępem dla klienta, który nie dysponuje odpowiednim zespołem technicznym, by mógł tym zajmować się sam, albo nie ma czasu na kolejne szkolenie swojego przeciążonego personelu IT.

Wcześniej model MSSP z dużymi oporami przebijał się w Polsce do świadomości klientów, dostawców i ich partnerów. Wydaje się, że pandemia i krótkoterminowe planowanie wyraźnie zwiększyły trend świadczenia usług na zasadzie abonamentu, którymi zainteresowany jest nie tylko sektor prywatny, ale także publiczny. Dzięki temu integratorzy coraz częściej będą musieli nie tylko dostarczyć klientowi same produkty, jak przełącznik, router, firewall czy inne zabezpieczenia, ale „opakować” je kompleksową usługą, związaną z zarządzaniem czy integracją z innymi systemami. Co ważne, taki pakiet będzie wynikać z opracowanej wspólnie przez obie strony strategii bezpieczeństwa.

Jak chmura zmieni rynek zabezpieczeń?

Są sygnały z rynku, że klienci przenoszący się do chmury rezygnują z wdrożonych wcześniej we własnej infrastrukturze zabezpieczeń, w tym rozwiązań zarządzania dostępem. Gdy chodzi o chmurę i jej bezpieczeństwo, osobom odpowiedzialnym za IT w firmach zdarza się wpadać z jednej skrajności w drugą. Najpierw cloud był środowiskiem, któremu w ogóle nie należy ufać. Obecnie z kolei można spotkać się z opiniami, że po migracji do chmury już nie trzeba martwić się o narzędzia ochrony, bo wszystko zapewnia jej operator.

Takim klientom warto przypomnieć, kto odpowiada za bezpieczeństwo chmury i w jakim stopniu. Wszyscy dostawcy chmury publicznej proponują model odpowiedzialności współdzielonej z użytkownikiem. W przypadku często wybieranej przez przedsiębiorstwa usługi IaaS operator jest odpowiedzialny za całą infrastrukturę obsługującą – za usługi podstawowe, oprogramowanie do wirtualizacji i sprzęt, łatanie luk i naprawianie błędów w tym obszarze, a także zasilanie i redundancję centrum danych. Rzeczywiście, operator wnosi odporność na zagrożenia, ale tylko niektóre, na przykład ataki typu DDoS.

Dla użytkownika współdzielona odpowiedzialność w usłudze IaaS oznacza, że odpowiada on za to, co wnosi, czyli za systemy i aplikacje. Zarządzanie nimi, ich aktualizowanie i łatanie jest po jego stronie. Co ważne (choć może się to wydać mniej oczywiste), również do niego należy konfiguracja sieci i jej zabezpieczeń. Musi więc zadbać o wdrożenie także narzędzi do kontroli dostępu i uwierzytelniania, najlepiej zintegrowanych w jeden system ochrony dla wykorzystywanego najczęściej środowiska hybrydowego.

– Wykorzystanie chmury wiele zmienia, bo zapewnia wygodną obecnie decentralizację zasobów i możliwość korzystania z usług SaaS – mówi Michał Porada. – Trzeba jednak pamiętać, że dostęp do instancji chmurowych i przechowywanych tam danych również musi zostać odpowiednio zabezpieczony. Przechwycenie loginu i hasła bądź typowe błędy, na przykład przy ustaleniu dostępu do danych, mogą być początkiem dramatu.

Dostawcy wciąż dostosowują swoje oferty – proponują produkty, które są w stanie zabezpieczać dostęp zarówno w chmurze (w tym również w modelu multi-cloud), jak i on-premise. Dla klientów, którzy posiadają jakąś własną infrastrukturę i jednocześnie obawiają się uzależnienia od jednego usługodawcy, może to być lepszy wybór w porównaniu z natywnymi dla chmury narzędziami, które są oferowane przez jej operatorów.

Zdaniem producenta

Paweł Rybczyk, Senior Territory Sales Manager CEE&CIS, Wallix  

W Polsce jako MSSP zaczynają działać operatorzy centrów danych, którzy chcą uzupełnić swoją ofertę infrastruktury o warstwę bezpieczeństwa i aplikacji. Ale nie tylko oni, bo w usługi wchodzą także niektórzy nasi integratorzy, którzy z różnych produktów ze swojego portfolio tworzą całościową ofertę as-a-Service pod wspólnym szyldem, na przykład bezpiecznego dostępu. Takie rozwiązanie nie jest wtedy hostowane po stronie partnera, jak w przypadku operatora centrum danych, tylko wdrażane u klienta, który płaci za nie abonament obejmujący, oprócz licencji, także zarządzanie. De facto w takim modelu dla producenta czy dystrybutora to integrator staje się klientem końcowym.

