Принцип найменших привілеїв
Перегляньте власний доступ раніше за зловмисника.
Що таке Принцип найменших привілеїв?
Права доступу накопичуються непомітно. Люди переходять на інші посади, ніхто нічого не повертає, і загальний підсумок видно лише тоді, коли щось іде не так. Ви виманите пароль аналітикині, увійдете під її іменем і експортуєте клієнтську базу, скориставшись правами, що залишилися від роботи у відділі комплаєнсу, яку вона залишила два роки тому. Потім, уже в ролі аналітикині, ви проведете перевірку доступу: вилучите право експорту даних клієнтів і права адміністратора в системі, з якою вже не працюєте, переведете застарілий інструмент, який ще потрібен, у режим лише читання і побачите, як той самий експорт не вдається.
Що ви дізнаєтесь у Принцип найменших привілеїв
- Поясніть принцип найменших привілеїв і те, як він обмежує радіус ураження зламаного облікового запису
- Пройдіть щоквартальну перевірку доступу, зіставляючи кожне право доступу з тим, чого справді потребує ваша нинішня посада
- Розпізнавайте накопичення прав доступу: його причина в доступі з попередніх посад, а не в одноразовій помилці налаштування
- Ухвалюйте правильне рішення щодо доступу, який використовують рідко, але іноді ще потрібен, а не залишайте його за замовчуванням
- Пов'язуйте менший постійний доступ із меншою шкодою, коли обліковий запис зламано під час фішингової кампанії
Принцип найменших привілеїв — Кроки навчання
-
Сторінка, яку варто скопіювати
Боб зареєстрував домен access-harmonfs.net і розмістив на ньому копію порталу Harmon для перевірки доступу. Щоб це зробити, він нічого не зламував. Він зберіг справжню сторінку входу й змінив лише одне.
-
Єдине, що він змінив
Тут усе справжнє: логотип, тексти, розмітка й навіть замок. Лише адреса — його.
-
Надішліть лист
Боб пише лише одній людині. Для цього досить вказати термін і дати посилання.
-
Ваша перевірка ще не завершена
Щоквартальна перевірка доступу в Аліси справді не завершена. Цього місяця їй уже двічі про неї нагадували.
-
Відкрийте портал
Термін — сьогодні, а перевірка займе лише дві хвилини. Аліса переходить за посиланням.
-
Вхід
Сторінка, що відкривається, виглядає точнісінько як портал, на який Аліса входить щокварталу. Вона вводить робочу електронну адресу й пароль.
-
Що зібрала форма
Форма нічого не надіслала компанії Harmon. Усе потрапило до збирача Боба.
-
Її пароль у повному вигляді
Одне перехоплення. Пароль збережено без хешування й нічим не приховано, бо сторінку, яка його отримала, створили саме для того, щоб його зберігати.
-
Вхід від її імені
Боб переходить на справжній портал і входить із зібраними даними. Для Harmon це Аліса, яка прийшла пройти перевірку доступу.
-
Що ще відкриває цей обліковий запис
Портал перевірки доступу — лише одна з систем, до яких має доступ обліковий запис Аліси. Решту Боб шукає.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 6 Access Control Management
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control