Pam система что это

What is Privileged Access Management (PAM)?

Privileged Access Management (PAM) includes cyber security strategies and technologies for applying control over the privileged access and permission for users, accounts, processes, and systems across an environment.

By appropriately giving privileged access control, PAM can help organizations control and reduce the possibility of the attack from third parties and prevent the internal carelessness of the individual. PAM is not only applicable to a human being, but it also applies to the non-humans such as application and machine identity.

Example:

Let’s consider an admin account. So what does a PAM do? It will take the privileged account credentials and put them in a secure place or in the vault, which will isolate the use of the privileged account credentials, reducing the risk of any attacks or misleadings.

Since it was kept inside the repository, the system administrator will need to go to the PAM system to access their credentials. When they request access to credentials, they will be authenticated at different levels.

Once all the authentication is done, they will be provided access to their credentials. Also, once these credentials are put in the repository, all their processes will be reset, and for the subsequent time, all methods need to be repeated to get the credentials.

What are the Different Types of Privileged Access Management Accounts?

The following are the different types of Privilege Access management accounts:

1. Local Administrative Accounts

These are the shared accounts that provide admin access to the local host or session only. The IT staff typically uses these accounts to perform maintenance or set up the new workstations.

2. Privileged User Accounts

These are the users that are granted administrative privileges to systems. Privileged User Accounts are among the most common types of accounts that have access granted on an enterprise domain. These give administrative rights to one or more systems.

Generally, these accounts have unique and complex passwords, but most of the time are protected by passwords alone. These are the types of accounts that should be monitored closely. And these are the accounts that sometimes do not belong to the individual user instead of that they are shared among the multiple admins.

3. Domain Admin Accounts

These super admin accounts have access to all the organization’s workstations, and it provides the most extensive access across the network. They can modify the membership of every administrative account within the domain. These accounts are under the attacker’s radar and should be monitored closely, and PAM should be implemented here.

4. Service Accounts

It is the type of accounts that are privileged local or domain accounts that are used by the application or service to interact with the operating system. In some cases, these service accounts have administrative privileges on domains depending on the requirements of the application they are used for.

5. Emergency Accounts

It is the type of account that provides the unprivileged users with admin access in case of emergency to protect the system. They are also called ‘firecall’ or ‘break glass accounts. Access to this account requires the organization’s IT management team approval. Most of the time, this is a manual process because of which it rarely lacks any security measures.

What are the Features of a PAM software?

We have already discussed why Privileged Access Management (PAM) is useful for organizations that are growing or have an extensive IT system within the organization itself.

Now, let’s discuss the features that the PAM software provides:

• It provides the Multi-Factor Authentication service for the administrators.
• It has an access manager that stores all the information about permissions and privileged user information.
• As we know, in PAM, passwords are stored in secret places or vaults, So this is also provided by the PAM itself.
• It also provides the facility of dynamic authorization, which means access to individual users for a particular period.
• It also has automatic provisioning and deprovisioning, which helps reduce insider threats, and the Audit logs feature that allows the organization to meet the compliance requirements.

Common Strategies that the Organization Should Use to Ensure the Proper Implementation of PAM

There are some common strategies that every organization that uses the PAM should follow for the proper implementation of PAM Software, and those strategies are:

• An organization should maintain the proper inventory of all privileged accounts.
• Organizations should not give administrative access for sharing the accounts.
• Every organization should enforce or use the password policy for creating any password.
• Give access to the privileged account to the limited members.
• Use the different types of tools and monitoring systems to gather the proper knowledge of what the privileged users are doing.
• Update employees about changes in privileged access policies and procedures to ensure they understand how to use and manage their privileged credentials correctly.
• All organizations should maintain the proper documentation of account management rules and processes.

What’s the Difference Between Identity and Access Management (IAM) and Privileged Access Management?

Privileged access management is always considered one of the parts of identity and access management (IAM). However, identity and privilege are both interlinked with each other.

Identity management refers to the people like you, your boss, or the organization’s IT management team are examples. These people are responsible for creating, updating, or even deleting attributes. The main reason for IAM is having one digital identity per user, and once this identity is established it must be maintained, modified, and monitored.

Privileged Access Management is a part of IAM. Here, PAM help’s the IAM in helping manage entitlements, not only of individual users but also shared accounts such as super users, administrative, and service accounts.

A PAM is a tool that manages and protects all privileged accounts. It also provides a unified, robust, and-importantly-transparent platform integrated into an organization’s overall identity and access management (IAM) strategy.

While PAM deals explicitly with privileged accounts, Identity and Access Management deals with all the types of users and identities in an organization. They might be different in what they protect, but in the larger picture, PAM and IAM make for holistic security as they comprise Access Management and Identity Governance and Administration.

Conclusion

In this article, we have learnt about Privileged Access Management, which helps organizations protect privileged accounts and credentials. The details mentioned here will help you to understand how to use PAM and what are all things that should be in mind during the use of Privileged Access Management(PAM).

PAM: Когда нужно запустить безопасную работу с чем-то действительно очень важным

Привет, Хабр! Сегодня мне хотелось бы поговорить о том, как можно контролировать облачного провайдера или внешних подрядчиков, если речь идет о работе с действительно важными и даже критически важными ИТ-системами. В этом посте речь пойдет про решение категории PAM, а также о сценариях его использования, которые становятся все популярнее.

Потребность в системах Privileged Access Management (PAM) возникает не всегда, и далеко не у всех. Но именно в тех случаях, когда мы говорим о доступе к критически важным системам, использование PAM позволяет решить сразу очень много задач, связанных с надежностью и доверием.

Продуктивные системы, доступ к которым должен быть ограничен, а цена простоя может составлять миллионы рублей в минуты, требуется тщательно защищать, в том числе и от администраторов.

Облачные сервисы становятся все популярнее даже для продуктивных нагрузок и размещения критически важных для деятельности организаций систем. Для их защиты от провайдера также используется PAM.

Удаленная работа — это отдельная жесть с точки зрения организации доступа, особенно когда речь идет об удаленных администраторах. Да и других привилегированных пользователей лучше все-таки контролировать.

Аутсорсинг — специалисты, работающие на аутсорсинге, часто работают с почасовой схемой оплаты. Но сколько в действительности они работали, какой объем сделали за свою сессию с 8 утра до 6 вечера?

Защита от атак — в последнее время в российском сегменте сети увеличилось количество атак с использованием аккаунтов привилегированных пользователей. Таким образом, даже хороший и проверенный администратор может сам того не желая предоставить брешь для доступа злоумышленников к критически важным ИТ-системам.

PAM — наш ответ лентяям и вредителям

Чтобы решить эту проблему мы используем систему PAM Infrascope от российского разработчика, компании NGR Softlab. Наверное, сейчас вообще не имеет смысла рассматривать что-то зарубежное, но дело даже не в этом. Мы начали пользоваться Infrascope еще в 2021 году, потому что решение полностью закрывает те потребности, которые у нас были.

Сервер PAM стоит на границе, открывая каналы доступа к целевым системам. То есть мы получаем своего рода proxy. После подключения через VPN доступен только сервер PAM, а весь остальной доступ происходит через него.

Работа пользователей идет через портал самообслуживания, они логинится и проваливается через контролируемые сеансы для работы на защищаемых серверах.

Сервер Infrascope устанавливается как отдельная виртуальная машина или в виде отдельного сервера и настраивается отдельно под каждого клиента.

Как все это выглядит?

Главным в такой системе является офицер безопасности компании-заказчика. В своей консоли он настраивает права доступа и аккаунты, через которые будет происходить подключение к критически важным ресурсам.

На скриншоте консоли вы видите, что офицер безопасности может выбрать доступные ресурсы и детально настроить их параметры.

Для пользователей работа с PAM от Infrascope выглядит очень просто. Каждый привилегированный юзер заходит на портал через браузер — просто вводит адрес или переходит по ссылке. Далее вводит логин, пароль и OTP для второго фактора аутентификации. Двухфакторную аутентификацию можно настроить и для входа на целевые ресурсы.

форма ввода логина/пароля

В консоли видны те ресурсы, к которым предоставлен доступ

Посмотрим, как организовано управление ВМ. Подключимся к системе с Windows.

