Ulubiony przez hakerów sposób na niezauważone przeniknięcie do firmowej infrastruktury IT odbywa się dzięki kradzieży danych uwierzytelniających, zwłaszcza z konta uprzywilejowanego. Aby temu zapobiec, przedsiębiorcy (czy instytucje) powinni stosować rozwiązania typu Identity and Access Management (IAM), które zapewniają dodatkową warstwę ochrony poprzez dodanie uwierzytelniania wieloskładnikowego w przypadku, gdy – dajmy na to – hasło do VPN-a jest zagrożone. Niemniej należy zwrócić uwagę na fakt, że systemy IAM identyfikują tylko poszczególnych użytkowników i nie umożliwiają szczegółowego administrowania uprawnieniami przypisanymi do poszczególnych zasobów w sieci. Do tego celu należy skorzystać z rozwiązań PAM.

Sam VPN nie wystarczy

Narzędzie WALLIX Bastion gwarantuje bezpieczny zdalny dostęp dla uprzywilejowanych użytkowników. Dodatkowo moduł Access Manager stanowi bardzo dobrą alternatywę lub dodatek do tradycyjnych narzędzi VPN, przy czym jest od nich prostszy i tańszy w konfiguracji oraz zapewnia możliwość bardziej szczegółowego nadzoru nad działaniami osób uprzywilejowanych. Rejestruje też te działania w celach audytowych. W przypadku incydentu dostarcza dane do szczegółowego prześledzenia kto, co i kiedy zrobił, aby możliwe było podjęcie jak najszybszego działania. Ważne jest jednak to, że z firmowej sieci nie należy usuwać mechanizmu VPN, jeśli jest już wdrożony. Funkcja Access Manager jest zalecana jako dodatek do VPN-a, zaś jej stosowanie jest wręcz koniecznością, jeśli w firmie nie korzysta się z tego rozwiązania.

WALLIX Bastion wyposażono także w menedżera haseł, który pozwala uniknąć ryzyka dzielenia się danymi do logowania pomiędzy pracownikami zdalnymi (w badaniach do tego typu praktyk przyznaje się ok. 50 proc. ankietowanych). Menedżer haseł generuje je w sposób automatyczny, z uwzględnieniem ustalonego stopnia złożoności i gwarantuje też ich zmianę w określonych odstępach czasu.

Dostęp z ograniczonym zaufaniem

Rozwiązanie typu PAM można połączyć z narzędziami EPM (Endpoint Privilege Management) do ochrony urządzeń końcowych pracowników zdalnych. Bazują one na koncepcji modelu bezpieczeństwa „zero trust” przez co zakładają, że potencjalnie każdy system może być infiltrowany. Wdrażają wewnętrzne zabezpieczenia, aby zapewnić, że system nie może zostać uszkodzony przez infiltrację spoza sieci korporacyjnej.

Taką zasadę najmniejszego uprzywilejowania zastosowano w rozwiązaniu WALLIX BestSafe. Dzięki temu każdy użytkownik, aplikacja i proces mają dostęp tylko do tych informacji i zasobów, które są niezbędne do wykonania konkretnej operacji. Ograniczenie to nie ma jednak żadnego wpływu na biznesową działalność pracowników. Mogą oni normalnie wykonywać swoje obowiązki, uruchamiać wymagające uprawnień aplikacje korporacyjne, a nawet instalować oprogramowanie z firmowej witryny, pod warunkiem, że nie jest ono zablokowane dla danego użytkownika przez dział IT. Nowość stanowi jedynie to, że do wszystkich tych operacji nie muszą mieć uprawnień administratora.

Dodatkowe informacje: Paweł Rybczyk, Territory Manager CEE/CIS, WALLIX, prybczyk@wallix.com

Artykuł PAM ułatwi uprzywilejowany zdalny dostęp do zasobów pochodzi z serwisu CRN.

Procesy skutecznie zablokowane

WALLIX BestSafe to rozwiązanie typu EMS (Endpoint Management Solution), w którym zastosowano tzw. zasadę najmniejszego uprzywilejowania. Zgodnie z nią każdy użytkownik, aplikacja i proces mają dostęp tylko do tych informacji i zasobów, które są niezbędne do wykonania konkretnej operacji. 

Ograniczenie to nie ma żadnego wpływu na biznesową działalność pracowników. Administratorzy w dziale IT mają zagwarantowane proste zarządzanie bezpieczeństwem urządzeń końcowych, a wszyscy użytkownicy – komfort pracy. Mogą normalnie pracować, uruchamiać wymagające uprawnień aplikacje korporacyjne, a nawet instalować oprogramowanie z firmowej witryny, pod warunkiem, że nie jest ono zablokowane dla danego użytkownika przez dział IT. Nowość stanowi jedynie to, że do wszystkich tych operacji nie muszą mieć uprawnień administratora.

Po wdrożeniu oprogramowania BestSafe administratorzy mają dwie operacje do przeprowadzenia. Muszą zmienić ustawienia systemowe tak, by nikt nie miał uprawnień administracyjnych, a następnie zainstalować agenta BestSafe na urządzeniach końcowych. Od tego momentu sprzęt jest chroniony przed wszystkimi atakami, które można przeprowadzić, jedynie z konta administratora (ransomware, cryptojacking i inne rodzaje złośliwego kodu). Dzięki temu żadna aplikacja, żaden proces ani żaden użytkownik nie będzie w stanie wykonać operacji, do których nie jest uprawniony.

