Funkcjonalność

Dostęp uprzywilejowany

Jak działa: Uprawnienia administracyjne nadawane just-in-time i rejestrowane dla późniejszej audytowalności.

WIC

W skrócie

Dostęp uprzywilejowany daje adminom podwyższone uprawnienia tylko wtedy, gdy ich potrzebują, i tylko na ograniczony czas - a także rejestruje ich działania przez Okta Privileged Access. *Rejestrowanie sesji dotyczy dostępu do serwerów i sekretów, który OPA pośredniczy, a nie każdej akcji w Okta Admin Console.1

Umów rozmowęJak to robi Okta ↓
4
rodzaje ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Konta adminów mogą zmieniać ustawienia, czytać dane i tworzyć inne konta. Atakujący, który takie konto przejmie, zyskuje do tego wszystkiego dostęp.

Dostęp uprzywilejowany kontroluje, jak takie uprawnienia są nadawane. Zamiast zostawiać je na stałe, admin o nie prosi, dostaje je na określony czas, a po operacji zostaje zapis w logach.12

To zmniejsza ryzyko i skutki ataków, takich jak:

1

Przejęcie konta admina

Atakujący wyłudza lub odgaduje dane logowania admina. Jeśli admin ma podwyższone uprawnienia tylko na krótko, atakujący znajduje mniej stałych uprawnień do wykorzystania.

2

Stały dostęp, z którego nikt nie korzysta

Admin zachowuje uprawnienia po dawnym projekcie. Zostają one otwarte dla atakującego długo po zakończeniu pracy.

3

Wspólne hasła i klucze adminów

Hasło lub klucz krąży po zespole. Nie wiadomo, kto go użył, i łatwo go skopiować.

4

Nadużycia ze strony osób z wewnątrz

Osoba z szerokimi uprawnieniami przegląda lub zmienia dane, których nie potrzebuje. Bez zapisu nikt nie odtworzy, co się stało.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedAdmini mają podwyższone uprawnienia przez cały czas.
PoAdmini proszą o podwyższone uprawnienia, gdy ich potrzebują, a dostęp jest ograniczony czasowo.1
PrzedSekrety i poświadczenia do serwerów leżą w arkuszach, czatach i prywatnych menedżerach haseł.
PoOkta Privileged Access opisuje zarządzanie sekretami i dostępem do serwerów w jednym miejscu.1
PrzedNikt nie potrafi powiedzieć, kto użył konta admina ani co zrobił.
PoOkta Privileged Access rejestruje sesje dostępu do serwerów i sekretów, więc w audycie widać, kto co zrobił.1
PrzedUprawnienia nadane raz rzadko są przeglądane.
PoWnioski o dostęp i przeglądy można obsłużyć w Okta Identity Governance.2

Jak to robi Okta

Okta Privileged Access współpracuje z resztą Workforce Identity i może być wdrażany krok po kroku.

1

Admin prosi o dostęp

Admin wnioskuje o tymczasowy dostęp do serwera, sekretu lub roli administracyjnej, zamiast mieć go na stałe.12

2

Decyduje polityka i osoba zatwierdzająca

O przyznaniu dostępu decydują reguły zdefiniowane w Okcie oraz osoba zatwierdzająca, jeśli tego wymagasz.12

3

Dostęp jest przyznany na ograniczony czas

Admin dostaje dostęp na określony okres, po którym dostęp się kończy.1

4

Sesja jest rejestrowana

Okta Privileged Access rejestruje sesje dostępu do serwerów i sekretów, co pozostawia po nich audytowalny ślad.1

WIC
Kogo chroniAdmini, inżynierowie, kontraktorzy z podwyższonymi uprawnieniami
Okta Privileged AccessProdukt Okty do zarządzania dostępem do serwerów i sekretów, w tym dostępem ograniczonym w czasie i rejestrowaniem sesji.1
Access requestsOkta Identity Governance obsługuje wnioskowanie o dostęp i jego zatwierdzanie, więc uprawnienia nie są nadawane wiadomością na czacie.2
Access certificationsOkta Identity Governance obsługuje też okresowe przeglądy/audyty tego, kto ma jaki dostęp.2
Role administracyjne w OkcieDostęp admina do samej Okty kontrolują role administratorów (admin roles), które można przypisywać wąsko.3