Здесь на скриншоте есть выбор — зайти с правами администратора или пользователя. В зависимости от настроек вход пользователю может быть доступен одной или несколькими учетными записями.

Сессии глазами офицера безопасности

Помимо записи и протоколирования сессий в PAM есть разные функции, которые позволяют прервать нежелательные действия или не допустить их. Так, имеется возможность ограничить выполнение определенных команд. Также подключиться можно к активной сессии пользователя и перехватить управление.

В окошке справа на скриншоте видно, что идет активная сессия, видны IP-адрес, время работы, целевая система и другие параметры.

Офицер ИБ может выполнить различные действия — подключиться к системе, прервать сессию принудительно…или просто отправить пользователю сообщение.

В случае, если пользователь ведет себя подозрительно, можно перехватить управление, тогда на своем экране пользователь увидит следующее

Задавая параметры работы протоколов, можно запретить некоторые команды. Например, вы можете препятствовать перезагрузке машины по SSH. При попытке сделать коверное действие пользователь получает соответствующее сообщение о запрете.

На скриншоте выше можно увидеть, как именно устроена панель администратора. Вы видите все активные окна пользователя, а рядом находится кнопочка keylogger. Она позволяет включить отслеживание консольных команд, которые выполняет пользователь.

Дополнительная безопасность

Поскольку наша (или того, кто внедряет PAM) финальная цель защитить данные, я упомянул бы еще несколько интересных возможностей решения Infrascope:

Маскирование данных — при подключении админа для работы с СУБД можно настроить маскировку хранящихся в ней данных. Админить можно, скачать ничего нельзя.

Журналирование и оповещения — запись всех действий и возможность скрыть данные прямо в реальном времени, если твориться что-то подозрительное

Безагентное подключение и отсутствие jump-серверов — никаких дополнительных компонентов, необходимых для подключения — повышение надежности решения и исключение лишних узких и уязвимых мест

Сколько это стоит?

Стоимость PAM зависит от количества привилегированных пользователей, которых необходимо контролировать, а также от характеристик и набора целевых систем, а также от спектра поддерживаемых функций. Но главное, что возможности контроля и записи сессий имеются в любых, даже самых базовых комплектациях.

В среднем по рынку контроль 5-10 пользователей на уровне PAM стоит порядка 5 миллионов рублей + расходы на поддержку и сопровождение. Поэтому за эшелон защиты PAM чаще всего выводятся контроллеры доменов, критически важные СУБД, интерфейсы для платежных сервисов и банковских систем, хранилища 1С и так далее. И, конечно, реализовать такую инфраструктуру имеет смысл в том случае, если риски недоступности системы оказываются дороже внедрения и эксплуатации PAM.

Отказоустойчивость

Стоит учесть, что инфраструктура PAM должна быть организована таким образом, чтобы ее обход был невозможен. Иначе сама концепция теряет смысл. Поэтому необходимо не только использовать защищенные подключения, но и гарантировать тот уровень доступности самого узла PAM, который предусмотрен требованиями к работе админстраторов/аутсорсеров.

Поэтому на самых ответственных проектах мы разворачиваем сразу два сервера PAM, Это очень важно, если необходимо обеспечить обслуживание инфраструктуры в режиме 24х7, но при этом не идти на компромисс с требованиями безопасности.

Когда стоит сделать PAM?

Все это, конечно, выглядит очень сложно, но зато позволяет компаниям, использующим аутсорсинг, переводящим админов на удаленку или переносящим нагрузки в облако, сохранить высокий уровень безопасности и полностью контролировать процесс со стороны ИБ.

К слову, недавно NGR Softlab прислали нам информацию про свою акцию: разработчик предлагает скидки на свое решение до 31.12.2022. Мы, конечно, не будем заниматься рекламой, но скажем кратко, что сейчас стоимость контроля до 5 привилегированных пользователей с этой системой стоит меньше, чем обычно, и некоторые наши клиенты уже воспользовались таким предложением, оценив риски потери доступа или нанесения ущерба критически важным системам аутсорсерами. К тому же мы на своем опыте убедились в том, что наличие PAM на границе ответственности даже между нашими инженерами и клиентом позволяет создать хорошую зону доверия, снимая напряженность от работы с критически важными системами, от которых зависит бизнес наших клиентов.

Привилегированный доступ, или Между бюрократией и безграничной свободой

В последние несколько лет управление привилегированным доступом (Privileged Access Management, PAM) – контроль, мониторинг и аудит привилегированных пользователей, учетных записей и секретов для удаленного подключения и управления IT-системами – стало одной из наиболее актуальных тем. В июне 2018 г. Gartner опубликовал список из 10 проектов по защите информационной безопасности, которые «снижают большую часть риска и имеют наибольшее влияние на бизнес». Первое место досталось управлению привилегированным доступом для удаленного подключении к IT-системам. Большинство целевых атак направлено на компрометацию привилегированных учетных записей. Фактически от массивной атаки периметр безопасности отделяет лишь привилегированная запись. Часто такие атаки направлены не на целевые системы, а на смежные, партнерские, менее защищенные, но при этом предоставляющие доступ к целевым системам. В рубрике «День эксперта» Андрей Акинин, генеральный директор компании Web Control, расскажет об особенностях PAM-системы.

Для чего нужны PAM-системы?

PAM-системы решают вопросы как информационной безопасности, так и управления и контроля привилегированного доступа. Задачи управления доступом также возложены на системы IAM (Identity and Access Management) и IdM (Identity Management), но привилегированный доступ имеет свою специфику, и хотя данные решения могут управлять доступом администраторов, они не всегда удовлетворяют расширенным требованиям безопасности, предъявляемым к привилегированному доступу.

Управление привилегированным доступом включает в себя не только управление информационной безопасностью, оно должно упрощать работу администраторов в условиях повышенных требований к привилегированному доступу. То есть, с одной стороны, подобные решения являются необходимым элементом кибербезопасности, потому что снижают последствия угроз за счет защиты привилегированных учетных данных и политики ограничения привилегий, а также облегчают процесс расследования инцидентов. С другой стороны, PAM решают задачи IAM, а иногда IdM-решений в зрелых компаниях с развитой моделью привилегий не только для учетных данных администратора, но и для разделяемых ученых записей, учетных записей приложений и устройств. Поэтому Privileged Access Management является дополнением к уже имеющимся решениям идентификации и управления доступом.

Меньше управления, больше контроля

Традиционно PAM-системы служат не столько для управления привилегированным доступом, сколько для контроля действий привилегированных пользователей, под которыми понимаются не сотрудники со специфическими привилегиями, а администраторы и разработчики с полномочиями управления в ИТ-системах и приложениях. PAM-решения могут включать в себя функционал для управления привилегированными учетными данными, например для автоматической плановой смены паролей.

Обычно процесс использования PAM-системы с точки зрения пользователя выглядит очень просто и не сильно отличается от работы с другими системами идентификации. Как правило, они имеют продвинутые технологии аутентификации, управления учетными данными и контроля сеансов. Привилегированные пользователи авторизуются в PAM-системе, причем идеально, если система поддерживает многофакторную аутентификацию, желательно с возможностью авторизации отдельных транзакций доступа и действий. Затем через единый интерфейс по защищенному каналу предоставляется доступ к тем серверам компании и приложениям/оснасткам, к которым доступ данному специалисту согласован, здесь же можно согласовать доступ к новой целевой системе.

Изоляция процессов аутентификации

Основным принципом работы современной PAM-системы является реализация наименьших привилегий, то есть привилегии предоставляются динамически, на ограниченное время, для конкретной системы или даже процесса в системе с конкретным инструментом управления. Однако не всегда интерфейсы управления системами отвечают современным требованиям к защите учетных данных. Поэтому мы наблюдаем очевидную тенденцию к изоляции процессов аутентификации пользователей в защищенной среде управления (Jupm-сервер, Bastion Host и т.д.). Таким образом, ввод идентификационных данных происходит автоматически, в доверенной среде, что значительно снижает вероятность их компрометации.

Традиционный PAM выступает шлюзом между привилегированным пользователем и целевой ИТ-системой, поэтому является исключительно удобной точкой не только записи экранов и вводимых команд, но и управления (блокировки команд и т.д.). Развитые системы PAM не только обеспечивают контроль действий привилегированных пользователей, но и облегчают исполнение ими правил безопасной работы с привилегиями. С одной стороны, снижается вероятность непреднамеренных нарушений, с другой – повышается прозрачность реализации расширенных полномочий.

