A legkisebb jogosultság elve kulcskérdés a vállalati biztonságban

A kibertámadások jelentős része egy olyan jogosultság megszerzésével kezdődik, amelyet valaki évekkel ezelőtt megkapott, és azóta senki sem vizsgált felül. Domain Admin fiókok, Local Administrator jogok, elfelejtett hozzáférések: apró kényelmi döntések, amelyekből az idő múltával komoly üzleti kockázat lehet. A ti szervezetetek tudja, pontosan kik és mihez férnek hozzá a rendszereitekben? 

Miért kulcsfontosságú a Principle of Least Privilege (PoLP) a vállalati biztonságban?

Kibertámadás esetén a figyelem általában a sérülékenységekre, a zsarolóvírusokra vagy a kifinomult támadási technikákra irányul. A pentesztek és incidensvizsgálatok során azonban gyakran egészen más képet látunk.

A legsúlyosabb következményekkel járó kompromittálódások jelentős részét ugyanis nem tényleg egy különösen fejlett exploit vagy egy nulladik napi sérülékenység okozza. A gyakorlatban a belépési pont többnyire jóval prózaibb: a támadó olyan jogosultságokat talál, amelyeknek már rég nem is lenne szabad létezniük.

Ezért számít a Principle of Least Privilege (PoLP), vagyis a legkisebb jogosultság elve az információbiztonság egyik legfontosabb alapkövének.

keretes:

Az ökölszabály: minden felhasználó, alkalmazás, szolgáltatás vagy rendszerkomponens kizárólag csak azokkal a jogosultságokkal rendelkezik, amelyek a feladata ellátásához feltétlenül szükségesek. 

A jogosultságkezelés kérdései

Természetes, hogy a különféle szervezetek folyamatosan változnak. Ahogy az is, hogy emiatt új rendszerek jelennek meg, projektek indulnak, munkakörök módosulnak, munkatársak érkeznek és távoznak. Az is logikus, hogy minden változás szükségszerűen új hozzáféréseket generál. 

A problémát az okozza, hogy a már szükségtelen, de még érvényben lévő jogosultságok egy jelentős része sosem kerül visszavonásra. 

Gyakori például, hogy a felhasználó minden új feladathoz kap még egy hozzáférést. Ahogy az is, hogy ha egyik projektből a másikba kerül, automatikusan megkapja az új jogosultságokat – a korábbiak viszont nem kerülnek visszavonásra. Ugyanez a helyzet az akaratlanul is örökre szóló ideiglenes adminisztrátori jogokkal és a le nem zárt belépési pontokkal is.

Ezek a lépések azonban oda vezethetnek, hogy kialakul egy vállalati környezet, melyben egyetlen felhasználó vagy szolgáltatás jóval több rendszerhez és adathoz fér hozzá, mint amit aktuális szerepköre valóban indokol. Ezek a láthatatlan többletjogosultságok pedig általában már csak akkor kerülnek elő, amikor egy támadó kihasználja őket.

A Domain Admin kiemelt kockázat

Active Directory környezetben kevés értékesebb célpont létezik, mint egy Domain Admin jogosultsággal rendelkező fiók, hiszen ez gyakorlatilag teljes kontrollt biztosít a vállalati infrastruktúra felett. Egy ilyen jogosultság kompromittálódása után a támadó

• új felhasználókat hozhat létre;
• jogosultságokat módosíthat;
• érzékeny adatokat érhet el;
• hozzáférhet kritikus szerverekhez;
• tartós jelenlétet alakíthat ki a környezetben.

Pentesztek során még ma is rendszeresen találkozunk olyan szervezetekkel, ahol napi operatív feladatokra Domain Admin fiókokat használnak. Ez pedig valós üzleti kockázat, hiszen minél több helyen jelenik meg egy kiemelt jogosultság, annál több támadási útvonal vezethet a teljes infrastruktúra kompromittálásához.

A nagyobb szervezeteknél ugyanakkor egyre gyakoribb a tierelt adminisztráció alkalmazása is, amely elkülöníti a munkaállomások, a szerverek és az identitáskezelő rendszerek adminisztrációját. 

A modern biztonsági modellek lehetőségei

A vezető biztonsági keretrendszerek egyértelműen elkülönített adminisztrátori fiókok alkalmazását javasolják. Vagyis azt, hogy a napi munkavégzéshez használt felhasználói fiók és az adminisztrátori tevékenységekhez használt fiók semmiképp se legyen ugyanaz. Emellett kitérnek arra is, hogy a Domain Admin jogosultságok számát a lehető legalacsonyabb szinten kell tartani.

A nagyobb és biztonságtudatosabb szervezetek azonban ma már nem kizárólag elkülönített adminisztrátori fiókokkal kezelik a kiemelt jogosultságok kockázatát. Egyre gyakoribb a Privileged Access Management (PAM) megoldások alkalmazása, amelyek lehetővé teszik az adminisztrátori hozzáférések időkorlátos, auditálható és szigorúan kontrollált kezelését is. 

Ennek köszönhetően a felhasználók csak indokolt esetben és meghatározott időtartamra kapnak emelt jogosultságokat, ami jelentősen csökkenti egy esetleges kompromittálódás várható üzleti hatásait.

