Контроль привилегированного доступа и модель zero trust
Введение
Если во время работ по техподдержке сервер выходит из строя, под подозрением оказывается подрядчик. При утечке исходного кода первым делом проверяют причастность собственных разработчиков. Больше трети компаний, пострадавших от атак с использованием шифровальщиков, в качестве ключевой гипотезы инцидента рассматривают действия инсайдеров.
Эти три ситуации показывают: люди, обладающие расширенными правами в IT‑инфраструктуре, ассоциируются с повышенными рисками.
В действительности инженеры, системные администраторы и другие IT‑специалисты гораздо реже оказываются причиной инцидентов, чем принято думать. Однако эти люди требуют особого внимания из‑за привилегий, которыми обладают. Кража таких привилегий, их недобросовестное использование и даже обычные ошибки могут привести к катастрофическим последствиям.
В этой статье разбираем, как организовать управление привилегированным доступом со следующими результатами:
- компания минимизирует риск взлома, падения систем и другого вреда из‑за использования расширенных прав;
- IT‑специалисты и подрядчики могут эффективно выполнять свои задачи без постоянных помех из‑за излишних проверок.
Привилегии как зона повышенного риска
Чем больше у киберпреступника прав в инфраструктуре, тем легче для него нанести ущерб. Поэтому злоумышленники охотятся за привилегиями: ищут утекшие, в том числе привилегированные учетные записи, проверяют скрипты на наличие прописанных в коде паролей, взламывают подрядчиков ради проникновения в сеть клиентов и задействуют около 100 техник и подтехник MITRE ATT&CK для расширения своих прав.
Атаки с использованием привилегий приводят к разрушительным последствиям. По данным BI.ZONE DFIR, во всех случаях уничтожения IT‑инфраструктуры в 2025 г. ущерб наносили через учетные записи с расширенными правами.
Одновременно такие атаки — массовые:
Эта проблема усугубляется, когда компания использует классические подходы к контролю доступа:
- Все пользователи внутри корпоративной сети считаются доверенными.
- Сеть не сегментирована: доступ выдается сразу ко всем расположенным в ней системам.
- Пользователи получают постоянные разрешения на действия, и необходимость этих прав не пересматривается.
- Распространены групповые учетные записи вроде
admin_oracleилиit‑support.
Для современных цифровых инфраструктур, тем более гибридных, более эффективной оказывается архитектура доступа по модели нулевого доверия.
Польза zero trust для контроля привилегий
Политика нулевого доверия и ее принципы, сформулированные аналитиком Forrester Джоном Киндервагом, базируются на идее «никому не доверяй и всегда проверяй»:
- Любое устройство, сервис или приложение рассматривается как самостоятельный ресурс, доступ к которому подлежит контролю.
- Каждая вновь устанавливаемая сессия нуждается в одинаковом уровне проверки и защиты независимо от предыдущих взаимодействий, расположения источника вне корпоративной сети или внутри любого ее сегмента.
Принципы zero trust предполагают, что каждый пользователь должен быть однозначно идентифицирован и авторизован, ему выдаются минимально необходимые привилегии под конкретную задачу, а контекст каждого запроса динамически проверяется при непрерывном мониторинге.
Такая архитектура затрудняет применение привилегий со злым умыслом, даже если атакующий уже нашел путь во внутреннюю сеть.
Среда нулевого доверия имеет один нюанс: при ее создании критически важно учитывать не только безопасность, но и удобство пользователя. Дополнительный контроль не должен снижать продуктивность IT‑команды и подрядчиков, заставлять их искать обходные пути. Поэтому zero trust требует максимальной автоматизации.
Решением для автоматизации в контексте привилегированного доступа выступают PAM‑системы.
PAM‑система как компонент архитектуры нулевого доверия
Рассмотрим, что представляют собой PAM‑системы, в чем их роль при реализации подхода zero trust и как они соотносятся с другими мерами, необходимыми для этого подхода.
Что такое система управления привилегированным доступом (PAM)
Решения класса privileged access management (PAM) — специализированные инструменты для управления привилегированным доступом. Они выступают точками доступа пользователей к серверам, базам данных, приложениям, сетевому оборудованию и другим критическим элементам IT‑инфраструктуры.
Функциональная PAM‑система помогает автоматизировать рутинные вопросы выдачи и отзыва доступа, повышает оперативность при поиске причин сбоев, а также значительно снижает риск того, что расширенные права используют со злым умыслом.
Ключевые задачи PAM сводятся к 4 направлениям:
- Контроль доступа: проверка прав подключений к целевым системам, изоляция сессий.
- Управление секретами: аутентификация пользователей для выдачи им расширенных прав, обновление (ротация) секретов.
- Мониторинг: фиксация всех действий с целевыми системами и передача данных в SIEM‑системы.
- Реагирование: принудительный разрыв подключений, фильтрация команд.
Комбинация задач отличает такие системы от мер, которые иногда принимают за альтернативы PAM:
| Аргумент | Недостатки |
|---|---|
| Системы identity management / identity and access management (IdM/IAM) управляют жизненным циклом учетных записей, полномочиями и правами |
|
| Решения enterprise password manager (EPM) управляют паролями — хранят их, обновляют, следят за стойкостью и историей смены |
|
Системы data leak prevention (DLP) следят за потоками передачи данных Системы employee monitoring (EM) отслеживают активность сотрудников |
|
Терминальные сервисы изолируют среду исполнения приложений и фиксируют факт действий в журнале аудита Групповые политики определяют общие правила доступа и ограничивают локальные привилегии |
|
Также некорректно сравнивать PAM с такими инструментами, как NGFW или VPN, решающими задачи доступа на уровне сети. Системы privileged access management отвечают за более высокий слой — определяют условия привилегированного доступа после того, как пользователь получил доступ в сеть.