Оптимизация работы ИТ-департаментов

Системы PAM могут автоматизировать действия дорогостоящих квалифицированных специалистов ИТ и ИБ. Для ИТ-отделов сокращается количество рутинных операций по согласованию доступа, выяснению параметров доступа и запуска сеансов управления, запуску скриптов и других инструментов автоматизированного управления ИТ-системой.

Для команды информационной безопасности автоматически выполняется грандиозная работа по контролю действий в ИТ-системах и расследованию инцидентов. Даже в случае совместного использования несколькими администраторами одной учетной записи, как, например, admin или root, всегда можно легко выяснить, кто именно проводил работы. Для руководителей ИТ- и ИБ-департаментов повышается прозрачность: кто какие действия выполнял или не выполнял, что особенно актуально при большом количестве штатных сотрудников и привлекаемых подрядчиков.

Непрерывный апгрейд технологий

Системы PAM активно развиваются, добавляя новые возможности, и аналитические агентства предвещают их дальнейшее бурное развитие.

В планах одного из лидеров этой отрасли, компании CyberArk, – обеспечение более широкого использования безопасного хранилища паролей и секретов для доступа к облачным технологиям, а также предоставление облегченного решения для компаний малого и среднего бизнеса.

BeyondTrust и Centrify работают над улучшением возможностей оценки рисков, поддержки контейнеров и DevOps. Thycotic объявил об улучшении жизненного цикла привилегированных учетных записей и дальнейшей интеграции своего решения с IaaS и PaaS. Об использовании микросервисной архитектуры говорят BeyondTrust и CA Technologies, а Micro Focus планирует добавить управление привилегированными записями и доступом для устройств IoT. Новое решение по управлению привилегированным доступом к облачным ресурсам PrivX от компании SSH Communications Security Oyj разработано без использования безопасного хранилища паролей. Новый отечественный продукт sPACE реализует оригинальную функцию динамического управления доступом в виде системы нарядов-допусков. Другое российское решение, SafeInspect, использует оригинальные методы контроля управления сессиями между компонентами распределенных приложений баз данных.

Получаются очень интересные решения, когда в PAM-систему производители интегрируют функции из других областей, например обнаружения аномального поведения пользователей. Применительно к системным администраторам так удается выявлять служебные нарушения, которые очень сложно обнаружить традиционными способами ввиду специфики работы: вывод ценных данных в корыстных целях, использование вычислительных мощностей не по назначению, обнаружение действий злоумышленника из взломанного аккаунта администратора и др.

Чем активнее развиваются разные сферы информационных технологий, тем более сложные задачи может решать одна отдельно взятая система. Дополненную реальность начинают применять в SOC, лучшие практики высокопроизводительных GPU-вычислений для майнинга криптовалют перенимают для аналитики больших данных. В будущем все больше технологий аналитики и автоматизации будут приходить в PAM-системы из сопредельных областей.

Переход к брокеру привилегий

Добавление нового функционала приводит к тому, что традиционные системы управления привилегированным доступом начинают перерождаться в PAM-решения следующего поколения, своего рода брокеры привилегий.

Брокер привилегий представляет собой не только инструмент контроля привилегированного пользователя, но скорее средство автоматизации доставки привилегий потребителям: не только администраторам систем, но и приложениям, а при переходе к микросервисной архитектуре – отдельным компонентам приложений. В отличие от управления привилегированным доступом брокер привилегий доставляет привилегии для всех компонентов.

Такие решения не только снижают риск нецелевого использования прав администратора системы, но и сокращают расходы на обслуживание, среднее время восстановления работоспособности. В отличие от традиционных систем управления привилегированным доступом они предоставляют тщательно настроенный доступ к информационным системам и самим информационным системам, который привязан не к роли или пользователю, а к конкретной задаче в определенное время, именно тогда, когда это необходимо. Очевидно, что такой подход обеспечивает более эффективное управление жизненным циклом привилегий и более эффективную реализацию политики наименьших привилегий.

Неизбежная дилемма

Для администратора систем требуются повышенные привилегии, но если пользователь обладает этими привилегиями постоянно, это значительно повышает риск компрометации. А если пользователь получает привилегии по необходимости, то тогда встает вопрос получения прав и снижается производительность труда администратора. Мы встаем перед дилеммой: наделять всеми привилегиями и дать полную свободу или наделять привилегиями по требованию. Всех раздражает, когда требуется выполнять много действий, и трудозатратные формальные процедуры препятствуют выполнению задач. А в некоторых случаях подобное промедление может оказать негативное влияние на бизнес и привести к убыткам. Для корпоративной безопасности очень важно предлагать пользователям простые, удобные и очевидные решения, чтобы не возникало соблазна их обходить в попытке сделать жизнь проще.

Чем руководствоваться при выборе системы?

На рынке огромное количество разных систем, которые позволяют решать одну и ту же задачу различными способами. Каждая компания выбирает то, что ей нужно. Кому-то достаточно простой системы идентификации, кому-то нужен брокер привилегий с функциями поведенческого анализа. Для некоторых компаний потеря ИТ-системы целиком не приводит к существенным убыткам, а в крупных сетевых ритейлерах даже секунда простоя может вызвать огромные финансовые потери.

Выбор необходимой системы определяется моделью привилегий. Сформировать модель привилегий, соответствующую модели угроз, необходимо до начала выбора системы. Это поможет поставить задачу производителю, и с большей вероятностью заказчик выберет то, что ему нужно, а не то, что рекомендуют специалисты по маркетингу основных вендоров.

От системы организации работы администраторов требуется, чтобы для согласования и подключения к ИТ-системам от специалистов требовалось меньше действий, чем если бы этой системы не было. В идеале – избавиться вовсе от согласований по почте, бумажек с паролями под клавиатурой (на мониторе или каких-то других «экзотических» хранилищах), электронных таблиц с параметрами доступа и т.д.

Система должна действительно повышать эффективность затрат ИТ и ИБ:

• помогать самим администраторам, упрощая процесс предоставления прав на нужный период доступа;
• требовать как можно меньшее количество переходов по вкладкам и меню;
• максимально снизить необходимость ручного заполнения электронных форм, получая все данные из смежных систем (IDM, Service Desk, SIEM, Inventory и т.д.).

Рабочий интерфейс для команды безопасности должен позволять выполнять свои функции с минимальными усилиями.

Чтобы систему организации и контроля администрирования можно было полноценно, долго и успешно использовать, требуется большое оперативное хранилище записей действий, приближенная к реальному времени скорость выборки данных для расследований. Очень важно, чтобы система позволяла просто и быстро проводить расследование инцидентов: кто именно и что делал в системе.

Другим важным фактором является нагрузочная способность: сколько параллельных соединений может контролировать система. Для больших предприятий всегда возникает вопрос, не будет ли дополнительная система при подключении вносить помехи и задержки. Большие компании используют большое количество информационных систем, в том числе корпоративных. PAM-системы должны интегрироваться с подобными корпоративными решениями, и такая интеграция не должна занимать много времени.

Корпоративный маст-хэв

Рынок PAM-систем активно растет во всем миру. Ключевых факторов для этого несколько:

1. Цифровизация предприятий и увеличение при этом зависимости от ИТ-систем требует их повышенного контроля.
2. Появляется больше компаний, у которых бизнес напрямую зависит от И Т.
3. Размывается периметр сети, заключается больше контрактов на аутсорсинг; чтобы не потерять контроль над своей инфраструктурой, предприятия внедряют средства контроля.

Россия не отстает от этих тенденций, а в некоторых случаях и значительно опережает в силу большей зрелости подразделений информационной безопасности.

Привилегированными пользователями проще управлять, чем контролировать их. PAM-системы помогают снизить потери от простоя критичных бизнес-процессов, сократить затраты, связанные с управлением ИТ-систем, и обеспечить непрерывность бизнеса.

Автоматизация бизнес-процессов и внедрение лучших практик помогут взять под контроль работу технических ИТ-специалистов. На базе PAM можно выстроить безопасную удаленную поддержку со стороны вендоров и аутсорсеров, упростить обеспечение безопасного привилегированного доступа к ИТ-системам. При правильной настройке это может быть быстрый, надежный и удобный инструмент безопасного администрирования.

