Avanpost Identity Security Platform: будущее защиты цифровых идентичностей

В практике ИТ и ИБ часто встречаются «зоопарки» продуктов и систем. Есть они, среди прочего, и в сфере управления идентичностью и доступом, где очень хочется единообразия, видимости и прозрачности. Александр Махновский из Avanpost рассказывает о решении проблемы за счёт платформы Identity Security.

 

 

 

 

 

 

1. Введение
2. Какие задачи закрывает Identity Security Platform
3. Защита от кражи учётных записей
4. Защита от повышения привилегий
   
   1. 4.1. Управление жизненным циклом учётных записей
   2. 4.2. Управление доступом
   3. 4.3. Централизованный аудит и контроль соответствия
   4. 4.4. Сервис самообслуживания пользователей
   5. 4.5. Управление паролями
   6. 4.6. Сертификация
   7. 4.7. Аттестация
   8. 4.8. Оценка и управление рисками
   9. 4.9. Защита от повышения привилегий с использованием технологических аутентификаторов
5. Мониторинг
6. Выводы

Введение

Современные корпоративные ИТ-инфраструктуры становятся всё более разветвлёнными, масштабными и уязвимыми, особенно в условиях гибридной работы, удалённого доступа и растущего числа киберугроз. В таких условиях одной из ключевых задач является защита цифровой идентичности пользователей и контроль их действий в системах. Для закрытия этого длинного списка в большинстве случаев используется целый комплекс продуктов. Мы в Avanpost для этого предлагаем концепцию платформы Identity Security Platform, которая включает в себя весь необходимый комплекс решений для защиты любой корпоративной ИТ-инфраструктуры. 

Какие задачи закрывает Identity Security Platform

Avanpost Identity Security Platform — непрерывная защита личности в цифровом мире. Платформа закрывает широкий спектр областей, от управления учётными записями и доступа к административным и технологическим аккаунтам до защиты от несанкционированного повышения привилегий. Ниже приведены ключевые функциональные области и компоненты, которые за них отвечают.

Защита от кражи учётных записей

Главным компонентом для защиты учётных записей является многофакторная аутентификация. За неё в платформе отвечает продукт Avanpost MFA, который позволяет настроить защиту от несанкционированного доступа ко всем критически важным корпоративным системам, снижая риск использования скомпрометированных учётных данных. С помощью Avanpost MFA можно легко настроить политики аутентификации в соответствии с регламентами компании и требованиями регуляторов.

Модель безопасности Zero Trust применительно к корпоративным приложениям и рабочему месту сотрудника предполагает интеграцию максимально широкого числа информационных систем к системе аутентификации с MFA. При этом в работе сотрудника повседневно, помимо входа на рабочие станции, применяются веб-приложения, различные сетевые инструменты (VPN, VDI), десктопные клиенты ERP-систем, почтовый клиент, ВКС. 

Это приводит к тому, что многофакторная аутентификация за рабочий день запрашивается у сотрудника многократно, что в масштабах большой организации создаёт дополнительные сложности для работы сотрудников и увеличивает нагрузку на сервис-деск компании. Помимо этого, современный ИТ-ландшафт любой организации состоит из большого числа разнородных информационных систем, интеграция которых с системами аутентификации выполняется по самому разному набору протоколов. 

При следовании концепции Zero Trust для всех систем, с которыми работают сотрудники, требуется подключать VPN / VDI по RADIUS, ERP-системы посредством механизма OIDC / SAML / Enterprise SSO или Reverse Proxy, почтовые клиенты по SAML / WS-Federation и EAS-протоколам.  Применение такого обширного набора технологий и протоколов интеграции и аутентификации создаёт сложности для обеспечения пользовательского опыта однократного входа.

Поэтому в платформу ISP включен продукт Avanpost SSO, который использует технологию единого входа для сквозной аутентификации сотрудника в корпоративных ИТ-системах. SSO реализует кросс-протокольную прозрачную аутентификацию между OIDC, SAML, RADIUS и другими механизмами аутентификации, и обеспечивает централизованное завершение сессии пользователя в АРМ. SSO позволяет обеспечить прозрачную однократную аутентификацию между различными протоколами, компонентами с передачей сессии и признаков сессии между входом на рабочую станцию, десктопом и вебом через браузер.