Tego typu ochrona jest możliwa dzięki innowacyjnemu mechanizmowi stworzonemu przez programistów firmy WALLIX. Agent oprogramowania BestSafe działa jak kolejna aplikacja i przechwytuje inne programy jeszcze przed ich połączeniem się z interfejsem API systemu Windows. Następnie przeprowadza analizę, aby sprawdzić, jaką operację program ma wykonać, przez kogo został uruchomiony a także z jakimi interfejsami API ma się połączyć.

Operacja ta przeprowadzana jest zgodnie z regułami zdefiniowanymi wcześniej w polityce bezpieczeństwa, które określają, czy dany proces może być dalej wykonywany, czy też należy go zablokować i uniemożliwić wszelkie wywołania interfejsu API. BestSafe zapewnia także monitorowanie działania programu, jeśli zachodzi podejrzenie, że jest on złośliwy.

Stan zabezpieczeń dostępu do zasobów IT, zapewnianych przez usługę WALLIX Trustelem, prezentowany jest w przejrzysty sposób w panelu zarządzania. 

W chmurze też jest bezpiecznie

Rozwiązanie WALLIX Trustelem powstało w reakcji na wyzwania rynkowe, przed którymi stoją dziś działy IT, dotyczące zapewniania dostępu zarówno do zasobów wewnętrznych przedsiębiorstwa, jak i znajdujących się w chmurze. To usługa typu IDaaS (ID as a Service), która zabezpiecza przed nadużyciami związanymi z tożsamością użytkowników dzięki zastąpieniu prostych haseł wzmocnionym, obowiązującym we wszystkich firmowych systemach uwierzytelnianiem. Zapewnia różnorodne funkcje zarządzania dostępem, takie jak: baza tożsamości i danych logowania użytkowników do aplikacji, pojedyncze logowanie (Single Sign-On), synchronizacja katalogów firmowych, kontekstowa kontrola dostępu, wieloskładnikowa autoryzacja (w tym FIDO) oraz zarządzanie i monitorowanie 24/7.

Priorytetem dla użytkowników jest łatwość dostępu do systemów IT i komfort korzystania z nich. Twórcy usługi Trustelem uszanowali to. Po zalogowaniu się do niej każdy może bezpiecznie uruchamiać aplikacje, których ikony wyświetlane są na pulpicie (ich lista zmieniana jest w zależności od tzw. kontekstu sieciowego, czyli np. sposobu, w jaki użytkownik łączy się z siecią). Możliwe jest też skonfigurowanie usługi w taki sposób, aby zaraz po zalogowaniu się użytkownika uruchamiany był konkretny program. W każdym przypadku jednak uwierzytelnianie dokonywane jest w ramach usługi Trustelem, działającej jako zaufana strona trzecia. 

Podczas uzyskiwania dostępu do oprogramowania z urządzenia podłączonego do domeny Active Directory użytkownicy są automatycznie uwierzytelniani za pomocą funkcji Integrated Windows Authentication. Zaszyfrowany token Kerberos jest wysyłany do Trustelem i sprawdzany przez kontroler domeny. Po jego zatwierdzeniu usługa umożliwia bezpieczny dostęp do pulpitu użytkownika lub wybranej aplikacji. Natomiast jeśli w danym momencie urządzenie nie jest podłączone do domeny Active Directory, użytkownik może się uwierzytelnić hasłem wykorzystywanym w tej usłudze. Ważny jest tu fakt, że hasła z serwera Active Directory nigdy nie są przechowywane przez Trustelem, zawsze są sprawdzane w czasie rzeczywistym przez jeden z kontrolerów domeny.

Do najbardziej stresujących sytuacji, z jakimi mają do czynienia użytkownicy aplikacji i usługi cyfrowych, zaliczyć można  zapomnienie hasła. Konieczność obsługi tego typu zgłoszeń jest dla działu IT stratą czasu i generuje dodatkowe koszty. Tymczasem narzędzie Trustelem Reconnect umożliwia użytkownikom samodzielne resetowanie hasła do Active Directory po uwierzytelnieniu się za pomocą jednego z kilku alternatywnych rozwiązań, takich jak aplikacja mobilna Trustelem Authenticator, SMS, klucz zabezpieczający FIDO, ustanowione wcześniej pytania weryfikujące itp.

Usługa Trustelem została zaprojektowana tak, aby korzystanie z niej było proste i intuicyjne także dla administratorów. Jej konsola web umożliwia ustawienie synchronizacji katalogów, zarządzanie cyklem życia kont użytkowników zewnętrznych i aplikacji, tworzenie i dostosowywanie reguł dostępu do zasobów, monitorowanie aktywności użytkowników oraz zapewnienie bezpiecznego dostępu do danych audytowych. Wiele narzędzi, zarówno dystrybuowanych w modelu SaaS, jak i wdrażanych lokalnie, jest wstępnie zintegrowanych z Trustelem (m.in. Office 365, G Suite, Salesforce, Dropbox). Usługa ta może być zintegrowana z każdą aplikacją zgodną ze standardami SAML, OpenID Connect lub OAuth.

Artykuł WALLIX nie dopuści do nadużycia zaufania pochodzi z serwisu CRN.