Дополнительный положительный эффект достигается благодаря возможности анализа выполненных действий, обмена опытом и совместной работы технических специалистов.

Таким образом, PAM обеспечивает прозрачность и полный контроль процессов реализации привилегий в корпоративной модели управления и является мощным инструментом обнаружения и расследования инцидентов безопасности, который должен быть в арсенале каждой крупной компании.

Privileged Access Management, PAM
Решения для управления привилегированным доступом (мировой рынок)

2022: Главные тренды в развитии технологий управления привилегированным доступом. Отчет Gartner

По мнению аналитиков Gartner, в 2022 году PAM-решения с основным функционалом по-прежнему остаются важными инструментами безопасности, при этом изменение спроса на рынке привнесло новый акцент на облако, от SaaS-доставки инструментов PAM до поддержки обеспечения безопасности облака, включая управление секретами и CIEM (Cloud infrastructure entitlement management). Аналитические документы Gartner позволяют быть в курсе актуальных трендов отрасли. И даже несмотря на отсутствие на отечественном рынке большинства решений, исследуемых Gartner, выявленные тенденции актуальны и для России. ИТ носит глобальный характер, и требования к обеспечению безопасности также едины. Знание тенденций развития дает возможность пользователям отбирать решения, соответствующие современным вызовам, а отечественным производителям — создавать и выводить на мировой рынок конкурентоспособные российские решения. Компания Web Control специально для TAdviser подготовила обзор Gartner Magic Quadrant for Privileged Access Management 2022, который предлагает описание класса решений, ситуации на рынке и тенденций его развития.

Что такое PAM (управление привилегированным доступом)

Инструмент управления привилегированным доступом (PAM) используется для снижения рисков привилегированного доступа пользователей. Однако в последние годы остро встал вопрос обеспечения безопасности и неинтерактивных сеансов привилегированного доступа — API, компонентов микросервисной архитектуры. Решение PAM может быть развернуто в виде локального программного обеспечения, SaaS или аппаратного устройства.

Основными возможностями PAM принято считать:

• обнаружение привилегированных учетных записей в различных системах, инфраструктуре и приложениях;
• управление учетными данными привилегированных учетных записей;
• хранение учетных данных и контроль доступа к привилегированным учетным записям;
• установка, управление, мониторинг и запись сеансов интерактивного привилегированного доступа.

Помимо базового функционала разработчики подобных систем предлагают различные опциональные возможности, такие как, например:

• делегирование доступа к привилегированным учетным записям;
• контролируемое повышение прав при исполнении системных команд;
• управление секретами приложений, служб и устройств;
• автоматизация привилегированных задач (PTA);
• удаленный привилегированный доступ для сотрудников и внешних пользователей;
• управление правами доступа в облачной инфраструктуре (Cloud infrastructure entitlement management, CIEM).

Категории PAM-решений

В зависимости от выбора вендором опционального функционала Gartner выделяет четыре категории инструментов PAM:

1. Управление привилегированными учетными записями и сеансами привилегированного доступа (PASM)

Привилегированные учетные записи защищаются с помощью хранилища учетных данных. Доступ к этим учетным записям затем разграничивается для пользователей, служб и приложений с помощью инструмента PAM. Инструментарий управления сеансами привилегированного доступа (PSM) устанавливает сеансы, обычно с подстановкой учетных данных и полной записью сеанса. Пароли и другие учетные данные, такие как сертификаты и токены для привилегированных учетных записей, активно управляются (например, сменяются через определенные промежутки времени или при наступлении определенных событий). Решения PASM могут также обеспечивать управление паролями приложений (AAPM) и/или организовывать безагенский удаленный привилегированный доступ, не требующий VPN, для внешнего ИТ-персонала и третьих лиц.

2. Управление повышением и делегированием привилегий (PEDM)

Централизованные агенты в управляемой системе предоставляют определенные привилегии авторизованным в системе пользователям. Инструменты PEDM обеспечивают контроль (фильтрацию) команд на хосте, контроль разрешения/запрета/изоляции приложений и/или повышение привилегий, что позволяет запускать определенные процессы с более высоким уровнем привилегий. Инструменты PEDM должны выполняться в реальной операционной системе (на уровне ядра или процесса). Инструменты PEDM могут также предоставлять функции контроля приложений и мониторинга целостности файлов. Наличие функционала именно из этой категории часто являются обязательным требованием для регулируемых отраслей и там, где требуется соответствие PCI DSS, SOX и другим нормативным и финансовым требованиям. Часто требуют удаления привилегий локального администратора оборонные и правительственные учреждения.

3. Управление секретами

Учетные данные (такие как пароли, токены OAuth, ключи SSH), секреты ПО и устройств управляются, хранятся и извлекаются с помощью API и SDK на программном уровне. Основная задачи решений управления секретами — установить доверие путем обмена секретами и управления авторизацией и связанными с ней функциями при взаимодействии устройств, контейнеров, приложений, сервисов, скриптов, процессов и конвейеров DevSecOps. Управление секретами часто используется в динамичных и agile-средах, таких как IaaS, PaaS и платформы управления контейнерами. Продукты для управления секретами также могут предоставлять функционал AAPM.

Предложения CIEM — это специализированные SaaS-решения, ориентированные на идентификацию, которые управляют рисками облачного доступа с помощью административного контроля прав доступа в гибридных и мультиоблачных IaaS. Они обычно используют аналитику, машинное обучение (ML) или другие методы для обнаружения аномалий в правах учетных записей, таких как накопление привилегий или неактивные и ненужные права. В идеале CIEM обеспечивает устранение чрезмерных разрешений и внедрение подходов предоставления наименьших привилегий в облачных инфраструктурах.

Кто вошел к Магический квадрант 2022

В магический квадрант 2022 года вошли 11 игроков. В число лидеров аналитики Gartner включили ARCON, BeyondTrust, CyberArk, Delinea, One Identity и Wallix. Нишевыми игроками стали Broadcom (Symantec), Hitachi ID, ManageEngine и Netwrix. К визионерами эксперты отнесли Saviynt.

В сравнении с предыдущими отчетами в магический квадрант этого года добавились Delinea, возникшая в результате слияния двух лидеров прошлого года Thycotic и Centrify, Hitachi ID, «challenger» 2020 года и отсутствующая в прошлогоднем отчете, ManageEngine, нишевой вендор 2020 года, Netwrix и Saviynt, отсутствующие в предыдущих 3 квадрантах 2018-2021 годов. Krontech и senhasegura не попали в отчет этого года, так как не прошли критерий по объему выручки.

Для включения в отчет компании должны соответствовать ряду строгих условий, куда входят и технические требования, и требования к функционалу, выручке, географии присутствия, позиционированию, структуре продаж и наличию ИС. Кроме того, компании оцениваются еще и с точки зрения жизнеспособности, под которой понимается, главным образом, возможность инвестирования в продукт, реагирование на потребности заказчиков и поддержка клиентов.

Каким функционалом должны обладать решения для управления привилегированным доступом

При сравнении вендоров Gartner предъявлял строгие требования к наличию определенного функционала. Этот перечень функциональный требований и их описание может быть также полезен при определении заказчиками списка требований к решению управления привилегированным доступом. Следует отметить, что нецелесообразно ориентироваться исключительно на функционал, существующий на данный момент. Для динамично развивающихся компаний важным критерием является поддержка решения производителем и добавление нового функционала в ответ на требования рынка.

Административное управление привилегированным доступом (Privileged access governance). Эта возможность предоставляет возможности и инструменты для управления назначением привилегий на основе политик и нормативных документов компании, периодической проверки и сертификации привилегированного доступа, а также разделения обязанностей на основе набора политик.

Обнаружение и добавление учетных записей (Account discovery and onboarding). Эта возможность позволяет обнаруживать, идентифицировать и добавлять привилегированные учетные записи, включая возможность поддержки периодического, по запросу или непрерывного их сканирования. Сюда также входит возможность автоматического обнаружения целевых служб и систем (включая виртуальные машины) для дальнейшего обнаружения привилегированных учетных записей, содержащихся в них.

