Cinco pasos para auditar los derechos de acceso del administrador

Las cuentas con privilegios administrativos y elevados son necesarias para las funciones empresariales y de TI, pero representan un riesgo importante para su organización. En manos de un interno descuidado o descontento o de un adversario, las credenciales privilegiadas abren la puerta a filtraciones de datos, interrupciones de infraestructura y violaciones de cumplimiento.

Según Forrester, un asombroso 80% de las filtraciones de datos involucran cuentas privilegiadas. La clave para reducir este riesgo es un enfoque moderno de gestión de acceso privilegiado (PAM). En lugar de intentar evitar que cientos o miles de cuentas poderosas sean utilizadas indebidamente utilizando estrategias como bóvedas de contraseñas, le permite reducir la cantidad de cuentas privilegiadas que existen al mínimo absoluto, reduciendo así drásticamente el riesgo. Estos son los pasos a seguir.

Paso 1. Descubra todas las cuentas con acceso privilegiado

El primer paso es descubrir todas sus cuentas privilegiadas. Algunas cuentas son fáciles de identificar, como aquellas que son miembros de poderosos grupos de seguridad como Administradores de Dominio. Pero algunos son menos obvios; de hecho, se estima que en la mayoría de las organizaciones se desconoce más de la mitad de todos los derechos privilegiados. Es especialmente fácil olvidarse de los administradores de nivel inferior, como los DBA y los usuarios comerciales con acceso a datos o sistemas altamente confidenciales.

Para simplificar el trabajo, considere ordenar todas sus cuentas de usuario en los siguientes grupos:

Administrador/Root/Superusuario
Infraestructura/Aplicación/Usuario avanzado
CEO/CFO/CISO/Usuario empresarial senior
Personal/Usuario Ordinario

Paso 2. Identificar al propietario de cada cuenta privilegiada

Muchas cuentas privilegiadas se asignarán a una persona específica. Pero puede resultar complicado determinar el propietario de algunas cuentas. Los siguientes datos sobre cada sistema pueden ayudar:

Fuente de autenticación : la fuente de autenticación de la cuenta privilegiada podría ser una estación de trabajo o un servidor con un propietario claro.
Fecha de la última modificación de cada perfil de usuario: si el perfil de un usuario se modificó recientemente, es un buen indicador de que es un usuario activo del sistema, por lo que es posible que pueda determinar los propietarios de las cuentas con acceso privilegiado al sistema.
Tamaño de cada perfil de usuario: si hay muchos usuarios que aprovechan un sistema, busque los que tengan los perfiles más grandes.
Usuario que ha iniciado sesión actualmente: las personas que actualmente acceden al sistema pueden tener información sobre quién es el propietario de las cuentas privilegiadas relacionadas.
Último usuario que inició sesión : de manera similar, cualquier persona que haya iniciado sesión en el sistema recientemente podría ayudar a identificar al propietario de la cuenta.
Tipo de servicio: para las cuentas de servicio, el tipo de servicio puede conducir al propietario de la aplicación.

Paso 3. Trabaje con los propietarios para comprender el propósito de cada cuenta.

Entreviste al propietario de cada cuenta privilegiada para comprender para qué se utiliza y qué derechos de acceso requiere, y si aún es necesaria. Aquí hay algunas preguntas que tal vez quieras hacer:

¿Cuál es el propósito de la cuenta? ¿Para qué se utiliza?
¿Son necesarios los privilegios que tiene para realizar esas acciones?
Si la cuenta es compartida por varias personas, ¿cómo se garantiza la responsabilidad individual?

Paso 4. Elimina las cuentas que ya no sean necesarias

Con la aprobación de los propietarios de cuentas, elimine las cuentas privilegiadas que no necesitan acceso persistente, comenzando primero con los recursos más críticos. Para priorizar, considere factores como:

A qué recursos puede acceder la cuenta: por ejemplo, una cuenta con acceso a un controlador de dominio es más crítica que una utilizada para administrar servidores de impresión.
Dónde residen esos recursos: una cuenta administrativa para un laboratorio de pruebas probablemente sea menos crítica que una en el entorno de producción.
La sensibilidad de los recursos: ¿tiene la cuenta acceso a datos financieros regulados o registros de salud personales, o a aplicaciones vitales como su CRM o ERP?

Para las cuentas que no se pueden eliminar, reduzca sus derechos de acceso al mínimo requerido para realizar su función. Tenga en cuenta que las cuentas de servicio en particular suelen tener un aprovisionamiento excesivo.

Paso 5. Implementar el privilegio permanente cero (ZSP)

Ahora te queda un conjunto de cuentas privilegiadas que sabes que realmente tienen un propósito. Pero aunque sólo se utilizan ocasionalmente, corren el riesgo de ser utilizados indebidamente las 24 horas del día, los 7 días de la semana.

Con una solución PAM moderna, puede reemplazar estos riesgosos privilegios permanentes con acceso justo a tiempo (JiT). Hay dos métodos para implementar JiT:

Cuentas efímeras: cuando un usuario necesita realizar una tarea que requiere derechos elevados, cree una cuenta que exista el tiempo suficiente para completar la tarea.
Escalada de privilegios temporal: alternativamente, otorgue a la cuenta existente del usuario los privilegios necesarios para realizar la tarea y elimínelos tan pronto como se complete la tarea.

Lograr la felicidad del acceso privilegiado

Al descubrir todas las identidades privilegiadas en su ecosistema de TI y reemplazarlas con un enfoque ZSP, puede reducir drásticamente los riesgos para la seguridad, el cumplimiento y la continuidad del negocio. Después de todo, si no existe una cuenta privilegiada, no puede verse comprometida.