Конечно, многофакторная аутентификация является очень надежным инструментом, но в сегодняшних реалиях его одного недостаточно для полноценной защиты. Поэтому в платформу включена опция Location Control. Традиционные подходы часто игнорируют географический контекст и атрибуты геолокации, что делает их уязвимыми перед подозрительными входами из новых или небезопасных регионов. 

При этом жёсткие ограничения на основе локации могут раздражать пользователей и снижать их продуктивность. Location Control — это механизм, который определяет, откуда пользователь пытается получить доступ (страна, IP-диапазон, геокоординаты), и на основе этого разрешает, ограничивает или блокирует доступ к системам и данным.

Функциональность Location Control:

• Защита от несанкционированного доступа: автоматическое выявление подозрительных входов из запрещённых или не использовавшихся ранее регионов.
• Оптимизация процессов входа: упрощение аутентификации для доверенных локаций и динамическое усложнение при изменении локации подключения.
• Предотвращение предполагаемых атак: блокировка доступа из небезопасных регионов и реагирование на резкие перемещения между геолокациями.
• Использование контекста для адаптивной MFA: настройка многофакторной аутентификации с учётом геолокации и поведенческих паттернов, связанных с геолокацией.
• Анализ активности в реальном времени: получение детальной аналитики по зарегистрированным локациям и оперативная корректировка политики безопасности.

Все релевантные события, связанные с доступом, должны быть занесены в журнал. За это в ISP отвечает служба каталогов Avanpost Directory Service, которая решает задачи централизованной аутентификации и авторизации, управления пользователями и компьютерами в иерархической структуре, при этом обеспечивая высокую доступность и катастрофоустойчивость данных каталога и сервисов аутентификации в геораспределенных инфраструктурах. 

В основе Avanpost DS лежит высокопроизводительный LDAP-каталог в качестве централизованного хранилища информации о пользователях и ресурсах, а также центр распространения ключей Kerberos, обеспечивающий сквозную аутентификацию в домене. Надежная система мультимастер-репликации гарантирует целостность данных каталога. Доменный клиент Avanpost DS, поддерживающий все российские дистрибутивы Linux, автоматизирует присоединение к домену серверов и рабочих станций и берёт на себя управление аутентификацией и авторизацией.

По части информационной безопасности Avanpost DS предоставляет функциональность журналирования для событий аутентификации, доступа и изменений в каталоге. Посредством гранулярной системы контроля доступа Avanpost DS позволяет делегировать полномочия в доменной иерархии с соблюдением принципа минимальных привилегий.

Защита от повышения привилегий

Чтобы защитить конфиденциальные данные от несанкционированного доступа, компаниям необходимо предотвращать атаки с повышением привилегий. При атаке злоумышленники пытаются расширить уровень своих привилегий в системах, приложениях и сети организации. Это позволяет им получить доступ к конфиденциальным данным, нарушить работу системы, изменить настройки безопасности и установить вредоносные программы.

В ISP для защиты от повышения привилегий при использовании обычных, административных учётных записей и технологических аутентификаторов применяется система Avanpost IDM, которая обеспечивает управление жизненным циклом цифровых идентичностей и контроль над доступами. IDM отвечает не только за то, кто получает доступ, но и за то, почему, когда и на каких условиях этот доступ предоставляется и отзывается.

Управление жизненным циклом учётных записей

Управление учётными записями пользователей информационных систем — рутинная и каждодневная работа ИТ-администраторов, которые вынуждены тратить много времени на такие операции, как создание УЗ, изменение их свойств, блокировку и разблокировку. При этом от корректного управления напрямую зависит защищенность информационных систем и обрабатываемой в них информации. 