Управление привилегированными учетными данными (Privileged credential management). Эта возможность предоставляет основной функционал для управления и защиты определенных системой и предприятием учетных данных привилегированных учетных записей или секретов (включая ключи SSH). Она включает генерирование, хранение, ротацию и извлечение учетных данных для интерактивного доступа к ним определенных пользователей. Здесь также предполагается ротация учетных данных для служебных и программных учетных записей (например, встроенных учетных записей) на целевых системах. Эти функции требуют возможности доступа к инструменту PAM как минимум через веб-консоль или API.

Управление сеансами привилегированного доступа (Privileged session management). Эта возможность обеспечивает создание, управление, запись и воспроизведение сеансов, мониторинг в реальном времени, фильтрацию команд на основе протокола и разделение сеансов привилегированного доступа. Она включает функционал для управления интерактивным сеансом с помощью PAM, от получения учетных данных до авторизации с их помощью, хотя в обычных случаях эти данные не раскрываются пользователю. Эта возможность также может включать ограничения, такие как разрешение/запрет определенных типов команд и функций при входе в целевую систему.

Управление секретами. Эта возможность обеспечивает управление доступом к учетным данным (таким как пароли, токены OAuth и ключи SSH) для машинных сценариев использования, таких как устройства, приложения, сервисы, скрипты, процессы и конвейеры DevSecOps. Этот функционал дает возможность генерировать, хранить, осуществлять ротацию и предоставлять учетные данные машинным сущностям (например, через API). Он также предполагает посредничество в установлении доверия между различными машинными сущностями с целью обмена секретами, а также управления авторизациями и связанными с ними функциями. В совокупности эта возможность поддерживает управление секретами в динамических средах и обеспечивает поддержку платформ RPA.

Журналирование и отчетность. Эта возможность обеспечивает запись всех единичных событий, включая изменения и операции, в рамках работы PAM. Единичное событие основывается на пользователе, времени, дате и местоположении и обрабатывается с другими событиями посредством корреляции в логическом порядке. Это необходимо для мониторинга и определения первопричины рискованных событий и выявления несанкционированного доступа. Эта возможность также предоставляет функционал, необходимый для аудита и генерирования отчетности базы данных событий, включая готовые отчеты и отчеты по запросу. Данные о событиях должны также включать информацию о сеансах привилегированного доступа. Она же предоставляет аналитику (часто с использованием машинного обучения) действий привилегированных учетных записей для обнаружения и маркировки аномалий, включая базовую оценку, оценку рисков и оповещение. Цель состоит в том, чтобы лучше определять как текущие, так и прогнозируемые показатели, которые выявляют аномалии привилегированного доступа для запуска в ответ автоматизированных контрмер.

Автоматизация привилегированных задач. Эта возможность предоставляет функционал для автоматизации многошаговых, повторяющихся задач, связанных с привилегированными операциями, которые оркестрируются и/или выполняются в ряде систем. Для этого используются расширяемые библиотеки предварительно сконфигурированных операций, требующих привилегированного доступа, для распространенных ИТ-систем и устройств. Такая автоматизация позволяет выполнять различные действия и запрашивать дополнительную информацию по мере необходимости, обеспечивая при этом защиту путем проверки вводимых данных на соответствие политикам и настройкам.

Повышение и делегирование привилегий для Unix/Linux. Эта возможность предоставляет функционал на базе хоста, который обеспечивает соблюдение политик на системах UNIX/Linux и macOS для разрешения запуска авторизованных команд или приложений под повышенными привилегиями. Администраторы авторизуются в системе, используя непривилегированную учетную запись, и повышают привилегии по мере необходимости. Любая команда, требующая дополнительных привилегий, должна будет пройти через эти инструменты, что, по сути, не позволит администраторам выполнять небезопасные действия. Эти функции должны выполняться в реальной операционной системе (на уровне ядра или процесса).

Повышение и делегирование привилегий для Windows. Эта возможность предоставляет функционал на базе хоста для реализации политик на системах Windows, которые реализуют контроль разрешения/запрета/изоляции приложений, а также для разрешения запуска авторизованных команд или приложений под повышенными привилегиями. Администраторы авторизуются в системе с помощью простой учетной записи, и повышают привилегии по мере необходимости. Любая команда, требующая дополнительных привилегий, должна будет пройти через эти инструменты, фактически не позволяя администраторам выполнять небезопасные действия. Эти функции должны выполняться в реальной операционной системе (на уровне ядра или процесса). Инструменты Windows PEDM могут также предоставлять функции контроля целостности файлов.

Интеграция со смежными системами. Эта возможность требует способности предоставлять функционал для интеграции и взаимодействия со смежными системами безопасности и управления услугами. Сюда входят IGA, SSO, MFA, корпоративные каталоги, поддержка гибких коннекторов и интеграционных фреймворков, общий доступ к API, интеграцию с системами ITSM, системами SIEM и системами управления уязвимостями.

Простота развертывания, производительность. Эта возможность предоставляет функционал для упрощения развертывания решения PAM, одновременно обеспечивая доступность, восстанавливаемость, производительность и масштабируемость. Реализация подхода «на определенное время» (just in time). Эта возможность обеспечивает привилегированный доступ по требованию без необходимости в общих учетных записях с постоянными привилегиями. Как правило, для этого непривилегированным учетным записям предоставляются соответствующие привилегии на временной основе. Общепринятыми методами для достижения этой цели могут быть использование подходов PEDM, использование временного членства в группах по требованию или использование эфемерных учетных записей или токенов безопасности. Эта возможность ориентирована на соблюдение принципа наименьших привилегий и последующее достижение нулевых постоянных привилегий (ZSP) для доступа к PAM. Реализация подхода JIT предполагает:

• возможность динамического добавления и удаления пользователей из групп AD;
• динамическое предоставление ограниченного по времени доступа к привилегированным учетным записям;
• функциональность PEDM посредством повышения привилегий по требованию;
• возможность создания и удаления привилегированных учетных записей по требованию;
• возможность создания и использования эфемерных токенов;
• возможность доступа по требованию к панелям управления SaaS, таким как AWS.

Текущая ситуация

Говоря о текущей ситуации, Gartner отмечает тенденцию к сближению рынков IAM, формулирует лучшие практики внедрения PAM, которые можно брать за основу при внедрении решения, и идентифицируют причины, побуждающие компании внедрять PAM-решения.

Сближение рынков IGA, IDM и PAM

Gartner в своем отчете отмечает заимствование PAM-решениями функционала смежных рынков, когда инструменты управления доступом, например, предлагают некоторый функционал IGA или в PAM-системе реализованы возможности управления доступом. Это он называет макроконвергенцией, или сближением различных рынков. CyberArk, в частности, предлагает функционал IAM (Identity and Access Management), One Identity и Broadcom предлагают возможности IGA и IAM. Эксперты предупреждает, что такой функционал реализован посредством отдельных решений, часто не интегрированных между собой с точки зрения политик, управления и развертывания.

Другим примером сближения, на этот раз микроконвергенции, когда производитель «проникает» в смежную по функционалу категорию инструментов, является возросший интерес производителей PAM к управлению секретами и CIEM. Семь поставщиков PAM, представленных в этом отчете, в настоящее время предлагают продукты для управления секретами, еще три поставщика планируют их добавить, и только один не планирует этого делать. Пять компаний из отчета предлагают функциональность CIEM, шесть компаний планируют внедрение этой функциональности, а четыре включили ее в дорожную карту. Только одна компания не планирует использовать ни CIEM, ни средства управления секретами в составе своих PAM-инструментов.

Пользователи не всегда видят разницу между инструментами управления привилегированным доступом и управления паролями. Эксперты Gartner разъясняют, что PAM-системы направлены на снижение рисков, связанных с привилегированным доступом.

Эти решения управляют привилегированными учетными записями — учетными записями, которые могут выполнять операции создания, получения, обновления, удаления (CRUD) в ИТ-инфраструктуре. Инструменты управления паролями предназначены для того, чтобы помочь обычным пользователям с обычными правами (бухгалтерам, продавцам или инженерам, например) справиться с широким набором паролей, которые они должны помнить для своей повседневной работы. Они не занимаются ротацией учетных данных, управлением сеансами, записью сеансов, управлением идентификацией или повышением привилегий. Многие организации считают их критически важными для помощи пользователям, но их не следует путать с PAM-инструментами. Они могут хранить пароли в хранилищах, требовать пароля для доступа к хранилищу, а некоторые из них могут генерировать уникальные и сложные пароли. Однако ни одна из этих функций не делает их инструментами PAM.