Jak wdrażamy to w Zelto

Technologia za Oktą to gotowa i sprawdzona połowa - Zelto mapuje, kto dziś ma uprawnienia admina i do czego ich używa. Planujemy wdrożenia grupami, aby zminimalizować ryzyko i skutki. Zaczynamy od kont i systemów, w których przejęcie kosztowałoby najwięcej.

Typowy przebieg wdrożenia

  1. Sprawdzamy, kto ma uprawnienia admina i gdzie

    Spisujemy role administracyjne, konta uprzywilejowane, wspólne poświadczenia oraz serwery i aplikacje, do których prowadzą.

  2. Decydujemy, które uprawnienia stają się czasowe

    Rozdzielamy uprawnienia, których admini używają codziennie, od tych, których używają rzadko, i najpierw ograniczamy w czasie te rzadkie.

  3. Pilotaż z adminami IT i bezpieczeństwa

    Zaczynamy od osób z największą liczbą uprawnień, ustalamy właścicieli odpowiednich polityk po Twojej stronie. Ustalamy też osoby zatwierdzające oraz sposób na dostęp awaryjny.

  4. Przenosimy system po systemie

    Serwery, sekrety i role administracyjne przenosimy krok po kroku do Okta Privileged Access i polityk Okta. Stare wspólne poświadczenia usuwamy, gdy dany system jest objęty.

  5. Przeglądamy i zaostrzamy zasady

    Regularnie przeglądamy zapisy sesji i logi dostępu oraz usuwamy uprawnienia, z których nikt nie korzysta.

Pułapki, które uwzględniamy w planie

Admin pilnie potrzebuje dostępu poza godzinami pracy.

−Trzymamy wspólne hasło admina na czacie, żeby każdy mógł szybko wejść.

+Ustalamy ścieżkę awaryjną z osobą zatwierdzającą i zapisem, i ją testujemy, zanim będzie potrzebna.

Zatwierdzenia są wymagane przy każdym wniosku.

−Osoby zatwierdzające dostają kilkadziesiąt wniosków dziennie i zatwierdzają je bez czytania.

+Wymagamy zatwierdzenia tylko przy dostępie wysokiego ryzyka. Dostęp o niższym ryzyku wynika z polityki i nadal jest rejestrowany.

Po wdrożeniu nadal istnieją stare wspólne poświadczenia.

−Dodajemy nowe narzędzie i zostawiamy stare hasła ważne, więc stara ścieżka pozostaje otwarta dla atakujących.

+Rotujemy lub usuwamy każde wspólne poświadczenie, gdy tylko system, którego dotyczy, jest objęty.

Kontraktorzy i dostawcy potrzebują dostępu admina na czas projektu.

−Dajemy im stałe konto z takimi samymi uprawnieniami jak pracownikom.

+Każda osoba dostaje własne konto, uprawnienia nadajemy na czas trwania projektu i przeglądamy je w trakcie oraz po jego zakończeniu.

Szukasz audytowalnego sposobu na dostęp uprzywilejowany, bez spowalniania adminów?

Sprawdzimy, kto w Twoim środowisku ma dziś stałe uprawnienia admina. Potem powiemy, które uprawnienia należy na początek ograniczyć.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy, jak dziś działa u Ciebie dostęp admina.

Powiązane wpisy na blogu

Notatki z wdrożeń

L is for Least Privilege: Task-Scoped Access Across IdentityCzytaj na blogu →

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Okta Privileged Accessokta.com product page
  2. 2Okta Identity Governanceokta.com product page
  3. 3Okta Identity Engine documentationOkta Help Center