Problemet
Adgange, der aldrig sover
En stående rettighed er en privilegeret adgang, der altid er aktiv: domæneadministratoren, der kan alt i Active Directory, databaseadministratoren med adgang til alle kundedata, den globale administrator i Microsoft 365. Kontoen blev oprettet, fordi nogen havde brug for den til en opgave – men rettighederne blev ikke fjernet, da opgaven var løst.
Administratorer har naturligvis brug for høje rettigheder. Problemet er, at rettighederne er aktive 24 timer i døgnet, mens de måske bruges en time om ugen. De resterende 167 timer er de kun til gavn for én gruppe: dem, der forsøger at bryde ind.
Risikoen
Derfor går angribere efter dem
- Altid åbne: en stjålet admin-konto virker med det samme – angriberen behøver ikke vente på eller anmode om noget.
- Flere end I tror: kortlægninger finder typisk langt flere konti med høje rettigheder, end organisationen selv regner med – inklusive gamle test- og konsulentkonti.
- Delte og genbrugte: fælles admin-konti med adgangskoder, der deles i teams og aldrig skiftes, gør det umuligt at se, hvem der faktisk gjorde hvad.
- Overlever alt: rettigheder samler sig gennem jobskifte og projekter og bliver sjældent taget væk igen.
- Hele kongeriget: med én domæneadministrator kan en angriber slå sikkerhedsværktøjer fra, slette spor og kryptere alt – det er sådan, ransomware-angreb eskalerer.
Just-in-time: adgang, når den bruges – og kun da
Princippet i just-in-time-adgang (JIT) er enkelt: Ingen har stående privilegerede rettigheder. Skal en administrator udføre en opgave, anmoder vedkommende om rettigheden, får den tildelt i et afgrænset tidsrum – typisk nogle timer – og mister den automatisk igen. Godkendelsen kan være automatisk for rutineopgaver og kræve en ekstra godkender for de mest kritiske systemer.
En PAM-løsning binder det sammen: Adgangskoder til privilegerede konti opbevares i en central boks og roteres efter hver brug, sessioner kan optages, og hver handling kan føres tilbage til en navngiven person. Målet er det, der ofte kaldes zero standing privileges: I det øjeblik ingen arbejder, er der ingen aktive admin-rettigheder at stjæle.
Gevinsten er til at måle. En angriber, der lander i jeres miljø, finder ingen konti, der kan eskaleres med det samme – og en anmodning om rettigheder midt om natten fra en usædvanlig lokation er et alarmsignal, ikke en rutine.
Hvor skal I starte?
Med at kortlægge de privilegerede konti, I har i dag: hvem der har dem, hvornår de sidst er brugt, og hvilke der er delte. Erfaringen er, at en stor del kan nedlægges eller nedgraderes med det samme, uden at nogen bemærker det.
Indfør derefter JIT for de mest kritiske systemer først – domænecontrollere, centrale databaser og cloud-administration – og udvid gradvist. Kombineret med individuelle konti og logning har I lukket det hul, de fleste alvorlige angreb går igennem.
Hvor mange stående admin-rettigheder har I lige nu?
Et IAM Healthcheck kortlægger jeres privilegerede konti og adgange og giver jer en prioriteret plan for at fjerne de stående rettigheder.