Лучшие практики внедрения PAM

Изучение лучших практик позволяет оптимизировать ресурсы при внедрении инструментов. Эксперты выяснили, что правильное развертывание инструмента PAM требует двух основных моментов:
1. Четкое понимание того, где находятся привилегированные учетные записи (с планом действий по их защите).
2. Изменение организационных процессов с целью максимизации эффективности контроля привилегированного доступа.

Для этого организациям следует внедрить комплексную практику обнаружения привилегированных учетных записей, чтобы понять, какой привилегированный доступ существует в их среде в настоящее время, а затем определить, как привилегированный доступ будет происходить в будущем.

С точки зрения процесса и практики, при развертывании инструмента PAM руководители подразделений управления информационными рисками должны следовать четырем принципам PAM, предложенным Gartner:
1. Отслеживайте и защищайте каждую привилегированную учетную запись.
2. Осуществляйте комплексное управление и контроль доступа.
3. Ведите журнал и проводите аудит действий с использованием привилегированных учетных записей.
4. Используйте автоматизацию задач, реализуемых с использованием привилегированного доступа.

Есть еще один принцип, фундаментальный, без учета которого успешное внедрение инструментов и практик PAM будет намного сложнее — культура.

Культура управления привилегиями

Невнимание к культуре или недооценка ее влияния — одна из самых больших причин неудач в проектах PAM. Без учета культурных особенностей компании сталкиваются с сопротивлением проекту внедрения PAM со всех сторон, включая отдельных сотрудников, руководителей IAM и бизнес-лидеров. Поскольку внедрение PAM — это изменение подхода людей к административной работе, недостаточное объяснение того, почему требуются изменения, вызовет сопротивление этим изменениям.

Основные практики для внедрения культуры управления привилегиями

• Создать видение (vision) PAM, с одностраничным манифестом, ориентированным на всех заинтересованных лиц. На этой странице должно быть изложено видение, указано, какова их роль в проекте, и четко сказано, что от них ожидается.
• Создайте руководящую группу и пригласите все заинтересованные стороны. Работа руководящей группы заключается в определении ожиданий в отношении обязанностей, а также в создании положительного импульса и канала связи для всех групп на протяжении всего проекта.
• Добейтесь поддержки руководства. Иногда, когда проект упирается в стену, требуется более высокая инстанция, которой поручено поддерживать проект на должном уровне. Наличие поддержки со стороны руководства, возможно с включением его в руководящую команду, позволяет проекту преодолевать сложные проблемы во время кризиса.

Какие причины побуждают компании внедрять PAM

Аналитики Gartner выделили 3 основных причины внедрения инструмента управления привилегированным доступом.

Защита бизнеса. Это основная причина. Эффективный PAM уменьшает поверхность атаки для привилегированных учетных записей и снижает риски, чтобы уменьшить или устранить воздействие на бизнес от действий злоумышленников. Правильное управление PAM, возможно, не устранит компрометацию сети и учетных записей, но оно может снизить риск значительного воздействия на бизнес за счет предотвращения эскалации атаки.

Поддержка бизнес-процессов. Помимо безопасности, наличие хороших и эффективных процессов управления привилегированным доступом помогает оптимизировать изменения и тем самым способствует гибкости бизнеса (business agility). Цель состоит в том, чтобы управлять рисками PAM настолько успешно, чтобы бизнес мог быстро переходить к новым возможностям, не будучи обремененным унаследованными проблемами безопасности, такими как PAM. Просто приобретение PAM-инструмента без изменения порядка предоставления и использования привилегированного доступа оставляет организации незащищенными — существует множество историй о взломах компаний несмотря на использование PAM-систем. Обычно таких инцидентов можно избежать при правильном использовании инструментов.

Соответствие нормативным требованиям. Соблюдение аудиторских и нормативных требований всегда было движущей силой для PAM. Gartner отмечает, что из-за недавнего распространения атак ransomware, страховщики киберрисков сегодня требуют от многих своих клиентов подтверждения наличия средств контроля PAM и эффективной практики PAM.

Обзор рынка

Размер рынка и движущие силы

Gartner отметил 20% рост объема продаж PAM-решений, представленных в текущем отчете, и прогнозирует дальнейший рост. Причинами роста аналитики называют повышение осведомленности о важности управления привилегированным доступом, громкие инциденты, связанные с компрометацией привилегированных учетных записей, размывание периметров безопасности, миграцию в облако и увеличение кибератак. Увеличение доли удаленных сотрудников также простимулировало интерес к системам управления привилегированным доступом — использование PAM для организации удаленного доступа администраторов к ресурсам компании является признанной практикой. Это привело к росту продаж решений, поддерживающих эту возможность, и повышению ее приоритета в дорожных картах остальных поставщиков.

Считается, что PAM-решения — это исключительно для крупных компаний, однако малый и средний бизнес сталкивается с теми же проблемами, хотя и в меньших масштабах. Полнофункциональные системы для небольших компаний могут оказаться сложными в обслуживании, и производители отвечают на это созданием SaaS-функционала. Крупные компании со зрелыми процессами организации привилегированного доступа начинают выходить за рамки базовых сценариев использования PAM, поэтому разработчики удвоили своим усилия по развитию таких возможностей, как управление секретами, JIT PAM, автоматизация привилегированных задач и управление привилегиями в мультиоблачных средах. Проникая на смежный рынок, они сталкиваются с конкуренцией со стороны поставщиков, не входящих в основной рынок PAM, например, тех, кто предлагает отдельные продукты для управления секретами или CIEM.

Динамика рынка

Исследование показало, что поставщики делают акцент либо на переводе своих решений на SaaS, либо на предложении SaaS как варианта. В этом году из 11 поставщиков, включенных в отчет Gartner, только один не имеет SaaS в своей дорожной карте. Остальные 10 в настоящее время предлагают или разрабатывают инструмент PAM на базе SaaS.

Другим направлением развития рынка является управление секретами. Пять поставщиков из отчета этого года предлагают инструменты управления секретами для разработчиков, а остальные разработали некоторые функции управления секретами в своих продуктах. Кроме того, пять поставщиков предлагают инструменты CIEM, несколько компаний внесли разработку таких возможностей в дорожную карту.

С вертикальной точки зрения возникает потребность в специальных функциях для организаций, использующих IoT и OT. В качестве примера можно привести компании коммунального и энергетического секторов, а также больницы. Эти организации нуждаются в защите привилегированного доступа к своим устройствам диспетчерского контроля и сбора данных (SCADA) и ОТ, а также в предварительно настроенных коннекторах для подключения к популярным ОТ-системам.

Конкуренция на рынке PAM остается острой благодаря присутствию большого количества игроков. В последние несколько лет рынок постоянно движется в сторону консолидации. Слияние в 2021 году компаний Thycotic и Centrify с образованием компании Delinea продолжает эту тенденцию.

Географические и вертикальные тенденции

Основными отраслями-пользователями PAM являются компании из финансовой сферы, СМИ, услуг и государственного управления, что связано с большими нормативными требованиями. В последнее время растет спрос со стороны здравоохранения, производства и обрабатывающей отрасли.

Северная Америка и Европа по-прежнему остаются основными рынками для PAM-продуктов на мировом уровне. Однако в более широком Азиатско-Тихоокеанском регионе также наблюдается рост интереса и продаж. Крупные производители, такие как Broadcom (Symantec), CyberArk, BeyondTrust и Delinea, все чаще пытаются расширить свою географию. Однако в регионах есть свои сильные поставщики: ARCON на Ближнем Востоке и в Азиатско-Тихоокеанском регионе, Senhasegura в Латинской Америке, а также WALLIX и Krontech в Европе. Несмотря на меньшие размеры, эти компании обладают знанием местных особенностей, связей, языка и близости к потребителю.

Большинство решений из отчета Gartner отсутствует на отечественном рынке, однако потребности в управлении привилегированным доступом в российских компаниях в той или иной мере удовлетворяются решениями отечественных производителей: Indeed PAM (Индид), SafeInspect (НТБ), sPACE (Вэб Контрол), СКДПУ НТ (АйТи Бастион). Динамика, которую показывают отечественные производители в этом году, дает уверенность что уже в ближайшее время российские потребители PAM продуктов смогут получить адекватную замену продуктам иностранных компаний.

