Управління гостьовим доступом
Спрощення, на яке ви йдете, оформлюючи доступ підряднику, — саме те, яким скористаються зловмисники.
Що таке Управління гостьовим доступом?
Облікові записи гостей і підрядників створюють поспіхом, а спрощення, на які йдуть у цей момент, потім визначають масштаб збитків. Ви побачите, як обліковий запис оформлюють без дати закінчення дії та з дозволами ширшими, ніж потрібно для роботи. Через три тижні обліковий запис підрядника скомпрометовано, і масштаб збитків точно відповідає цим рішенням. Потім ви заново правильно оформлюєте доступ і розумієте, чому саме дата закінчення дії закриває облікові записи, про які ніхто не пам'ятає.
Що ви дізнаєтесь у Управління гостьовим доступом
- Визначайте, який мінімум дозволів потрібен зовнішньому учаснику співпраці для конкретного завдання, перш ніж надавати доступ
- Встановлюйте кінцеву дату дії для кожного гостьового й підрядницького облікового запису, щоб забутий доступ закривався сам
- Розпізнавайте, як надмірні дозволи, надані під час створення облікового запису, визначають радіус ураження під час подальшої компрометації
- Не пропускайте заходи захисту доступу через брак часу під час онбордингу та розпізнавайте, які спрощення залишають довготривалий ризик
- Передбачайте крок, який відкликає гостьовий доступ після завершення проєкту чи контракту, замість того щоб покладатися на пам'ять
Управління гостьовим доступом — Кроки навчання
-
Приходить новий підрядник
Сьогодні до інтеграції систем долучається новий підрядник із DataSync Solutions — Маркус Чен. Упродовж найближчих трьох місяців йому знадобиться доступ до кількох внутрішніх систем.
-
Лист із запитом на доступ
Аліса отримує від своєї керівниці лист із проханням оформити доступ для нового підрядника.
-
Ключові вимоги
У листі Сари — важливі подробиці про те, як налаштувати обліковий запис Маркуса. Особливо зверніть увагу на рівні доступу та дату завершення контракту.
-
Правила для тимчасових облікових записів
У Northbridge Logistics є п'ять правил для тимчасових облікових записів. Перш ніж створювати обліковий запис Маркуса, перегляньте їх: Надавайте мінімальний доступ, потрібний для конкретного проєкту. Встановлюйте дату закінчення дії: у кожного гостьового облікового запису має бути кінцева дата. Призначайте внутрішнього куратора, який і надалі відповідає за обліковий запис. Прив'язуйте доступ до потреби бізнесу, а не до загальної зручності. Щомісяця переглядайте гостьові облікові записи.
-
Поспіх під час налаштування
Через 15 хвилин у Аліси нарада команди. Вона відкриває форму створення гостьового облікового запису й поспіхом заповнює основні поля, але пропускає поле з датою закінчення дії: мовляв, додати її можна й пізніше. Форма не робить дату закінчення дії обов'язковою.
-
Спрощення під час вибору дозволів
На сторінці дозволів показано доступні системи з різними рівнями доступу. Замість того щоб ретельно вибрати дозволи в межах проєкту, про які просила Сара, Аліса надає до всіх систем доступ рівня «Повні права адміністратора» : вона думає, що так Маркусу не доведеться пізніше просити додатковий доступ. Це порушує принцип найменших привілеїв.
-
Надіслано без перевірки
На сторінці перегляду — зведення налаштувань гостьового облікового запису. Аліса мигцем дивиться на неї й не помічає ні відсутньої дати закінчення дії, ні надмірних прав адміністратора. Вона надсилає запит і поспішає на нараду.
-
Сповіщення системи безпеки
Минуло три тижні. Аліса отримує термінового листа від центру моніторингу безпеки.
-
Ланцюг помилок
Центр моніторингу безпеки з'ясував, як саме Алісині спроби спростити собі роботу призвели до серйозного інциденту безпеки.
-
Що пішло не так?
Охоплення стандартів безпеки
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 5 Account Management
- CIS 6 Access Control Management
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control