В частности, так называемые «мёртвые души», создающие серьёзный риск несанкционированного доступа к системам, — это результат отсутствия своевременной блокировки учётной записи при увольнении сотрудника. Другой распространенный пример — сохранение активного доступа для подрядчиков и прочих сторонних пользователей после завершения их работы. Поэтому автоматизация и контроль данных процессов являются одними из важнейших задач управления доступом к информационным ресурсам.

Функциональность Avanpost IDM по части управления жизненным циклом УЗ:

• Создание, блокировка, разблокировка и удаление учётных записей на основании кадровых событий и заявок.
• Быстрая синхронизация изменений свойств из источников данных в учётные записи пользователей.
• Гибкая настройка автоматической обработки разных кадровых событий для разных групп работников.
• Кастомизация бизнес-процессов обработки кадровых событий.

Управление доступом

Управление доступом к информационным ресурсам современной организации представляет из себя набор разнообразных процессов, таких как управление ролевой моделью, предоставление доступа при приёме на работу и отзыв при увольнении, согласование заявок на доступ и их исполнение, аудит прав доступа и расследование инцидентов. 

От эффективности данных процессов зависит не только защищенность корпоративной информации, но и производительность работы сотрудников, а в ряде случаев и контрагентов. Для обеспечения компромисса между безопасностью и эффективностью бизнес-процессов необходим единый центр управления данными процессами с максимальным сокращением числа ручных операций и минимизацией человеческого фактора при принятии решений.

Функциональность Avanpost IDM по части управления доступом:

• Ролевая модель позволяет определить учётные записи и права доступа, предоставляемые по умолчанию или по запросу для разных групп пользователей, определяемых на основании организационно-штатной структуры или значений атрибутов.
• При изменении признаков пользователей (подразделения, должности) доступы пользователя могут изменяться как автоматически, так и с подтверждением через заявку.
• Правила разграничения полномочий (SOD) позволяют контролировать совмещение критических функций пользователем.
• Отслеживание и исключение дублирующихся и конфликтующих профилей и ролей пользователей в целевых системах.
• Отзыв ролей у пользователей для избежания наслаивания прав.
• Настройка всех обычных, привилегированных и сервисных учётных записей согласно принципу наименьших привилегий (PoLP).
• Управление интегрированными системами.

Централизованный аудит и контроль соответствия

Чтобы обеспечить эффективную работу процессов по управлению доступом, недостаточно просто автоматизировать операции по согласованию и предоставлению прав. Администраторы корпоративных систем всегда будут обладать достаточными полномочиями, позволяющими внести изменения в матрицу доступа в обход автоматизированных процессов. Поэтому для минимизации таких рисков обязательно должны присутствовать процессы аудита и контроля соответствия. 

При этом данные процессы также должны быть автоматизированы, потому что ручное сравнение реальных полномочий пользователей с разрешенными потребует огромных трудозатрат и не сможет обеспечить актуальность полученных результатов. Avanpost IDM позволяет легко автоматизировать проверку, пересмотр и составление отчётов о правах доступа пользователей.

Функциональность Avanpost IDM по части аудита и контроля соответствия:

• Все изменения прав доступа с отметкой о конкретных пользователях и временем внесения хранятся в одном месте, что позволяет получить информацию как о текущем доступе пользователя, так и произвести ретроспективный анализ.
• Документация всех запросов, одобрений и отказов в предоставлении доступа.
• Постоянная сверка прав и атрибутов учётных записей позволяет выявить несанкционированные изменения, сделанные в обход IDM.
• Регулярный аудит журналов для обнаружения подозрительных изменений прав доступа.
• Регулярное тестирование аудита на предмет его эффективности.
• При выявлении несоответствий доступна возможность автоматического исправления, отправки прямого уведомления администраторам или отправки события в SIEM-систему.

Сервис самообслуживания пользователей

Работа пользователей с заявками на доступ, включая операции по их созданию, согласованию и исполнению, является регулярной и чаще всего касается среднего менеджмента. Ведь создание и согласование заявок, как правило, осуществляют руководители подразделений, являющиеся либо непосредственными начальниками получателей доступа, либо бизнес-владельцами систем и ролей. 