  

Michał Porada, Business Development Manager Cisco Security, Ingram Micro  

Firmy stanęły wobec wielkiego wyzwania, by z jednej strony zadbać o własne bezpieczeństwo, a z drugiej o komfort pracownika działającego w trybie zdalnym. Gdy wiele z nich ma już za sobą przygotowanie infrastruktury, odpowiednich licencji i reguł polityki, rośnie wśród nich chęć zapewnienia bezpieczniejszego i bardziej kontrolowanego dostępu. W tym tkwi przyczyna zainteresowania takimi rozwiązaniami jak 2FA oraz wykorzystaniem zaawansowanych możliwości narzędzi typu NAC do tworzenia granularnych zasad dostępu, zależnych nie tylko od poświadczeń, ale również wielu innych elementów, jak urządzenie, zainstalowane oprogramowanie, aktualizacje itp.

  

Bogdan Lontkowski, dyrektor regionalny na Polskę, Czechy, Słowację i kraje bałtyckie, Ivanti  

Od wybuchu pandemii na świecie gwałtownie wzrosła liczba niemal wszystkich rodzajów cyberataków, co związane jest przede wszystkim z masowym przechodzeniem firm na pracę zdalną i skupieniem się przestępców na użytkowniku końcowym, który w warunkach pracy w domu stał się jeszcze słabszym niż dotychczas ogniwem systemu. W efekcie łatwiejsze stało się wykradanie haseł, chociażby przy użyciu phishingu. Gdy każdy tydzień przynosi przykłady udanych ataków, w tym na firmy w Polsce, świadomi zagrożeń klienci będę szukać narzędzi, które w modelu Zero Trust pomogą im w zintegrowaniu dostępu do chmury, aplikacji i sieci, umożliwiając korzystanie z hybrydowego IT.

  

Artykuł Bezpieczny dostęp: MFA staje się standardem pochodzi z serwisu CRN.

Natomiast samych rozwiązań jest dość sporo. Właśnie m.in. ich mnogość i różnorodność powoduje, że w zasadzie nie wiadomo, jak ma wyglądać optymalny system uwierzytelniania. Mariusz Baczyński, odpowiedzialny w Cisco za sprzedaż systemów bezpieczeństwa w naszej części Europy, uważa nawet, że… uniwersalnego nie ma. Jego zdaniem każda firma sama musi zdefiniować, które zasoby mają dla niej kluczowe znaczenie, i dopasować do nich odpowiednie rozwiązanie zabezpieczające.

Nie wszyscy to potrafią, co oznacza pojawienie się przestrzeni dla integratora. Może on najpierw doradzić, a potem wdrożyć szyty na miarę system, tym bardziej że potencjalni użytkownicy w Polsce zazwyczaj znają (jedynie ze słyszenia) kilku głównych producentów, których rozwiązania uważają za niezwykle trudne do wdrożenia, a także bardzo kosztowne.

– A przecież mechanizmy w standardowych kontrolerach Active Directory umożliwiają łatwe zarządzanie danymi opisującymi elektroniczną tożsamość, co w czasach zdominowanych przez Windowsy wydaje się atrakcyjną opcją. Jednocześnie rośnie zapotrzebowanie na silne uwierzytelnienie w aplikacjach konsumenckich. Stosowane tam narzędzia wieloskładnikowej autentykacji są coraz łatwiejsze w obsłudze. Wydaje się, że to obiecująca ścieżka rozwoju – przekonuje Michał Jarski, Vice President EMEAA w Wheel Systems.

W kilku krokach

Wieloskładnikowa autentykacja, nazywana też uwierzytelnianiem wielopoziomowym lub Multi Factor Authentication, pomału umacnia się na rynku. Polega na połączeniu czegoś, co użytkownik zna lub ma, czyli np. generatora tokenów do jednorazowego wykorzystania, z czymś, czego trudno użytkownika pozbawić – linii papilarnych lub topologii żył w dłoni. Kombinacji, które integrator może zaproponować klientowi, jest sporo. Producenci oferują około 20 autentykatorów, gdyż oprócz różnego rodzaju tokenów tę rolę mogą pełnić zdrapki, certyfikaty cyfrowe i czytniki biometryczne.