Local Administrator: a kényelmi funkció, amelyből incidens lehet

A helyi rendszergazdai jogok tipikusan kényelmi okokból jelennek meg, hiszen ha felhasználó telepíteni szeretne egy alkalmazást vagy módosítani szeretne egy rendszerbeállítást, általában azonnal szeretné azt megtenni. Csakhogy ez a kényelem hosszú távon valós kockázatot jelent!

Ha egy támadó, vagy egy rosszindulatú kód hozzáférést szerez egy olyan munkaállomáshoz, amelynél a felhasználó Local Administrator jogosultságokkal rendelkezik, a kompromittálás veszélyének mértéke jelentősen megnő.

Ilyen esetekben ugyanis könnyebb megkerülni a védelmet és további kártékony komponenst telepíteni, egyszerűbb megszerezni a hitelesítő adatokat, és a hálózaton belüli oldalirányú mozgás is egyszerűbbé válik. Ez tipikusan a zsarolóvírus-incidensek esetében mutatkozik meg, amikor a túlzott helyi jogosultságok szinte elősegítik a támadás sikerét.

A PoLP nem csak a felhasználókról szól

A legkisebb jogosultság elve gyakran kizárólag a felhasználói hozzáférések kapcsán kerül szóba. Pedig a modern vállalati környezetekben ugyanilyen fontos szerepet játszanak a  szolgáltatásfiókok, az automatizációs folyamatok, az API-kapcsolatok, az integrációk és a felhő alapú alkalmazások is.

Nem véletlenül, hiszen egy kompromittált alkalmazás ugyanis pontosan ugyanannyi kárt tud okozni, amennyi jogosultságot kapott. Vagyis ha egy szolgáltatás teljes adatbázis-hozzáféréssel fut, a támadó is ezt örökli meg. 

Ezért is fontos megértenünk, hogy ha egy alkalmazás csak a szükséges erőforrásokhoz fér hozzá, egy esetleges későbbi támadó mozgástere is jelentősen korlátozottabb lesz. Ez a gyakorlatban a támadási lánc egyik leghatékonyabb megszakítási pontja.

A kérdés nem az, hogy bejutnak-e

A modern biztonsági szemlélet abból indul ki, hogy a kezdeti kompromittálódás előbb-utóbb bekövetkezhet, hiszen egyetlen adathalász e-mail, ellopott hitelesítő adat vagy kihasználható sérülékenység elegendő lehet az első belépési pont megszerzéséhez.

A vezetői szempontból lényeges kérdés nem a kezdeti kompromittálódás valószínűsége, hanem annak várható hatása. A megfelelően kialakított jogosultsági modell

• korlátozza az oldalirányú mozgást;
• nehezíti a privilégium-eszkalációt;
• csökkenti az incidens üzleti hatását;
• lassítja a támadó előrehaladását;
• növeli az észlelés esélyét.

A túlzott jogosultságok ezzel szemben lehetővé teszik, hogy egy kisebb kompromittálódás is teljes vállalati incidenssé váljon.

A jó vezetői kérdések vezetnek megoldásra

A technológia önmagában ritkán ad teljes képet a jogosultságkezelés állapotáról. A valódi biztonsági érettség azonban néhány egyszerű vezetői kérdés segítségével gyorsan mérhető. 

• Tudjuk, hány Domain Admin fiók működik jelenleg a környezetünkben?
• Mikor vizsgáltuk felül utoljára a jogosultságokat?
• Hány munkatárs rendelkezik helyi rendszergazdai jogokkal, és valóban szükségük van-e rá?
• Átláthatóak a szolgáltatás fiókok hozzáférései, vagy évek alatt felhalmozódtak a már indokolatlan jogosultságok? 
• Mennyi idő alatt tudnánk azonosítani egy kompromittált kiemelt jogosultságú fiókot?

Ezek a kérdések az általános vezetői gondolkodással ellentétben nem informatikai kérdések, hiszen valójában a szervezet láthatóságáról, kontrollképességéről és kockázatkezelési érettségéről szólnak. 

Ha a válaszok nehezen elérhetők, bizonytalanok vagy egyáltalán nem állnak rendelkezésre, akkor a probléma valószínűleg nem technológiai eredetű. Sokkal inkább arról van szó, hogy a szervezet elvesztette a pontos rálátást arra, ki, mihez és milyen indokkal fér hozzá. a támadók pedig pontosan az ilyen vakfoltokat keresik.

A Principle of Least Privilege valójában kontrollt teremt

A Principle of Least Privilege nem egy compliance-követelmény, amelyet audit előtt érdemes kipipálni. Sokkal inkább hatékony kontroll, melynek segítségével a teljes üzleti krízis akkor is elkerülhető ha egy kedvezőtlen biztonsági esemény a gondos körültekintés ellenére mégis bekövetkezik.

Penteszterként rendszeresen tapasztaljuk, hogy a legsúlyosabb incidensek mögött nem feltétlenül technológiai hiányosság, hanem túlzott bizalom és évek alatt felhalmozódott hozzáférések állnak. A valódi kérdés tehát nemcsak az, hogy létezik-e jogosultságkezelési folyamat, hanem az is, hogy a jelenlegi jogosultságok valóban indokoltak-e. 

Ha nem biztos benne, hogy a szervezet jogosultsági modellje valóban a legkisebb jogosultság elvét követi, egy célzott biztonsági felmérés vagy penteszt gyorsan feltárhatja a rejtett kockázatokat. Beszéljünk róla, milyen hozzáférések jelentenek ma valódi üzleti kockázatot az Ön környezetében. Lépjen velünk kapcsolatba!