Поэтому обеспечение удобства их работы и максимальная оптимизация этих рутинных операций является важнейшей задачей в контексте пользовательских процессов по управлению доступом. Для реализации такого юзабилити-подхода бизнес-пользователям доступен сервис самообслуживания, реализованный в виде веб-приложения, в котором они могут просмотреть всю информацию по личному доступу, инициировать запрос на новые полномочия, а также участвовать в процессах доступных им согласований.

Функциональность Avanpost IDM по части самообслуживания пользователей:

• Пользователи могут создавать заявки на получение дополнительных доступов, изменение статусов учётных записей, корректировку атрибутов своей карточки.
• Руководители имеют возможность просмотра доступа и создания заявок на своих подчиненных.
• Пользователи могут управлять своими паролями через единый интерфейс во всех интегрированных системах.
• Развитый движок рабочего процесса (workflow) позволяет настраивать самые сложные процессы согласования, реализовывать сквозные бизнес-процессы со смежными системами.

Управление паролями

Наряду с управлением учётными записями и полномочиями, управление паролями является основным процессом, необходимым для противодействия несанкционированному доступу к корпоративным ресурсам. Парольные политики должны быть достаточными для того, чтобы минимизировать соответствующий риск. Но в то же время они не должны доставлять больших неудобств пользователю, т.е. фактически должен быть достигнут некий компромисс между удобством и безопасностью. 

В Avanpost IDM cоздание учётной записи пользователя сопровождается автоматической генерацией временного пароля согласно заданной политике. Пароль безопасно доставляется пользователю, например, через корпоративную почту или СМС.

Функциональность Avanpost IDM по части управления паролями:

• Интеграция со службами каталогов позволяет синхронизировать доменный пароль пользователя во все системы.
• Пользователь может задать общий пароль для всех систем одновременно, или управлять паролями для каждой учётной записи отдельно.
• Парольные политики позволяют определить сложность пароля, количество повторений и интервалы смены вне зависимости от наличия этих функций в управляемой системе.
• Пароль, сгенерированный при создании учётной записи, безопасно доставляется пользователю.

Сертификация

Наличие избыточных полномочий пользователей значительно повышает риски утечек корпоративных данных и других злонамеренных действий. Поэтому очень важно обеспечить в организации принцип минимально необходимых привилегий. Наиболее эффективно его можно реализовать с помощью IDM и одним из базовых процессов его поддерживающих является сертификация полномочий.

Сертификация проводится при внедрении IDM и позволяет определить какие полномочия пользователя являются легитимными, а какие избыточными. Фактически после связывания в IDM пользователей с их учётными записями в информационных системах запускается аудит, который выявляет все полномочия пользователей в каждом ресурсе. Далее автоматически на каждого пользователя создается заявка, в которую включаются все его выявленные права доступа. 

Заявка проходит согласование, в котором обычно участвуют непосредственный руководитель сотрудника и / или владельцы ресурса / права. Они отмечают в заявке те права, которые являются избыточными для пользователя. После согласования заявки со всеми участниками процесса IDM исполняет её, то есть отзывает избыточные полномочия, и назначает в IDM полномочия, которые пользователю разрешены. Таким образом сертификация «легитимизирует» доступ, полученный пользователем ранее до внедрения IDM.

Аналогичным образом сертификация работает в дальнейшем при проведение регулярного аудита и выявления прав доступа, предоставленных в обход IDM. Также автоматически создается заявка на выявленные в рамках аудита права, и по результатам согласования они назначаются в IDM или отзываются в целевых ресурсах.

Функциональность Avanpost IDM по части сертификации:

• Сертификация доступов при внедрении IDM позволяет согласовать для каждого пользователя перечень минимально необходимых полномочий.
• Сертификация доступов по результатам аудита позволяет определить легитимность полномочий, предоставленных в обход IDM.
• Сертификация позволяет вовлечь в процесс управления доступом бизнес-пользователей (руководителей и владельцев ресурсов).

Аттестация

Аттестация — это процесс, который, как и сертификация, помогает поддерживать принцип минимально необходимых привилегий и предполагает плановый пересмотр доступов пользователя. 

