PEDM
Dočasné zvýšení oprávnění pro celou relaci nebo pro jeden soubor, se schválením a záznamem.
Kde modul pomáhá během útoku
Řízení oprávnění brání hlavně eskalaci a šíření útoku. Jde o orientační pohled, ne o měření.
| Oblast | Úroveň |
|---|---|
| Průzkum | bez přímé role |
| Počáteční přístup | kontext |
| Spuštění a persistence | doplňková ochrana |
| Eskalace a šíření | hlavní role |
| Dopad | kontext |
| Vyšetřování a obnova | doplňková ochrana |
Dvě části: oprávnění na počítačích a přístupy k serverům
Heimdal řadí do oblasti privilegovaných přístupů tři produkty. Privilege Elevation and Delegation Management (PEDM) řídí admin práva na počítačích. Privileged Account and Session Management (PASM) chrání administrátorské účty a relace k serverům. Řízení aplikací popisujeme na samostatné stránce Application Control.
PASM
Trezor přihlašovacích údajů, vícefaktorové ověření, připojení přes RDP a SSH a nahrávání relací.
PEDM: uživatel požádá, pravidlo nebo správce rozhodne
Uživatel bez trvalých admin práv potřebuje nainstalovat program. V agentovi Heimdal požádá o zvýšení oprávnění. Podle nastavených pravidel se požadavek schválí automaticky, nebo přijde správci do konzole či mobilní aplikace.
Oprávnění platí jen po nastavenou dobu. Po jejím vypršení může modul procesy spuštěné během relace ukončit. Požadavky i relace zůstávají v auditním záznamu.
- Pravidla podle rolí, uživatelů a skupin.
- Okamžité odebrání práv a zákaz zvýšení oprávnění pro systémové soubory.
- Schvalování z konzole nebo z mobilní aplikace pro iOS a Android.
PASM: hesla se nesdílejí, relace se zaznamenávají
PASM ukládá hesla k privilegovaným účtům do trezoru. Správce se k serveru připojí přes RDP nebo SSH z rozhraní PASM a heslo nemusí znát ani předávat. Výrobce uvádí, že připojení nevyžaduje agenta ani doplněk na cílovém serveru.
Relace se sledují v reálném čase a nahrávají. Záznam lze přehrát při auditu nebo vyšetřování incidentu. Přístup řídí role a dočasná oprávnění na vyžádání.
Méně tiketů a méně trvalých práv
Menší firmy často dávají uživatelům admin práva, aby IT nemuselo řešit každou instalaci. PEDM tento kompromis mění: uživatel dostane oprávnění na vyžádání a IT si zachová kontrolu i záznam.
PASM pomůže tam, kde se o správu serverů dělí interní tým s externími dodavateli. Každý přístup je dohledatelný a hesla se nemusí předávat e-mailem ani tabulkou.
IT tým
Méně ručních zásahů kvůli instalacím a jasný přehled o udělených oprávněních.
Vedení a audit
Doložitelný záznam o tom, kdo měl kdy zvýšená práva a co s nimi dělal.
Nasazení s APPSEC
Heimdal dodává moduly a mobilní aplikaci. APPSEC navrhne a nasadí pravidla v rozsahu nabídky. Vy určujete, kdo požadavky schvaluje, a odpovídáte za každodenní rozhodnutí.
Mapa oprávnění
Zjistíme, kdo má dnes admin práva, proč je potřebuje a které servery spravují externí dodavatelé.
Pravidla
Navrhneme, co se schvaluje automaticky, co ručně a kdo schvaluje.
Postupné odebrání
Admin práva odebíráme po skupinách, aby lidé mohli dál pracovat.
Předání
Ukážeme schvalování, reporty a práci se záznamy relací. Podporu upřesní nabídka.