К 2024 году 50% организаций внедрят привилегированный доступ на основе модели justintime

Аналитическое агентство Gartner выпустило очередной сравнительный анализ Magic Quadrant for Privileged Access Management 2020 (Управление привилегированным доступом). Об этом стало известно 28 сентября 2020 года. Отчеты агентства Gartner формулируют основной функционал решений конкретного класса, дают максимальный охват рынка и называют особенности и узкие места продуктов отобранных вендоров, позволяя соотнести свои ключевые потребности с предложениями на рынке и подойти к выбору продукта с позиции разумной достаточности.

В магическом квадранте основные игроки рынка традиционно делятся на 4 категории:

• Лидеры – компании с хорошим функционалом и хорошим заделом на будущее.
• Визионеры – компании, понимающие направление развитие рынка или имеющие потенциал к изменению правил рынка
• Нишевые игроки – компании, которые функционируют на маленьком сегменте
• Претенденты выпускают хороший продукт или могут лидировать в большом сегменте, но не всегда демонстрируют понимание направления рынка.

Согласно прогнозу, к 2024 году 50% организаций внедрят привилегированный доступ на основе модели «just in time», что предполагает предоставление привилегий в нужное время и в нужном объеме и устраняет избыточные привилегии. Такой шаг, по мнению экспертов, приведет к снижению компрометации привилегированный учетных записей на 80%. Кроме того, автоматизация задач, связанных с привилегированным доступом, сократит затраты на обслуживание IaaS и PaaS на 40% и снизит число инцидентов на 70% к этому же сроку.

Эксперты Gartner сформулировали функционал решений управления привилегированным доступом, на который можно ориентироваться при выборе вендора. Следует отметить, что он практически не изменился по сравнению с предыдущим отчетом 2018 года:

• обнаружение, управление и оркестрация привилегированных учетных записей различных систем и приложений;
• контроль доступа к привилегированным учетным записям, включая совместно используемые и аварийные учетные записи;
• рандомизация, управление и безопасное хранение привилегированных учетных данных (паролей, ключей);
• обеспечение единого входа (SSO), чтобы не допустить раскрытие учетных данных;
• контроль, фильтрация и оркестрация привилегированных команд, действий и задач;
• управление и передача учетных данных в приложения, сервисы и устройства без их раскрытия;
• мониторинг привилегированного доступа, сеансов и действий, ведение журнала и анализ.

Большой класс решений Privileged Access Management аналитики Gartner подразделяют на 3 категории:

• PASM (Privilege account and session management)
• PEDM (Privilege account and delegation management)
• Secrets Management

Решения PASM (Privilege account and session management) защищают учетные записи посредством хранения учетных данных в защищенном хранилище и организации доступа к ним. Управление сеансами привилегированного доступа предполагает инжектирование учетных данных без их раскрытия пользователю. PASM-решения могут обеспечивать управление служебными паролями (AAPM – Application-to-application password management).

Решения PEDM раздают привилегии авторизованным пользователям. Такие решения обеспечивают фильтрацию команд, контроль приложений и эскалацию привилегий, т.е. выполнение команд с более высоким уровнем привилегий.

Решения Secrets management обеспечивают управление, хранение и извлечение секретов посредством API или SDK. Управление секретами часто используется в динамических и agile-средах, таких как IaaS, PaaS и контейнерах, говорится в обзоре Magic Quadrant for Privileged Access Management 2020, подготовленном компанией Web Control.

Обязательным условием включения в отчет «Magic Quadrant PAM 2020» является наличие PASM-функционала. В число других критериев для включения в отчет входит наличие определенных возможностей, таких как защищенное хранилище, средства обнаружения привилегированных учетных записей и автоматической ротации секретов, запуск сеанса привилегированного доступа по протоколам SSH, RDP, HTTPS, запись и просмотр сеансов, ролевая модель доступа, интеграция с существующей средой заказчика. Gartner также предъявляет серьезные требования к уровню, росту и географии продаж, числу клиентов и позиционированию. Местоположение компании в квадранте определяется не только качеством продукта, но и уровнем удовлетворенности клиентов, политикой продаж и ценообразования, маркетингом, стратегией, инновационностью и другими факторами.

Из 12 отобранных для анализа вендоров в число лидеров попали следующие компании:

• BeyondTrust
• Centrify
• CyberArk
• Thycotic

По сравнению с 2019 годом в команде лидеров произошли изменения – BeyondTrust, Centrify и CyberArk остались лидерами, к ним добавилась компания Thycotic, перешедшая из команды визионеров, а CA Technologies, бывшая лидером в отчете 2018 года, после поглощения ее компанией Broadcom (Symantec) перешла в число нишевых игроков. В отчет 2020 года не вошли Fudo Security, Micro Focus и Osirium, что связано не с качеством их продуктов, а с невыполнением требований к росту и числу клиентов.

В решении BeyondTrust представлен функционал как управления сеансами привилегированного доступа, так и эскалации доступа. Эксперты отметили наличие у решений компании особого функционала — мониторинга целостности файлов для Unix/Linux и Windows, возможности генерирования отчетности с использованием большого количества предварительно настроенных шаблонов и балансировку нагрузки при кластерном размещении. При выборе PAM-решения следует учесть, что в реализации BeyondTrust Password Safe управление паролем в сторонних решениях реализуется через CLI интерфейс, использующий SSH или Telnet, но не через инструменты SDK. Так же отсутствует SaaS-версия решения. В 2018 году BeyondTrust прошел через процедуру слияния и поглощения, объединив на одной платформе такие признанные решения как BeyondTrust, Liebermann, Bomgar и Avecto. В результате объединения нескольких решений на одной общей платформе управления всеми привилегиями компании претерпела изменение техническая поддержка, на сентябрь 2020 года нет данных, чтобы оценить, вернулась ли поддержка к прежнему высокому уровню. Объединение нескольких решений на одной платформе – серьезный и достаточно сложный шаг, однако компания BeyondTrust справилась с ним, предложив рынку подход универсального управления всеми привилегиями. Этот подход дает возможность подбирать актуальный на сентябрь 2020 года функционал и дополнять его дополнительным по мере необходимости.

Решение Centrify объединяет возможности PASM и PEDM. Centrify предлагает полноценное SaaS PAM-решение. В отчете отмечен бесплатный сервис Centrify Health Check – однодневная консалтинговая программа оценки зрелости PAM-программы компании и определения следующих шагов. При выборе решения следует учесть, что стоимость решения этого вендора выше среднерыночного, PEDM-функционал не реализован для macOS. Centrify нацелен на использование MS AD, поэтому обнаружение учетных записей эксперты называют слабым и сфокусированным на AD, главным образом.

CyberArk известен в качестве трендсеттера отрасли. В его решениях реализован как PASM функционал, так PEDM и Secrets management. В мае 2020 CyberArk приобрел Idaptive для управления доступом. CyberArk – это полноценное решение, охватывающее различные сценарии использования. Эксперты Gartner обращают внимание потенциальных клиентов на его высокие требования к оборудованию и трудность в установке некоторых его компонентов. При выборе решения следует учесть, что в решении не предусмотрена поддержка Kerberos и групповой политики MS AD для UNIX/Linux.

Решение Thycotic обладает функционалом PASM, PEDM и Secrets management. Эксперты отмечают легкость установки и настройки решения. В 2020 году компания приобрела Onion ID для расширения контроля привилегированного доступа на платформах IaaS, SaaS и для баз данных.

Отчеты аналитиков Gartner – это не призыв к приобретению того или иного решения, это возможность выбрать то, что отвечает потребностям конкретной компании. Для этого не всегда следует ориентироваться на лидеров рынка. Менее крупные вендоры или вендоры, не вошедшие в квадрат лидеров, часто предлагают особенные возможности. Hitachi, например, реализует подход «just in time» для инжектирования учетных данных в AWS, OneIdentity использует машинное обучения для анализа действий в сеансе, биометрию для анализа клавиатурного почерка и обнаружения несанкционированного доступа. Senhasegure сфокусирована на расширении интеграции с DevOps инструментами и быстро выводит на рынок функционал, связанный с управлением Kubernetes и контейнерами.