Аттестация полномочий запускается по расписанию, обычно один раз в год для типовых пользователей. В рамках аттестации на каждого пользователя создается заявка с его текущими полномочиями, которая проходит по маршруту согласования. Как и при сертификации, согласующими лицами чаще всего являются руководитель сотрудника и / или владелец ресурса. 

После согласования заявки, фактически определения согласующими какие полномочия являются у пользователя лишними, IDM исполняет её, то есть отзывает избыточные права в целевых системах. Не менее важно проверять активность учётных записей, особенно административных и сервисных. Неиспользуемые и устаревшие учётные записи блокируются после прохождения согласования.

Расписание аттестации может зависеть от разных факторов. Так, повышение частоты аттестации может использоваться как эффективная компенсационная мера для пользователей, обладающих привилегированными или конфликтными полномочиями, либо попавших под внимание службы ИБ или IDM-системы по какой-либо другой причине.

Функциональность Avanpost IDM по части аттестации:

• Плановый регулярный пересмотр доступов обычных, привилегированных и сервисных учётных записей.
• Гибкие выборки объектов сертификации.
• Проверка хостов, на предмет выданных избыточных привилегированных прав доступа.
• Проверка и отключение неиспользуемых или устаревших обычных, привилегированных и сервисных учётных записей.

Оценка и управление рисками

Наиболее адаптивным подходом в обеспечении информационной безопасности является определение объектов и мер защиты на основании оценки рисков. В этом плане тема управления доступом не стала исключением и с развитием IDM-систем появилась функциональность, позволяющая обеспечить дополнительные меры по защите доступа к информационным ресурсам на основании риск-ориентированной модели.

Для этого в Avanpost IDM для каждого права целевой системы в зависимости от степени его критической значимости определяется уровень риска. Например, высокий риск может быть присвоен правам доступа к информации с высоким грифом конфиденциальности или административным полномочиям. Далее для каждой учётной записи пользователя и в целом по пользователю в зависимости от совокупности полномочий (с использованием встроенной математической модели) автоматически осуществляется оценка рисков. 

Если значения рисков выше допустимого уровня и пользователь или его учётная запись подпадает под понятие привилегированного доступа, они могут компенсироваться за счёт настройки и выполнения дополнительных мер. Например, это может быть простое предупреждение, дополнительные этапы согласования, отказ в выдаче доступа, отзыв прав при сертификации и отдельные политики аттестации доступа.

Функциональность Avanpost IDM по части управления рисками:

• Оценка рисков по учётным записям и пользователям.
• Компенсирующие меры для привилегированного доступа.

Для дополнительной защиты привилегированного доступа в ISP включен продукт Avanpost PAM, который купирует высокий уровень риска, которому подвергаются компании из-за пользователей, располагающих административными полномочиями. PAM управляет правами доступа привилегированных пользователей, устанавливает необходимые ограничения, выявляет попытки несанкционированного доступа и своевременно прекращает его.

Функциональность Avanpost PAM:

• Аудит действий пользователей. Не нужно создавать специальные лендинги для защищаемых серверов и привилегированных учётных записей. Пользователи вводят свои учётные данные как обычно, но сессии проходят через PAM, который накапливает информацию о защищаемых узлах, привилегированных учётных записях и пользователях, обращающихся к ним.
• Применение сигнатурного анализа. Не нужно беспокоиться о сложных методологических вопросах, выходящих за рамки компетенции заказчика / партнера. Автообновляемая библиотека сигнатур обеспечивает эффективную защиту.
• Выявление аномалий в поведении привилегированных пользователей. PAM предлагает уникальные функции по выявлению аномалий в поведении привилегированных пользователей. После обучения системы она способна выявлять ситуации, характеризующиеся нетипичными (а потому — потенциально опасными) действиями пользователей. Эта функциональность поддерживается технологиями машинного обучения и большим набором сенсоров.
• Автоматизированное формирование матрицы доступов (кто куда и под какой УЗ имеет доступ). После накопления достаточной статистики, система минимизирует ручную работу по формированию политики доступа. PAM собирает данные о привилегированных пользователях, защищаемых серверах и учётных записях с высокими правами, формируя матрицу доступов. После легитимизации этих данных администратором, PAM формирует готовую политику доступа, и начинает выполнять автоматическую ротацию паролей.
• Контроль и аудит учётных записей, используемых для восстановления доступа в экстренных ситуациях.
• Сокрытие учётных данных. «Креды» не раскрываются пользователям, доступ предоставляется через PAM.
• Сетевая изоляция. Все подключения к ресурсам выполняются через PAM, что исключает прямой доступ к защищаемым системам.
• Ротация паролей. Система выполняет регулярную смену паролей привилегированных учётных записей.