Как PAM‑система реализует подход нулевого доверия
PAM — один из ключевых компонентов архитектуры zero trust:
- выдает минимально необходимые привилегии, в идеале — под конкретную задачу, то есть с ограничением по времени;
- обеспечивает гранулированный доступ к конкретному ресурсу;
- отвечает за полную прозрачность действий и их однозначное авторство.
Однако самого по себе внедрения PAM недостаточно, чтобы обеспечить привилегированный доступ по принципам zero trust. Необходимо убедиться в соблюдении важных архитектурных принципов:
- Отсутствует сетевая связанность пользователей с целевыми системами. PAM должен выступать единым шлюзом привилегированного доступа, а не еще одним способом подключиться к серверу.
- Цепочка аутентификации разрывается. Пользователи подключаются к PAM, а PAM самостоятельно аутентифицирует их на целевых системах, создавая два независимых плеча подключения.
- Пользователи не знают секретов от привилегированных учетных записей. Их хранение и регулярная смена переданы в PAM.
Кроме того, на PAM частично возлагается задача минимизировать трение, возникающее в бизнес‑процессах при внедрении дополнительного контроля. Это значит, PAM‑система должна упрощать и автоматизировать путь пользователя: при согласовании и отзыве доступа, аудите действий во время сессий, реагировании на аномалии, а также при подключении к целевым ресурсам.
Где место PAM‑системы относительно других компонентов zero trust
Полная цепочка привилегированного доступа по принципам нулевого доверия включает целый ряд шагов. За них могут отвечать различные системы, поэтому сначала мы опишем общую логику, а потом приведем вариант боевой схемы на конкретных классах решений.
- Проверка устройства. Стандартные проверки (зарегистрировано ли устройство в корпоративных системах, нет ли признаков компрометации) можно дополнять индивидуальными (в каком регионе находится устройство, имеется ли на нем конкретное приложение). Компания определяет этот набор, отталкиваясь от допустимых рисков и модели угроз.
- Проверка личности. Для однозначного соответствия предполагается многофакторная аутентификация (MFA).
- Проверка контекста. Контекст может касаться не только пользователя (типично ли время или частота подключения), но и состояния инфраструктуры (нет ли информации о свежей уязвимости в технологии подключения).
- Брокеризация доступа. Пользователь не видит всю инфраструктуру — он получает доступ только к необходимым ему сегментам.
- Запрос привилегий. При выдаче расширенных прав требуется повторная проверка личности и контекста. Например, возможно, что доступ к инфраструктуре выдается независимо от времени подключения, а вот администрирование критических компонентов инфраструктуры — только в технологические окна.
- Подключение к целевой системе. Пользователь не обращается к целевой системе напрямую — специальный шлюз привилегированного доступа проксирует соединение, обеспечивая аутентификацию на правом плече подключения без раскрытия паролей.
- Контроль действий привилегированных пользователей. Сессия записывается, фиксируются вводимые команды, проверяются передаваемые файлы.
- Непрерывный мониторинг. На протяжении всей цепочки в единую точку мониторинга стекаются данные о событиях и аномалиях. Если риск превышает допустимый уровень, в любой момент доступ может быть отозван.
На практике такую логику доступа можно выстроить не на 8 инструментах, а, например, на 4:
- Инструмент 1 (ZTNA‑система
). Организует стартовые проверки устройства, личности и контекста, а также выступает в качестве брокера доступа. - Инструмент 2 (PAM‑система). Выдает привилегии, обеспечивает подключение к целевой системе и отвечает за контроль активности привилегированного пользователя.
- Инструмент 3 (IdM‑ или IAM‑система). Снабжает ZTNA сведениями для проверки личности.
- Инструмент 4 (SIEM‑система). Аккумулирует данные о здоровье устройства (наличие антивируса, обновлений системы и отсутствие заражения), событиях подключения, действиях пользователя на целевой системе и прочем для постоянного мониторинга.
Общий перечень необходимых этапов наглядно иллюстрирует, почему zero trust подразумевает проработку вопросов не только безопасности, но и удобства. IT‑инженер, выполняющий, к примеру, обновление серверного компонента, не должен сталкиваться с сопротивлением и ручными операциями на каждом шаге этой цепочки.
Продуманная архитектура нулевого доверия плодотворно сказывается не только на защите инфраструктуры, но и на эффективности IT‑процессов.
Грамотный контроль привилегированного доступа обеспечивает 3 основных результата:
- Минимизация рисков непрерывности и финансовых потерь. Исследование BI.ZONE TDR в 2025 году показало: 39% киберинцидентов связаны с техниками атак, от которых могла бы защитить PAM‑система. Иными словами, всего одна мера позволяет избежать больше чем трети проблем, которые грозят приостановкой работы, расходами на восстановление, кражами данных и денег, а также ущербом для репутации.
- Оптимизация работы IT‑отдела. Например, персонифицированная запись действий упрощает расследование сбоев, а автоматическая ротация паролей избавляет системных администраторов от необходимости регулярно менять секреты от десятка учетных записей. Это особенно полезно при работе с подрядчиками: компания может согласовать доступ к продуктивной среде только в технологические окна, быть уверенной в отзыве доступа по окончании проекта, а в случае конфликтов установить ответственность, опираясь на запись действий.
- Соответствие требованиям регуляторов. Построенная в организации zero trust — архитектура обеспечивает выполнение норм по разграничению и минимизации полномочий сотрудников, регистрации событий безопасности, идентификации пользователей. Это упрощает соблюдение норм законов и стандартов — от ФЗ‑152 и приказов ФСТЭК России до PCI DSS и ГОСТ 57580.