KuppingerCole: рынок PAM-решений вырастет до 4,5 миллиардов долларов к 2025 году

Ведущее европейское независимое аналитическое агентство KuppingerCole, специализирующееся на исследованиях в области информационной безопасности, IAM, IAG, управления рисками и цифровой трансформации, выпустило 113-страничный аналитический отчет KuppingerCole’s Leadership Compass PAM 2020, которым в конце мая 2020 года с TAdviser поделилась компания Web Control (Вэб Контрол ДК).

В отчете представлен сравнительный анализ 24 вендоров рынка решений управления привилегированного доступа (Privileged Access Management, PAM) и краткий обзор еще 8 вендоров, к которым, по словам аналитиков агентства, «стоит присмотреться». Для проведения анализа эксперты агентства исследовали сегменты рынка, технические возможности решений и вендоров, относительную долю рынка и инновационность решений.

По мнению аналитиков агентства, лидирует на рынке компания CyberArk, за ней с небольшим отрывом следуют Thycotic и обновленная компания BeyondTrust, которая лишь в 2019 году полностью закончила процедуру слияния с Bomgar, Lieberman Software и Avecto.

Решения класса Privileged Access Management предназначены для снижения рисков, связанных с несанкционированным использованием привилегированных учетных записей. При этом к привилегированным записям относятся не только учетные записи администраторов (серверов, сетевого оборудования, рабочих станций), имеющих доступ к управлению элементами ИТ-инфраструктуры, но и бизнес-пользователей, которые имеют доступ к конфиденциальным данным компании, а также пользователей, которым требуется непостоянный привилегированный доступ, на время проекта, например.

В последние годы рынок решений для управления привилегированным доступом стал одним из наиболее быстро растущих рынков. По оценке экспертов KuppingerCole рынок PAM-решений, на котором на май 2020 года представлено около 40 основных вендоров, вырастет с 2,2 миллиарда долларов в 2020 году до 4,5 миллиардов долларов к 2025 году. Среди причин такого роста называют цифровую трансформацию, DevOps, распределенные вычисления и рост киберпреступлений.

Сравнение решений в этом отчете производилось на основе оценки следующего функционала:

1. управление жизненным циклом привилегированных учетных записей (PADLM),
2. контроль совместно используемых паролей (Shared Account Management),
3. управление служебными учетными записями (AAPM),
4. контролируемая эскалация привилегий (CPEDM),
5. управление привилегиями на конечных точках (EPM),
6. запись и мониторинг сеансов в реальном времени,
7. реализация принципа «just in time»,
8. реализация SSO,
9. мониторинг и анализ действий с привилегированными учетными записями.

Из 32 вендоров аналитики KuppingerCole выделили лидеров, претендентов на лидерство и вендоров, на которых стоит обратить внимание из-за наличия, возможно, уникального функционала и/или предложения, перспективности подхода или каких-иных факторов.

Лидерство определялось по трем характеристикам – качество продукта, присутствие на рынке и партнерская сеть и инновации.

В категорию «Product Leaders» попали компании, предлагающие зрелые продукты с наиболее полным функционалом. К «Market Leaders» отнесли вендоров с большим количеством клиентов по всему миру и крепкой партнерской сетью для поддержки продуктов. В категорию «Innovation Leaders» включили компании, которые определяют направление развития продуктов на рынке. Они предлагают наиболее инновационный и перспективный функционал.

На основе качества продукта, присутствия на рынке и инновационной политики эксперты составили список лидеров «Overall Leaders», куда попали 9 компаний: BeyondTrust (США), Broadcom (США), Centrify (США), CyberArk (США), Hitachi ID (Канада), One Identity (США), SSH (Финляндия), Thycotic (США), Wallix (Франция).

По каждой компании, вошедшей в число лидеров и претендентов на лидерство, эксперты составляют краткий отчет, в котором отдельно выделяются преимущества и недостатки, а также дается оценка по реализации основного функционала.

Большинство компаний из группы лидеров хорошо известно на российском рынке и не нуждаются в представлении. Они предлагают зрелые продукты с полным функционалом. Здесь хочется упомянуть несколько менее известных в России компаний, предлагающих нестандартный функционал. Компания SSH, например, ушла от традиционного подхода на основе управления паролями и обеспечивает привилегированный доступ на основе выпуска разового сертификата для SHH и RDP. В решении Hitachi ID HiPAm эксперты отметили мощные инструменты восстановления системы, репликацию данных в режиме реального времени и распределенные данные. Особенной чертой этого решения, по мнению аналитиков, является кнопка «Recent», которая позволяет быстро открыть предыдущие запросы и сеансы. Отметим, что для российского рынка такая функция не является уникальной, потому что быстрый переход в последние сеансы привилегированного доступа предлагает российской решение. В группу лидеров эксперты отнесли компанию Broadcom, которая хотя до этого года не фигурировала в независимых аналитических отчетах как PAM-вендор, но не является новичком этого рынка после приобретения CA Technologies с решением CA Privileged Access Management Suite и Symantec, под брендом которого будет продаваться новое PAM-решение.

В число претендентов в лидеры (Chellengers) вошли Kron (Турция), Micro Focus (Великобритания), Arcon (Индия), ManageEngine (США), Systancia (Франция) и Stealthbits (США), слегка не дотянувшие до лидерства, и Onion ID (офисы в США и Индии), EmpowerID (США), Senhasegura (Бразилия), Osirium (Великобритания), Xton Technologies (США), Sectona (Индия), Devolutions (Канада), Fudo Security (офисы в США и Польше) и Remediant (США). Эти компании не вошли в число лидеров из-за отсутствия полного PAM-функционала, но решения этих компаний могут закрыть какие-то специфические потребности. Xton Technologies, например, предоставляет еженедельные обновления, в том числе с новым функционалом. Kron и Osirium, например, предлагают автоматизацию управления привилегированных задач посредством делегирования не привилегий, а задач, и автоматизируя рутинные привилегированные операции. Автоматизацию некоторых задач предлагает и Sectona, в частности отзыв привилегированных учетных записей без участия администратора и автоматизацию управления привилегированными задачами. По прогнозу экспертов KuppingerCole, высока вероятность того, что автоматизация станет важным функционалом PAM решений в ближайшие годы.

В число вендоров, к которым стоит присмотреться, вошли Deep Identity (Сингапур), HashiCorp Vault (США), Identity Automation (США), IRaje (Индия), NRI Secure Technologies (Япония), ObserveIT (США), Saviynt (США), Venafi (США). В этих решениях присутствует не полный PAM-функционал, что подойдет для компаний из малого и среднего бизнеса. Следует отметить, что недостающий функционал часто восполняется интеграцией. NRI Secure Technologies, например, использует BeyondTrust Powerbroker Password Safe для управления паролями, а Saviynt для хранения секретов использует хранилище HashiCorp. Партнерство Venafi с HashiCorp, в котором Venafi обеспечивает централизованный контроль политик, прозрачность и автоматизацию жизненного цикла служебных учетных записей машин, включая публичные и частные SSL/TLS сертификаты, а HashiCorp предоставляет свое хранилище, ориентировано на DevOps команды.

Бытует ошибочное мнение, что PAM-решения предназначены только для крупных компаний. Это не так. Хакеры не выбирают свои цели по размеру компании, они просто ищут точки доступа, и небольшие компании также могут столкнуться с вирусами-вымогателями или, скажем, удалением базы данных клиентов недовольным привилегированным пользователем. Зачастую небольшие компании являются подрядчиками крупных компаний и выполняют для них какие-то работы. Такие компании не обладают большим бюджетом на ИБ, но, по мнению экспертов Gartner, управление привилегированными учетными данными относится к списку топ-10 проектов, реализация которых окажет наибольшее влияние на бизнес и кибербезопасность.

Из числа компаний, включенных в отчет KuppingerCole, только 3 вендора, IRaje, Kron и Devolutions, ориентированы на компании малого и среднего бизнеса, поэтому некрупным российским компаниям целесообразно ориентироваться на российские решения.

Хотя в отчет KuppingerCole’s Leadership Compass PAM 2020 не вошла ни одна российская компания, среди российских вендоров есть как полноценные PAM решения, так и базовые, ориентированные на малый и средний бизнес.