Защита от повышения привилегий с использованием технологических аутентификаторов

В ISP используются два ключевых механизма защиты технологических аутентификаторов: интегрированная система хранения секретов Vault и управление технологическими учётными записями.

Секретом называется любая конфиденциальная информация — логины и пароли, API-ключи, сертификаты и другие данные, требующие защиты. Основная сложность связана с их хранением: в репозитории держать небезопасно, а при шифровании возникает необходимость управлять ключами. Для решения этой задачи применяется Vault.

Функциональность Vault в ISP:

• Ограничение использования ключей API доверенным списком пользователей и приложений.
• Контроль применения секретов (ключей API, паролей и т. д.) в исходном коде, контейнерах и базах данных, с выдачей их из защищённого хранилища.
• Автоматизация отзыва скомпрометированных ключей.
• Регулярная ротация токенов и ключей доступа.
• Привязка токенов API к определённым профилям или приложениям.

Помимо работы с секретами, важным направлением является контроль технологических учётных записей (ТУЗ). Это неперсонифицированные учётные записи, которые используются сервисами и приложениями для выполнения технических операций. Такие записи, как правило, обладают повышенными привилегиями и могут быть известны нескольким пользователям, что делает их потенциальным источником угроз.

Управление ТУЗ в Avanpost IDM позволяет:

• Централизованно учитывать и контролировать жизненный цикл ТУЗ (создание, использование, вывод из эксплуатации).
• Минимизировать права учётных записей по принципу наименьших привилегий. Права каждой ТУЗ строго регламентируются и минимизируются для выполнения конкретных задач.
• Автоматически отзывать или блокировать доступ при изменениях в инфраструктуре или кадровых событиях.
• Проводить аудит всех прав и действий, связанных с ТУЗ, предотвращая накопление устаревших или избыточных учётных записей.

Мониторинг

Для централизованного мониторинга всех событий в ISP и контроля целостности журналов доступа можно подключить любую современную SIEM-систему. Такая система будет сохранять все действия, совершаемые сервисными учётными записями и УЗ, используемыми для межсервисной аутентификации и авторизации, а также отслеживать использование межсервисных профилей и УЗ на предмет нетипичного или неправомерного использования. В первую очередь, это касается избыточной или подозрительной активности привилегированных аккаунтов.

Выводы

Защита учётных записей — одна из важнейших задач кибербезопасности, стоящая в одном ряду с защитой сетевого периметра. Расширение инфраструктуры за счёт внешних точек подключения, веб-приложений и SaaS-сервисов привело к значительному повышению роли Identity Security. Простого внедрения MFA для закрытия точек подключения стало недостаточно. 

Защита учётных записей должна быть эшелонирована по аналогии с подходами к защите сетевых периметров. Такой уровень защиты возможен только при использовании комплексного решения, состоящего из продуктов разных классов, интегрированных между собой и с системами мониторинга.

Avanpost Identity Security Platform представляет собой именно такую интегрированную экосистему. Её компоненты работают согласованно, обеспечивая централизованное управление доступом, контроль привилегий, защиту от утечки учётных данных и оперативное реагирование на инциденты. Благодаря модульной архитектуре платформа может адаптироваться к потребностям организаций любого масштаба и помогает выполнять требования регуляторов в области информационной безопасности.

Реклама, 18+. ООО «АВАНПОСТ» ИНН 7722778473
ERID: 2VfnxwrCF28